Como os hackers roubaram US$ 6,3 bilhões da Binance em minutos

2 dias atrás
0 2 lido 7 minutos
Como os hackers roubaram US$ 6,3 bilhões da Binance em minutos

A Binance ainda está descobrindo como os hackers conseguiram roubar cerca de US$ 6,3 bilhões em criptomoedas, mas os investigadores já identificaram duas partes importantes da história: o ataque foi vinculado ao grupo de hackers TraderTraitor da Coreia do Norte, e uma atualização do Ethereum deu ao invasor uma maneira de esvaziar uma das maiores carteiras quentes da exchange em uma única transação.

O roubo ocorreu ontem em 10 blockchains, com a maioria dos fundos saindo das carteiras controladas pela Binance em cerca de 20 minutos, de acordo com um relatório do TRM Labs. A Binance inicialmente apontou para um único laptop de engenheiro de DevOps comprometido, mas depois disse que havia pontos adicionais de violação em um processo de ataque complexo. Os detalhes de como o invasor obteve autoridade suficiente para as transações relacionadas das carteiras da Binance permanecem obscuros.

A Binance agora estima o impacto total em aproximadamente US$ 6,3 bilhões (cerca de US$ 3 bilhões dos quais foram congelados por vários terceiros) e afirma que cobrirá todas as perdas usando seu Secure Asset Fund for Users (SAFU) e outros fundos da empresa.

O que Binance disse

A primeira explicação pública da Binance sobre o que aconteceu apontou para um laptop pertencente a um engenheiro DevOps. Na noite passada, a exchange disse que sua investigação preliminar sugeriu que o laptop comprometido permitiu que um invasor acessasse um contêiner de serviço e enviasse transações de retirada não autorizadas. A Binance acrescentou que não encontrou nenhuma evidência de vazamento de chaves privadas.

O co-CEO da Binance, Richard Teng, esclareceu mais tarde que o ataque não foi simplesmente uma questão de abuso das permissões de um funcionário, postando no X: “O invasor não usou simplesmente as permissões de um engenheiro e esta não foi uma ação única de ‘um clique’. Envolveu um processo de ataque mais complexo”.

Teng acrescentou que a Binance descobriu pontos adicionais de violação, mas não atribuiu responsabilidade a nenhum indivíduo específico. A bolsa prometeu uma autópsia técnica detalhada após a conclusão de sua investigação.

Notavelmente, o chefe de operações comerciais de produtos da Coinbase, Conor Grogan, alertou durante o ataque que as varreduras da carteira de depósito da Binance ainda estavam em execução após o ataque inicial já ter ocorrido. Essas varreduras automatizadas transferem fundos de endereços de depósito de clientes individuais para as carteiras quentes agregadas da própria exchange. Neste caso, isso significava que novos depósitos poderiam reabastecer a carteira que o invasor já havia comprometido.

Observadores Blockchain apontam para a Coreia do Norte

Várias empresas e analistas de inteligência de blockchain atribuíram o ataque ao TraderTraitor, um grupo de hackers patrocinado pelo estado norte-coreano também associado ao Grupo Lazarus.

O TRM Labs disse que atribuiu o roubo ao TraderTraitor com “alta confiança”. A empresa apontou vários recursos que se assemelham a roubos de criptografia anteriores vinculados à Coreia do Norte, incluindo o hack de US$ 1,4 bilhão da Bybit em fevereiro de 2025. O cofundador e CEO da Chainalysis, Jonathan Levin, também escreveu no X que o hack da Binance foi “provavelmente feito pelo grupo TraderTraitor da RPDC” por causa de links para hacks anteriores. Além disso, o The Wall Street Journal informou que os investigadores estavam apontando para a Coreia do Norte, com o fundador da Elliptic, Tom Robinson, dizendo ao meio de comunicação: “Este é um roubo patrocinado pelo Estado em uma escala que nenhum grupo criminoso chega perto, com os rendimentos financiando os programas de armas da Coreia do Norte”.

O investigador da rede ZachXBT disse que os fundos do incidente da Binance e uma exploração separada de US$ 388 milhões do Bitget, que também estava anteriormente vinculada à Coreia do Norte, foram misturados no mesmo endereço após passarem pela exchange cross-chain THORChain.

A Coreia do Norte tem sido repetidamente acusada de usar hacks criptográficos para trazer moeda estrangeira, apesar das sanções internacionais. É claro que negam estas acusações e afirmam que não passam de propaganda proveniente do governo dos EUA. Uma estimativa de abril do TRM Labs colocou os ganhos de roubo de criptografia da Coreia do Norte em mais de US$ 6 bilhões desde 2017, mas o regime está conectado a bilhões de dólares em roubos adicionais desde então.

Como uma atualização do Ethereum ajudou o invasor

Do ponto de vista técnico, o que aconteceu no Ethereum é a parte mais interessante da história. Em termos de como o hack funcionou neste blockchain específico, TRM disse que o invasor financiou uma carteira de operadora por meio de pequenas retiradas do misturador de criptografia baseado em Ethereum Tornado Cash, preparou o ataque com bastante antecedência e preparou 50 autorizações EIP-7702 assinadas pela Binance antes de executar o roubo em uma explosão rápida. EIP-7702 é uma atualização do Ethereum que foi lançada em maio de 2025, e o recurso foi projetado para tornar as carteiras Ethereum comuns mais flexíveis, permitindo-lhes executar temporariamente o código de um contrato inteligente.

Uma conta de propriedade externa, ou EOA, é normalmente controlada por uma chave privada e não pode impor regras ou operações em lote de forma independente. O EIP-7702 permite assinar uma autorização delegando seu comportamento a um contrato inteligente, possibilitando ações como combinar aprovação e transferência de token. No caso da Binance, o invasor usou o EIP-7702 para transformar a Binance 14, uma das hot wallets Ethereum da exchange, em uma carteira que executa um contrato de varredura controlado pelo invasor.

De acordo com a reconstrução técnica do Blockaid sobre o ocorrido, o invasor apresentou uma transação contendo 50 autorizações EIP-7702, cada uma assinada pela Binance 14 e vinculada a um nonce consecutivo diferente. Um nonce é um contador que aumenta cada vez que uma conta Ethereum envia uma transação. Como a Binance 14 estava processando ativamente retiradas, seu valor estava sempre mudando. O invasor não sabia qual nonce estaria em vigor quando a transação de autorização fosse processada, por isso preparou antecipadamente 50 possibilidades diferentes. Um deles acabou sendo compatível.

Essa autorização apontou a Binance 14 para um contrato de varredura que somente a carteira do invasor poderia operar. Minutos depois, o invasor usou o contrato para movimentar aproximadamente 167.464 ETH, cerca de US$ 1,6 bilhão em USDT e mais de 60 outros tokens em uma única transação no valor de aproximadamente US$ 2,5 bilhões.

Para ser claro, o EIP-7702 não permitiu que um estranho assumisse o controle de uma carteira arbitrária. A autorização ainda tinha que ser assinada pela chave da carteira ou por infraestrutura capaz de produzir uma assinatura válida. As especificidades do uso do EIP-7702 também não se aplicam ao que aconteceu em outras blockchains.

O membro fundador e pesquisador do Ethlabs, Derek Chiang, argumentou que o EIP-7702 em si não estava quebrado. Em vez disso, o recurso tornou o roubo mais rápido e eficiente, uma vez que o invasor conseguiu obter autorizações válidas. Sem ele, o invasor precisaria enviar transações separadas para mover cada token, competindo com as retiradas legítimas da Binance pelo próximo valor da carteira.

Isso não é FTX

O roubo atraiu comparações com a FTX, mas as circunstâncias em torno deste incidente mais recente, pelo menos como são atualmente entendidas, parecem bastante diferentes. A Binance afirma que os fundos dos clientes estão seguros e que cobrirá perdas por meio do SAFU e dos fundos da empresa. Não há evidências públicas de que se tratasse de um trabalho interno ou de que a Binance estivesse insolvente.

Considerando que muitos dos fundos roubados foram congelados, a perda real do hack é provavelmente menor do que os US$ 4,3 bilhões em multas que a Binance concordou em pagar como parte de seu acordo de 2023 com o Departamento de Justiça dos EUA sobre violações envolvendo leis contra lavagem de dinheiro e sanções.

No X, o cofundador e ex-CEO da Binance, Changpeng “CZ” Zhao, recuou depois que Elon Musk reagiu a uma postagem que comparava a situação atual da Binance com o colapso anterior da FTX. Zhao pediu a Musk que parasse de trollar e apontou o investimento da Binance na SpaceX como prova dos recursos financeiros da empresa.

A exchange pode ter os recursos para tornar os clientes completos, mas os detalhes de como um invasor obteve autoridade suficiente para produzir assinaturas válidas em vários blockchains permanecem obscuros. A prometida postmortem da Binance precisará explicar não apenas o laptop comprometido, mas também os pontos de violação adicionais e os controles que não conseguiram impedir saques no valor de bilhões de dólares.

Source link

2 dias atrás
0 2 lido 7 minutos

Deixe um comentário

O seu endereço de email não será publicado. Campos obrigatórios marcados com *

Botão Voltar ao Topo