Falsa seleção de emprego abriu caminho para invasão

A Binance perdeu US$ 6,3 bilhões em um ataque ocorrido em 29 de outubro. Especialistas atribuíram a ofensiva a um grupo ligado à Coreia do Norte. No entanto, a invasão começou semanas antes, quando um engenheiro baixou um teste de programação malicioso. O arquivo fazia parte de uma falsa entrevista de emprego.

Em julho, Jimmy Su, diretor de segurança da exchange, já havia alertado sobre esse método. Durante uma entrevista ao Cointelegraph, ele afirmou que falsas ofertas de trabalho preocupavam a empresa. Segundo Su, criminosos podem personalizar uma vaga e pedir que o funcionário execute códigos durante um teste técnico. Dessa forma, os invasores conseguem comprometer o dispositivo e coletar credenciais.

“O dispositivo fica comprometido e, então, eles podem começar a coletar credenciais”, afirmou Su. Depois disso, os invasores podem avançar pela rede interna.

O alerta não integrou a cobertura publicada em julho. Contudo, ganhou novo peso após o roubo de outubro, descrito por especialistas como o maior já registrado no mercado de criptomoedas. Uma publicação do Wu Blockchain no X também detalhou as medidas internas de prevenção.

“A equipe interna de Red Team da Binance realiza simulações mensais de phishing contra funcionários para avaliar a conscientização sobre segurança. Falhas repetidas podem levar à demissão.”

Malware escapou das ferramentas de segurança

De acordo com a investigação inicial da Binance, o engenheiro baixou a tarefa maliciosa em setembro. A ação ocorreu durante a falsa seleção profissional e abriu caminho para um ataque em várias etapas. Enquanto isso, os invasores prepararam a ofensiva durante meses. O roubo, por sua vez, aconteceu em poucos minutos.

A Reuters relatou que especialistas vincularam o ataque a um grupo de elite da Coreia do Norte. Su também explicou por que ferramentas de segurança podem não identificar esse tipo de armadilha. Por exemplo, um teste técnico pode solicitar o download de códigos do GitHub, uma ação aparentemente normal. Assim, o arquivo malicioso pode passar despercebido.

“Muitas ferramentas de antivírus talvez não consigam detectá-lo e sinalizá-lo”, disse Su.

A investigação da exchange descreveu uma falha semelhante. Durante a configuração da tarefa, o sistema executou um malware que escapou das ferramentas de proteção. Para evitar a detecção, o programa utilizou técnicas de ocultação e outros métodos de evasão. A partir daí, os invasores conseguiram ampliar o acesso à infraestrutura interna.

Su afirmou que a empresa precisava limitar esse risco. Embora funcionários possam buscar oportunidades externas, o executivo demonstrou preocupação com o uso de dispositivos corporativos. Além disso, ele declarou que a Binance deve detectar o problema quando um funcionário cai em uma entrevista falsa. A equipe de Red Team realizava testes mensais de phishing havia três ou quatro anos.

Funcionários que falhavam nas simulações recebiam treinamento adicional. Entretanto, falhas repetidas poderiam resultar em demissão. Na prática, as medidas buscavam reduzir o risco humano antes que um invasor alcançasse sistemas críticos. Ainda assim, o ataque mostrou que um único dispositivo comprometido pode abrir caminho para uma operação mais ampla.

Especialistas cobram barreiras internas mais robustas

Jonathan Alexander, diretor de tecnologia da OpenZeppelin, afirmou que a engenharia social representa uma ameaça conhecida. Porém, ele questionou por que exchanges não adotam proteções internas mais robustas. Essas medidas poderiam impedir a ampliação do acesso após o comprometimento do computador de um engenheiro. Nesse contexto, controles adicionais limitariam os danos causados por credenciais roubadas.

Alexander disse que alguns defensores das criptomoedas rejeitam limites de gastos por considerá-los incompatíveis com valores descentralizados. “É possível ter controles de segurança e proteções contra isso”, afirmou.

Alex Pruden, CEO da Project Eleven, destacou uma desvantagem básica das equipes de defesa. Os invasores precisam acertar apenas uma vez, enquanto as empresas precisam impedir todas as tentativas. Por isso, ele espera mais investimentos na proteção de ferramentas internas de inteligência artificial. Caso sejam comprometidas, essas soluções podem ser usadas contra as próprias empresas.

Kevin Gibson, da empresa de recrutamento Proof of Search, afirmou que os processos de contratação também estão mudando. Agora, clientes perguntam se os recrutadores conheceram os candidatos pessoalmente. De acordo com Gibson, uma oferta de emprego suspeita pode representar o primeiro passo para um prejuízo multimilionário. Portanto, a verificação da identidade passou a ter maior importância nas seleções.

Regras de cibersegurança variam nos Estados Unidos

Dados da Chainalysis indicam que plataformas de criptomoedas perderam mais de US$ 22,3 bilhões em roubos desde 2021. Ao mesmo tempo, exchanges dos Estados Unidos não seguem um único sistema federal de cibersegurança. As regras dependem do local de operação e das licenças estaduais de cada empresa. Como resultado, os controles técnicos podem variar entre diferentes jurisdições.

O Departamento de Serviços Financeiros de Nova York exige programas de cibersegurança e autenticação multifator. A instituição também determina a nomeação de um diretor de segurança da informação. Já outros estados aplicam principalmente regras destinadas a transmissores de dinheiro. Essas normas, contudo, muitas vezes não estabelecem controles técnicos específicos, como padrões de criptografia.

A Binance informou ter bloqueado 57 ameaças cibernéticas suspeitas ligadas à Coreia do Norte neste ano. Isso representa aproximadamente uma ameaça a cada cinco dias. Após o ataque, a empresa reforçou os controles de dispositivos e reconstruiu sistemas de carteiras afetados. Também refez ferramentas internas de inteligência artificial usadas em suas operações.

Além dessas medidas, a exchange fortaleceu os controles de acesso e revogou credenciais comprometidas. Em seguida, a companhia contratou especialistas independentes para revisar o incidente. A iniciativa buscou identificar as falhas exploradas durante a invasão. Com isso, a Binance pretende reduzir a possibilidade de ataques semelhantes.

	Receba nossas últimas notícias em primeira mão.   Adicione-nos como sua fonte preferida no Google    e toque em “Favorito” para priorizar nossas atualizações.