Pular para o conteúdo
VEXIA

Roubo de US$ 6,3 bi na Binance: falsa entrevista de emprego e ferramenta de IA adulterada acendem alerta para o RH e a TI das empresas

FBI atribui o maior ataque cripto já registrado a hackers da Coreia do Norte; segundo o InfoMoney, a invasão começou com um desenvolvedor que baixou código malicioso numa falsa entrevista, e a lição serve para qualquer empresa com acesso a sistemas críticos

Por VEXIA

7 min de leitura

WhatsApp: compartilhar esta matéria Salvar

Produzido com apoio de IA, revisado pela redação. Como trabalhamos

O que muda: Oriente o RH e o time sobre falsos recrutadores. Combine uma regra clara: nenhum teste técnico exige baixar e executar código de origem desconhecida na máquina da empresa. Verifique a identidade do recrutador por canal oficial. Ver o que fazer

O maior roubo da história das criptomoedas teve, segundo a reconstituição publicada pelo InfoMoney, uma porta de entrada simples: uma falsa entrevista de emprego. Em 29 de outubro, US$ 6,3 bilhões em criptoativos saíram da Binance em questão de minutos. O FBI atribuiu o ataque a hackers norte-coreanos. A Binance prometeu reembolsar os clientes. Para além do valor recorde, o caso importa a qualquer empresa porque o caminho descrito mistura recrutamento, ferramentas de inteligência artificial e controle de acessos, três frentes que, em muitos negócios, são geridas por áreas diferentes e raramente conversam.

Um aviso de método: o roubo, o valor e a atribuição ao grupo norte-coreano estão confirmados por mais de uma fonte lida (InfoMoney e uma reportagem da AP republicada pelo Grupo Estado). A descrição passo a passo de como a invasão ocorreu, com falsa entrevista e ferramenta de IA adulterada, vem de uma única reportagem, o InfoMoney. A AP não traz detalhes do método de intrusão, e uma busca adicional não encontrou segunda fonte para o vetor da falsa entrevista. Por isso, essa parte é tratada como relato reportado, ainda não corroborado.

Contexto

Segundo a AP, reproduzida pelo Grupo Estado, o FBI atribuiu o roubo a hackers da Coreia do Norte no sábado (31/10). O dinheiro foi drenado da Binance em minutos na quinta-feira (29/10), e a reportagem classifica o caso como o maior ataque do tipo já registrado. O FBI liga a ação ao grupo conhecido como TraderTraitor, que, segundo a agência, também foi associado ao roubo de cerca de US$ 1,5 bilhão da Bybit no ano passado.

A AP informa que os hackers vinham convertendo os ativos roubados principalmente em ether, que o FBI pediu a corretoras e empresas de análise de blockchain que bloqueiem transações ligadas aos endereços identificados e que a agência espera tentativas de movimentar os recursos por plataformas de finanças descentralizadas e serviços de conversão instantânea. Ari Redbord, da TRM Labs, disse que os criminosos devem dividir o dinheiro em valores menores e usar corretoras menores, num processo que pode levar meses.

A Binance disse, no sábado, ter reservas dos mesmos criptoativos suficientes para cobrir 90% do que foi levado e prometeu reembolsar integralmente os clientes. Segundo o InfoMoney, a empresa pediu desculpas a usuários, parceiros e ao setor, vai ampliar investimentos em detecção de ameaças baseada em IA, criar um fundo de pesquisa em segurança e firmar parcerias com empresas líderes em IA. A Coreia do Norte, de acordo com outra reportagem encontrada na busca, classificou as acusações como "grave provocação política"; a VEXIA não verificou diretamente essa declaração.

O que está em jogo

O relato do InfoMoney descreve uma sequência de eventos que se estende por vários meses.

Em junho, segundo a reportagem, um funcionário da equipe de desenvolvimento de carteiras baixou uma ferramenta de IA adulterada. A Binance detectou o problema, trocou o dispositivo e alterou as credenciais, mas, de acordo com o texto, as funções desse funcionário e de outros membros da equipe continuaram expostas ao invasor.

Em setembro, um engenheiro de software que procurava emprego participou de uma falsa entrevista, incluindo uma reunião virtual com um suposto CEO. Ao aceitar a "vaga", baixou um repositório de código malicioso no próprio computador.

Em 20 de outubro, o invasor usou esse computador e uma ferramenta interna de IA para assumir o controle da máquina do desenvolvedor de carteiras e de um segundo desenvolvedor da mesma equipe. Em 29 de outubro, com credenciais roubadas do primeiro, o hacker acessou o computador do segundo e executou um script malicioso, concretizando o roubo.

O FBI, de acordo com o InfoMoney, atribuiu o ataque a um grupo norte-coreano. O que está em jogo para as empresas não é o valor, mas o desenho: o ataque não rompeu um firewall, usou pessoas, ferramentas e permissões.

Como isso funciona

A engenharia social é a técnica de manipular pessoas para que elas mesmas abram a porta. Uma falsa entrevista de emprego é um exemplo eficiente por duas razões. A primeira é que o candidato espera receber arquivos e executar testes técnicos, como baixar um repositório de código para um exercício. A segunda é que o interlocutor, nesse tipo de golpe, assume uma identidade crível, como o de um CEO ou de um recrutador de empresa conhecida.

O segundo elemento é a cadeia de acessos. Segundo o relato, o ataque só se consumou porque um computador comprometido deu ao invasor um caminho até um segundo computador, de outro desenvolvedor da mesma equipe, e porque credenciais roubadas de um permitiram acesso ao outro. Na prática, isso se chama movimentação lateral: o invasor entra por um ponto fraco e vai saltando entre máquinas e contas até chegar ao ativo que importa.

O terceiro elemento é a ferramenta de IA adulterada. Aqui, vale a cautela do que a reportagem diz: uma ferramenta de IA baixada por um funcionário estava adulterada, e uma ferramenta interna de IA foi usada pelo invasor para assumir o controle de máquinas. O InfoMoney não detalha tecnicamente como isso funcionou, e a VEXIA não extrapola. O ponto geral é que ferramentas de IA instaladas sem validação de origem passam a ser parte da superfície de ataque da empresa, como qualquer software.

Por fim, a resposta ao incidente de junho. A reportagem diz que a empresa trocou o dispositivo e as credenciais, mas que as funções do funcionário e de outros membros da equipe continuaram expostas. Em termos práticos, trocar senha sem revisar o que a pessoa podia acessar, e quem mais tinha acesso equivalente, é uma correção incompleta.

Análise VEXIA

O fato é que o maior roubo cripto da história, segundo o relato disponível, não dependeu de uma falha sofisticada de tecnologia, e sim de pessoas e permissões. A leitura VEXIA é que o caso rompe uma fronteira organizacional que, em muitas empresas brasileiras, ainda é tratada como separada: segurança da informação, recursos humanos e gestão de ferramentas de IA.

O RH está na linha de frente. Candidatos são alvo, mas colaboradores também podem ser alvo de falsos recrutadores, e empresas que contratam para áreas sensíveis têm interesse direto em orientar o time sobre esse tipo de abordagem. Um processo seletivo legítimo da empresa não deveria exigir que o candidato baixe e execute código desconhecido em máquina pessoal ou corporativa, e uma regra simples nesse sentido já reduz risco, ainda que não o elimine.

A TI está na linha de defesa. A lição de permissões é conhecida e frequentemente ignorada por custo e comodidade: privilégio mínimo, segmentação entre máquinas e equipes e revisão de acessos após qualquer incidente, mesmo aquele considerado resolvido. O relato diz que o incidente de junho foi detectado e tratado; o que faltou, segundo a reportagem, foi revisar a exposição residual das funções. Isso mostra que detectar não é o mesmo que encerrar.

E a gestão de ferramentas de IA está no meio. Equipes técnicas adotam novas ferramentas por conta própria, e a política de quais ferramentas podem ser instaladas, de onde vêm e quem as audita costuma ser mais frouxa do que a de software tradicional. A Binance, segundo o InfoMoney, vai investir em detecção baseada em IA, o que mostra a ironia do cenário: a IA é, ao mesmo tempo, vetor de risco e ferramenta de defesa.

Para empresas de menor porte, que não têm uma equipe de segurança, o recado não é de pânico, e sim de higiene mínima. A maior parte do relato é replicável em escala menor: um funcionário com acesso a algo valioso, uma ferramenta nova instalada sem checagem e credenciais compartilhadas.

O que muda na prática

  • Oriente o RH e o time sobre falsos recrutadores. Combine uma regra clara: nenhum teste técnico exige baixar e executar código de origem desconhecida na máquina da empresa. Verifique a identidade do recrutador por canal oficial.
  • Faça inventário das ferramentas de IA em uso. Liste o que cada equipe instalou, de onde veio e quem aprovou. Bloqueie extensões e programas sem origem verificável.
  • Aplique privilégio mínimo. Quem desenvolve não precisa acessar o que movimenta dinheiro. Separe ambientes e limite o acesso de cada função ao estritamente necessário.
  • Após um incidente, revise permissões, não só senhas. Troque credenciais e também reavalie o que a conta comprometida e as contas vizinhas conseguiam acessar.
  • Use autenticação forte e monitoramento. Segundo fator em contas críticas e alertas de acesso incomum reduzem a janela de ação de um invasor.

Cenários e próximos passos

O que as fontes permitem acompanhar é limitado. O FBI espera tentativas de lavar os recursos por plataformas descentralizadas e serviços de conversão, e, segundo a TRM Labs, o processo pode levar meses. A Binance promete reembolso integral e diz ter reservas dos mesmos ativos para cobrir 90% do que foi levado. Se a recuperação de ativos for parcial, o custo final do incidente ficará com a empresa, e é isso que o mercado vai observar.

Para empresas fora do universo cripto, o caso funciona como estudo de cenário: o alvo mais valioso nem sempre é o mais protegido, e o elo mais fraco costuma ser humano. Vale revisar o próprio fluxo de contratação, de instalação de ferramentas e de acessos antes que um incidente decida a ordem das prioridades. A VEXIA acompanhará o desdobramento e atualizará o tema se houver confirmação técnica independente do método da invasão.

Fontes

Mais em Tecnologia, Gestão

Como esta matéria foi feita. A redação da VEXIA usou inteligência artificial para reunir e organizar fontes públicas (dados oficiais, empresas e imprensa especializada), e revisou o texto antes de publicar. As fontes estão citadas ao fim da matéria.

Adicionar a VEXIA como fonte preferida no GoogleAssim as matérias da VEXIA aparecem com mais destaque nas suas buscas e notícias.