A Binance afirma ter perdido US$ 6,3 bilhões em um hack que começou com uma falsa entrevista de emprego. A exchange descreve os atacantes como ligados à Coreia do Norte. Segundo seu relato, eles passaram meses comprometendo funcionários e sistemas internos antes de executar o exploit.
Uma entrevista de emprego como porta de entrada
O ponto de entrada não foi um bug de software. Foi uma pessoa. De acordo com a Binance, os atacantes usaram uma falsa entrevista de emprego para comprometer os funcionários da exchange, o que é uma jogada de engenharia social e não uma invasão técnica. Nenhum zero-day exótico foi necessário para obter um ponto de apoio, apenas um discurso convincente e alguém disposto a atender a chamada.
Esse detalhe importa porque é a parte da história que uma exchange não pode corrigir com uma atualização de software. Treinamento de pessoal e controles de acesso interno são o que impedem esse tipo de ataque.
Meses de permanência antes do exploit
Não foi um ataque rápido. A Binance diz que os atacantes passaram meses comprometendo funcionários e sistemas internos antes do exploit em si. Vários funcionários, vários sistemas. O quadro é de uma intrusão lenta e paciente que se ampliou passo a passo, não de um laptop roubado.
A exchange não disse, pelo menos no relato disponível até agora, quantos funcionários foram afetados ou quando o comprometimento começou. Esses são os números que mostrariam por quanto tempo os atacantes conseguiram operar sem serem notados.
A camada de assinatura da hot wallet
O alvo era a infraestrutura de assinatura da hot wallet da Binance. Hot wallets são as carteiras conectadas que uma exchange usa para mover fundos rapidamente, e os sistemas de assinatura são o que autoriza essas transferências. Controle essa camada e você não precisa quebrar as carteiras. Você pode fazer com que elas aprovem as transações por você.
Isso se encaixa nos meses de preparação. Alcançar a infraestrutura de assinatura geralmente significa passar primeiro por pessoas e sistemas internos, que é exatamente o caminho que a Binance diz que os atacantes percorreram.
Onde entra o EIP-7702
O exploit usou o mecanismo EIP-7702 do Ethereum, segundo a exchange. É uma adição relativamente recente ao Ethereum, e sua aparição em um hack desse tamanho chamará a atenção de outras plataformas que dependem dele. Os fatos disponíveis não explicam como os atacantes o usaram, e seria especulação dizer mais.
O que eles estabelecem é a combinação. Um comprometimento em nível humano colocou os atacantes para dentro, e um mecanismo específico do Ethereum fez parte do exploit em si.
O que a Binance não disse
O valor de US$ 6,3 bilhões vem da Binance, assim como a ligação com a Coreia do Norte. A atribuição é a descrição da exchange sobre os atacantes, não uma conclusão de um investigador externo, e deve ser lida dessa forma até que outra pessoa se pronuncie.
Vários pontos básicos ainda faltam. Não há detalhamento de quais ativos foram levados. Não há informação sobre se algum fundo foi congelado ou recuperado. Não há cronograma de quando o exploit foi executado. O relato técnico completo da Binance sobre como a infraestrutura de assinatura foi alcançada, e como o EIP-7702 foi usado contra ela, é a próxima coisa a se procurar.
