O ataque hacker de US$ 6,3 bilhões à Binance começou com uma entrevista de emprego falsa. Os invasores tiveram meses de acesso à exchange e usaram um golpe que outras empresas de cripto já tinham descrito antes.
Na terça-feira (3), a Binance revelou que o ataque de quinta-feira (29) partiu de dois engenheiros, cujos computadores foram comprometidos em momentos diferentes.
Golpe de emprego custou mais de US$ 6 bilhões à Binance
O primeiro caso foi em junho. Um engenheiro baixou um pacote de software adulterado enquanto procurava uma ferramenta de inteligência artificial. A Binance viu a infecção, trocou o computador e mudou as credenciais. Mas os invasores já tinham coletado informações sobre o funcionário e sobre a equipe responsável pela carteira da exchange.
Em setembro veio a entrevista falsa. Outro engenheiro foi abordado em uma plataforma de recrutamento legítima. O suposto empregador marcou entrevistas em vídeo com alguém do RH e com uma pessoa que se passava pelo CEO. No fim, o engenheiro recebeu um teste de programação, e os arquivos baixados tinham um malware que driblou o antivírus do computador.
Na terça-feira (20), os invasores usaram esse computador e uma ferramenta interna de IA para tentar chegar a outros engenheiros. Depois, roubaram credenciais de implantação e as usaram para inserir códigos maliciosos na infraestrutura da carteira da Binance.
Os saques fraudulentos começaram na quinta-feira (29). Em poucas horas, cerca de US$ 6,3 bilhões saíram. A Binance diz que cerca de US$ 2,85 bilhões foram congelados e que 98% dos tokens afetados foram repostos com recursos da própria empresa.
Outras exchanges já haviam alertado sobre esses ataques
O golpe de ataque hacker em entrevista de emprego já era conhecido antes da Binance. Em maio de 2025, a Kraken contou como identificou um suposto agente da Coreia do Norte tentando entrar na equipe de engenharia. Em agosto de 2026, a Coinbase descreveu outro caso suspeito e mostrou como atividades fora do padrão ajudaram a identificar um possível contratado comprometido.
A Microsoft foi mais direta. Em março, alertou que hackers ligados à Coreia do Norte usavam entrevistas falsas para desenvolvedores como forma de infectar computadores.
Por que a Binance não impediu?
Há três dúvidas sem resposta. Por que um funcionário pôde rodar um teste de programação sem verificação em um computador ligado aos sistemas da empresa? Por que a infecção de junho continuou a ter efeito depois de a Binance detectá-la e agir? E como credenciais de implantação roubadas chegaram, no fim, a sistemas que autorizam saques de bilhões?
A Binance não disse quais proteções falharam nem se os alertas de outras empresas levaram a um reforço de segurança.
O FBI atribuiu o roubo ao grupo TraderTraitor, da Coreia do Norte, e a irmã do líder do país chamou a investigação de provocação política.
A pergunta central, para a Binance, é como um golpe de recrutamento já conhecido chegou à infraestrutura que protege bilhões dos clientes.
