Quanto foi roubado no assalto à Binance?

O assalto foi avaliado em US$ 6,3 bilhões, segundo o artigo. Isso o tornaria um roubo extraordinariamente grande mesmo para a indústria de criptomoedas.

Quando a operação da Binance começou?

A Binance afirma que a operação começou em junho, embora só tenha sido explicada publicamente no início de novembro. A linha do tempo sugere uma campanha que se desenrolou ao longo do tempo, e não um único golpe relâmpago.

Como os atacantes entregaram o malware?

A Binance afirma que os atacantes usaram falsas entrevistas de emprego junto com malware. A entrevista falsa lhes deu um motivo crível para contatar os alvos e pedir que baixassem ou executassem algo.

O artigo diz quem foi o alvo ou o que o malware fez?

Não, a fonte não diz quem foi o alvo, o que o malware fez ou quais etapas do processo falso desencadearam a infecção. Os leitores devem tratar com cautela alegações que vão além do relato da própria Binance até que mais detalhes sejam publicados.

Assalto de US$ 6,3 bilhões à Binance: falsas entrevistas de emprego entregaram malware

Q: Por que falsas entrevistas de emprego funcionam como método de ataque?

Funcionam porque parecem rotineiras — profissionais estão acostumados a recrutadores entrando em contato, a videochamadas com estranhos e a serem solicitados a completar avaliações ou abrir arquivos. O pedido não parece um ataque porque chega embrulhado nas etapas normais de contratação.

A Binance divulgou detalhes de como sua corretora de criptomoedas foi comprometida em um assalto avaliado em US$ 6,3 bilhões. Segundo o The Guardian, a empresa afirma que os atacantes usaram malware e falsas entrevistas de emprego, e que a operação começou em junho. O caso do malware entregue por falsas entrevistas de emprego no hack da Binance é um estudo de caso útil porque aponta para longe de exploits exóticos e em direção a algo muito mais comum: uma pessoa sendo persuadida a se envolver com as pessoas erradas.

A cobertura pública até agora é breve, e vamos nos ater ao que foi declarado. Onde formos além disso, diremos, e o apresentaremos como orientação geral, e não como uma afirmação sobre como a Binance foi invadida.

Como a violação da Binance se desenrolou

Os fatos principais do relatório são diretos. A Binance revelou como sua corretora foi comprometida, e a empresa afirma que a operação começou em junho. O valor atribuído ao incidente é de US$ 6,3 bilhões, o que o tornaria um roubo extraordinariamente grande mesmo pelos padrões de uma indústria acostumada a números altos.

A linha do tempo importa. Uma operação que começa em junho e só é explicada publicamente no início de novembro sugere uma campanha que se desenrolou ao longo do tempo, e não um único golpe relâmpago. Isso se encaixa em um padrão que as equipes de segurança conhecem bem: os atacantes estabelecem uma base, aprendem o ambiente e agem quando estão posicionados para causar o maior dano. Não temos mais detalhes técnicos da fonte, portanto não vamos especular sobre etapas ou ferramentas específicas.

O hack da Binance: como falsas entrevistas de emprego entregaram malware

O elemento mais marcante é o método de entrega. A Binance afirma que os atacantes usaram falsas entrevistas de emprego junto com malware. Em termos gerais, esse tipo de isca funciona porque parece rotineiro. Profissionais estão acostumados a recrutadores entrando em contato, a videochamadas com estranhos e a serem solicitados a completar avaliações ou abrir arquivos como parte de um processo de contratação.

Essa rotina é exatamente o que um atacante explora. Uma entrevista falsa lhes dá um motivo crível para contatar alguém, um motivo para criar rapport e um motivo para pedir que o alvo baixe ou execute algo. O pedido não parece um ataque porque chega embrulhado nas etapas normais de candidatura a um emprego.

A fonte não diz quem foi o alvo, o que o malware fez ou quais etapas do processo falso desencadearam a infecção. Essas são questões em aberto, e os leitores devem tratar com cautela quaisquer alegações que vão além do relato da própria Binance até que mais detalhes sejam publicados.

Por que a engenharia social continua vencendo as defesas técnicas

Grandes corretoras gastam pesado em segurança, mas o ponto mais fraco costuma ser um ser humano tomando uma decisão que parece razoável. Controles técnicos podem bloquear arquivos maliciosos conhecidos e sinalizar tráfego de rede estranho, mas têm mais dificuldade com uma pessoa que abre algo voluntariamente porque acredita que faz parte de um processo legítimo.

A engenharia social também escala bem para os atacantes. Uma persona convincente de recrutador custa pouco para construir, e pode ser apontada para funcionários de quase qualquer organização. Uma vez que o malware chega a uma única estação de trabalho, o atacante pode obter um caminho para sistemas mais valiosos.

Isso não é exclusivo do universo cripto. Ataques que exploram a confiança em um canal familiar aparecem em toda a indústria. No caso de um crate Rust envenenado que roubava credenciais, o ponto de entrada foi uma conta de mantenedor comprometida, outro exemplo de atacantes mirando nas pessoas e contas das quais os sistemas dependem, e não apenas nos sistemas.

Como se proteger de malware baseado em recrutadores

Você não precisa trabalhar em uma grande corretora para encontrar esse tipo de isca. Qualquer pessoa com um perfil profissional público pode recebê-la. Estes hábitos gerais reduzem o risco:

Verifique o recrutador de forma independente. Procure a página oficial de carreiras da empresa e contate a firma por canais que você mesmo encontre, não por links na mensagem.
Trate pedidos para executar código como um sinal de alerta. Tenha especial cuidado se um processo de contratação pedir que você execute um script, instale uma ferramenta ou abra um arquivo desconhecido como "teste" ou "avaliação".
Use um dispositivo separado. Se precisar abrir arquivos de uma parte desconhecida, faça isso em uma máquina descartável ou isolada que não contenha credenciais de trabalho, carteiras ou contas pessoais.
Desacelere quando a oferta for boa demais. Remuneração incomumente alta, urgência ou pressão para agir rapidamente são sinais comuns de manipulação.
Mantenha softwares e ferramentas de segurança atualizados. Sistemas atualizados com proteção de endpoint não impedirão todos os ataques, mas elevam a barra.
Relate contatos suspeitos. Informe a equipe de segurança do seu empregador e denuncie o perfil à plataforma onde ele entrou em contato com você.

O que isso significa para você

Se você possui criptomoedas, a manchete é um lembrete de que até as maiores plataformas podem ser invadidas, e que você não deve presumir que qualquer custodiante individual seja imune. Distribuir o risco e proteger suas próprias contas com credenciais fortes e exclusivas e autenticação multifator continua sendo sensato.

Se você trabalha em ou próximo de tecnologia, finanças ou cripto, você é um alvo plausível para falsos recrutamentos. Suas habilidades e acessos são o que o tornam interessante, e a isca será adaptada para parecer uma boa oportunidade de carreira. Trate abordagens de emprego não solicitadas como trataria uma fatura inesperada: verifique primeiro.

Para todos os outros, a lição se aplica. Os atacantes preferem o caminho de menor resistência, e uma mensagem amigável de um estranho costuma ser mais barata do que um exploit técnico.

Principais conclusões

O relatório sobre o malware entregue por falsas entrevistas de emprego no hack da Binance mostra que o elemento humano continua sendo o ponto de entrada mais confiável para os atacantes, mesmo contra empresas bem equipadas. Seja cético em relação a abordagens não solicitadas de recrutadores, e nunca execute código ou instale software a pedido de alguém que você não verificou de forma independente.

Para ver como o malware chega às vítimas por canais que parecem confiáveis, leia nossa cobertura da análise da Microsoft sobre o malware NeedyMantis e do ataque à cadeia de suprimentos do Rank Math PRO. Os métodos de entrega diferem, mas o padrão é o mesmo: a confiança é a vulnerabilidade.