A organização sem fins lucrativos de segurança Security Alliance (SEAL) estima que o grupo TraderTraitor, ligado à Coreia do Norte, teve acesso aos sistemas da Binance cerca de oito semanas antes do ataque que drenou US$ 6,3 bilhões em 29 de outubro. A invasão inicial teria ocorrido em algum momento de setembro.
No relatório divulgado na quinta-feira (5), a SEAL afirma que atores maliciosos conseguem navegar por esses sistemas "com alto grau de sigilo por longos períodos" depois da entrada inicial. A organização identificou ao menos quatro empresas de fachada ligadas às campanhas de recrutamento falso do TraderTraitor em 2026: citalab.net, citalab.com, bitfit.io e oddium.io.
O padrão se repete em outros grandes roubos. Segundo a SEAL, os atacantes tiveram cerca de seis semanas de acesso antes do hack de US$ 388 milhões da Bitget e seis semanas nos sistemas da LayerZero antes da falha que levou à exploração de US$ 293 milhões da Kelp DAO, além de cerca de três semanas antes do ataque de US$ 24 milhões à AFX.
O que a Binance diz
A Binance atribuiu o roubo a uma falsa entrevista de emprego que permitiu comprometer o dispositivo de um funcionário e roubar credenciais para acessar a infraestrutura de carteiras. A exchange disse ter rastreado a campanha até junho, quando o dispositivo de outro funcionário foi comprometido: a empresa detectou o incidente e trocou o equipamento, mas os atacantes já haviam reunido informações sobre a equipe e as carteiras. O FBI atribuiu o ataque ao TraderTraitor; a Coreia do Norte nega o envolvimento.
O co-CEO Richard Teng afirmou que o ataque atingiu a hot wallet da própria exchange e que a "vasta maioria" dos ativos de clientes fica em carteiras frias, sem dar a divisão exata. Para o analista da CertiK Jonathan Riss, os US$ 6,3 bilhões somam o valor afetado em dez blockchains e, no Ethereum, os atacantes drenaram repetidamente uma hot wallet à medida que novos depósitos chegavam.