Binance diz que roubo bilionário começou numa vaga falsa

A Binance diz que o roubo de cerca de US$ 6,34 bilhões começou com uma entrevista de emprego falsa. Segundo o relatório inicial que a empresa publicou na terça, 3 de novembro, um engenheiro recebeu um "teste técnico" de um falso recrutador e rodou o código no computador de trabalho. Semanas depois, o invasor chegou ao sistema que libera o dinheiro.

O detalhe que pesa: no mesmo relatório, a maior corretora de cripto do mundo diz ter barrado 57 casos suspeitos ligados à Coreia do Norte em 2026. Barrou 57 e caiu num. E o golpe que funcionou é o mesmo que procura programadores no Brasil, inclusive quem nunca chegou perto de uma corretora.

Junho: um instalador adulterado

O passo a passo abaixo é a versão da Binance. Nenhuma perícia independente publicou a sua até agora. Segundo o relatório, em junho, um engenheiro do time de carteiras procurou num buscador uma ferramenta popular de programação com inteligência artificial e baixou uma versão adulterada do Homebrew, o instalador de programas mais usado por quem programa no Mac.

A segurança percebeu, trocou o aparelho e as senhas. Só que, ainda segundo o relatório, a função dele e os colegas do time de infraestrutura de carteiras "ficaram expostos ao hacker". Com isso, o invasor podia saber quem procurar.

Setembro: a entrevista

Em setembro, segundo a Binance, outro engenheiro foi procurado numa plataforma legítima de busca de emprego por alguém que se dizia diretor de projeto. O perfil dele citava a experiência na Binance. O relatório não diz qual era a plataforma. Segundo a Fortune, que ouviu executivos da empresa, era o LinkedIn.

A primeira entrevista foi por vídeo, ao vivo, com alguém que se passava por RH e que, para ganhar confiança, mostrou uma conta de rede social com fotos e vídeos pessoais. A segunda foi num aplicativo de conversa, com um falso presidente de uma empresa que não existe. Ele mandou baixar uma "tarefa": um repositório de código com um programa malicioso.

O engenheiro baixou no computador de trabalho. Segundo o relatório, era um malware inédito, que os antivírus da empresa não reconheciam na época. O programa trocou uma peça do Python instalada pelo Homebrew por uma versão do invasor. É como um convidado que o porteiro deixa entrar: ninguém estranha quem chegou pela porta da frente.

20 de outubro: a ferramenta de IA da própria Binance

Do computador infectado, segundo o relatório, o invasor usou uma ferramenta interna de inteligência artificial da Binance para assumir o controle de mais dois computadores: o do engenheiro de junho e o de um desenvolvedor de carteiras. No primeiro havia uma credencial que permitia publicar programas nos servidores da empresa.

Em 29 de outubro, segundo a Binance, ele entrou no computador do desenvolvedor, usou essa credencial e rodou um programa com acesso ao serviço interno que assina as transações das carteiras. A partir das 17h05 de Brasília, cinco carteiras ligadas à internet começaram a mandar dinheiro para fora.

Para fechar o caminho, usou o EIP-7702, um recurso do Ethereum que deixa uma carteira comum delegar poderes a um programa. Segundo o relatório, foram 50 transações de assinatura. A Elliptic viu uma transação com 50 autorizações do EIP-7702, que deixaram permissões valendo mesmo depois que os saques pararam. Como a carteira da Binance divide a assinatura em partes, não havia uma chave única para trocar às pressas. A última saída, segundo o relatório, foi pouco antes das 21h de 29 de outubro.

O que quem é de fora confirma

A parte da blockchain tem testemunhas. As empresas de rastreamento Elliptic, TRM Labs e Chainalysis dizem que o próprio sistema da Binance assinou as saídas, sem que as chaves fossem roubadas. O total que elas calculam fica entre US$ 6,3 bilhões e US$ 6,4 bilhões.

O FBI atribuiu o roubo, em 31 de outubro, ao TraderTraitor, grupo que o governo americano liga à Coreia do Norte. A nota não diz como o invasor entrou. A entrevista falsa, portanto, é a palavra da Binance. A Chainalysis diz que o relato bate com o método conhecido do grupo, mas a Chainalysis parte do próprio relato da Binance. Segundo a imprensa, Pyongyang nega.

Onde está o dinheiro

Pelo relatório, cerca de US$ 2,85 bilhões foram congelados ou interceptados até 3 de novembro, número menor que os "cerca de US$ 3 bilhões" que circulavam no fim de semana. Isso é 45% do total. Os outros 55%, perto de US$ 3,5 bilhões, não foram congelados. Boa parte está em bitcoin e ether, que não têm emissor para travar.

A Binance diz que 98% das moedas afetadas já estavam repostas em 31 de outubro e que "a Binance vai absorver o impacto financeiro, não os usuários". É uma declaração da empresa, não uma garantia legal. A prova de reservas de 10 moedas, publicada em 2 de novembro, mostra saldo, não as dívidas, e não é auditoria.

O mesmo golpe mira programadores no Brasil

A vaga falsa não é invenção de 2026. O FBI descreve o método desde 2022 e, num alerta de 3 de setembro de 2024, disse que a Coreia do Norte estuda as vítimas antes do contato e se passa por recrutador em redes profissionais. O alvo são funcionários de empresas de cripto e de finanças descentralizadas.

A empresa de segurança ESET documentou o mesmo golpe em português. Os falsos recrutadores aparecem no LinkedIn, no Upwork e no Freelancer e mandam um desafio de código num repositório privado do GitHub, GitLab ou Bitbucket. Outra variação é o falso erro de câmera na entrevista, que pede para colar um comando no terminal. O comando instala o malware.

Um desenvolvedor brasileiro relatou no LinkedIn, em post reproduzido no TabNews, uma vaga de blockchain paga em dólar com documentos de fachada e um repositório para clonar. Ele desconfiou das dependências e não rodou. Não localizamos dado oficial brasileiro sobre esse golpe.

Os sinais, segundo o FBI

O alerta de 2024 lista os sinais. Oferta inesperada de empresa conhecida de cripto ou tecnologia, com salário alto demais e sem negociação. Pedido de "teste pré-contratação" que manda rodar pacote, script ou repositório que você não conhece. Pedido para rodar código no computador da empresa onde você trabalha.

Também entram a insistência num programa estranho para algo simples, como uma videochamada, e o pedido para levar a conversa a outro aplicativo, como no caso da Binance. Se o teste exigir rodar código, o FBI recomenda uma máquina virtual, um computador simulado dentro do seu, num aparelho que não seja do trabalho.

Nossa leitura

Segurança é obrigação de quem guarda o dinheiro dos outros. Barrar 57 ataques é trabalho bem feito, mas o que conta é o que passou: uma credencial com acesso ao cofre num notebook, um teste de vaga rodado no computador de trabalho e uma ferramenta de IA com acesso a outras máquinas. A Binance promete pagar com o próprio caixa, e é o certo. Só que quem deixa cripto em corretora confia numa empresa, e no Brasil não existe FGC para isso. É por isso que guardar a própria chave e não pôr tudo num lugar só importam. Não é recomendação de investimento: é saber quem responde pelo seu dinheiro.

O próximo passo é a revisão das empresas de segurança independentes que a Binance diz ter contratado. Nenhuma publicou nada até a tarde desta quarta, 4 de novembro. Até lá, a porta de entrada do maior roubo de cripto da história segue sendo a versão da vítima.