Binance perde 6,3 mil milhões de dólares num ataque, quase tudo em 20 minutos

A Binance, a maior plataforma de criptomoedas do mundo, perdeu cerca de 6,3 mil milhões de dólares para piratas informáticos que esvaziaram as suas carteiras digitais em dez blockchains, a maior parte em cerca de 20 minutos. Trata-se do maior roubo de criptomoedas de que há registo, cerca de quatro vezes superior ao anterior recorde, de 1,5 mil milhões de dólares roubados à plataforma rival Bybit. A Binance suspendeu os levantamentos enquanto tenta perceber como conseguiram os atacantes entrar, pelo que, por enquanto, quem tiver moedas na plataforma não as pode transferir para fora.

A plataforma garante que os clientes não vão suportar as perdas. «A Binance cobrirá todas as perdas com o fundo SAFU e com os fundos da empresa. Os fundos dos utilizadores estão seguros», afirmou num comunicado, referindo-se ao seu Secure Asset Fund for Users, uma reserva de emergência criada para situações deste tipo. Os depósitos estão a funcionar normalmente. O problema está no acesso: até os levantamentos serem retomados, o saldo de uma conta Binance é algo que se pode consultar, mas não transferir para outro lugar — precisamente o risco que se corre ao manter criptomoedas numa plataforma de câmbio, em vez de as guardar numa carteira sob o próprio controlo.

A primeira explicação da Binance apontava para um único computador. A investigação inicial indicava que o computador portátil de um engenheiro de DevOps comprometido permitiu a um atacante aceder a um contentor de serviço e submeter transações de levantamento não autorizadas. Horas mais tarde, a empresa alargou essa explicação, afirmando ter «identificado outros pontos de intrusão» e classificando o incidente como um ataque complexo. Richard Teng, co-CEO da empresa, escreveu que «o atacante não se limitou a usar as permissões de um engenheiro, e isto não foi uma ação isolada de “um único clique”». A Binance afirma não ter encontrado indícios de que uma chave privada de uma carteira tenha sido divulgada.

Os investigadores externos descrevem um assalto preparado com antecedência. A empresa de análise de blockchain TRM Labs rastreou cerca de 6,36 mil milhões de dólares a sair de carteiras da Binance na Ethereum, Bitcoin, Tron, XRP Ledger, Solana e outras cinco redes, e detetou testes do código do ataque noutras carteiras, horas antes do roubo. Uma vez que carteiras com diferentes tipos de chaves e métodos de assinatura produziram todas assinaturas válidas para o atacante no espaço de cerca de meia hora, a TRM conclui que o mais provável é que o atacante tenha conseguido fazer com que o próprio sistema de assinatura da Binance aprovasse as transações que escolhesse.

A TRM atribui o ataque, com elevado grau de confiança, ao TraderTraitor, um grupo de piratas informáticos norte-coreano ligado ao Estado, que o FBI responsabilizou pelo roubo à Bybit. A Chainalysis chegou à mesma conclusão. A própria Binance não identificou qualquer responsável.

A corrida para congelar o dinheiro começou em poucos minutos. As stablecoins podem ser bloqueadas pelas empresas que as emitem, e foi isso que aconteceu: a Tether congelou cerca de 1,77 mil milhões de USDT, a Circle cerca de 825 milhões de USDC e a Ripple 40,5 milhões de RLUSD. Entretanto, segundo a TRM, o Conselho de Segurança da Arbitrum retirou à força cerca de 30 milhões de dólares da carteira do atacante na sua rede. A Binance estima que o total congelado ascenda a cerca de 3 mil milhões de dólares. A Bitcoin e a Ether não têm uma entidade emissora que as possa congelar, razão pela qual o atacante se apressou a trocar stablecoins por Ether, vendendo algumas com um desconto superior a 10% para as pôr fora de alcance.

É aqui que as garantias começam a parecer menos sólidas. A TRM estima que o atacante ainda controla mais de 420 000 ETH e 18 270 BTC, cerca de 2,4 mil milhões de dólares que ninguém pode bloquear, e prevê que os próximos passos passem por pontes entre blockchains, serviços de troca e corretores de balcão. A Binance não revelou que parte da sua reserva de emergência será consumida pelas perdas, nem publicou a causa principal do incidente. Para já, a garantia de que os fundos dos utilizadores estão seguros assenta na palavra da empresa, e a existência de «outros pontos de intrusão» não significa que a intrusão tenha sido contida.

As plataformas de câmbio são alvos tentadores porque guardam as moedas dos clientes em carteiras quentes, ligadas à Internet para permitir que os levantamentos sejam processados rapidamente. No mês passado, a Bitget perdeu 387,5 milhões de dólares num ataque que também atribuiu à Coreia do Norte. O mercado em geral também sentiu o impacto: depois da notícia, a Bitcoin e a Ether caíram e, ao meio-dia em Hong Kong, estavam a negociar com perdas de cerca de 2% a 3%, segundo a CNN.

A suspensão também abre uma janela de oportunidade para burlões. A Binance pediu aos clientes que «se mantenham atentos a burlas» e que «não confiem em ligações, mensagens ou pedidos de informações sobre a conta provenientes de fontes não oficiais». A plataforma não anunciou qualquer processo de reembolso ou recuperação que peça palavras-passe, códigos de verificação ou dados de carteiras. Por isso, uma mensagem a oferecer ajuda para acelerar um levantamento é uma burla, seja qual for o logótipo que ostente. A Binance não disse se algum país ou rede voltará a ter acesso antes dos outros.

Os levantamentos estão suspensos desde cerca das 22h15 UTC de 29 de outubro. Numa atualização divulgada na manhã de 30 de outubro, a Binance afirmou que continuava a prever retomar os levantamentos dentro de cerca de 45 horas, o que aponta para o início de domingo, 1 de novembro, embora não tenha esclarecido se todas as redes voltarão a estar disponíveis ao mesmo tempo. A empresa prometeu publicar uma versão atualizada do Proof of Reserves assim que as reparações estiverem concluídas e uma análise técnica do incidente quando a investigação terminar.

Até lá, a maior plataforma de criptomoedas está a pedir aos clientes aquilo que as criptomoedas foram concebidas para tornar desnecessário: confiança.

Etiquetas: cibersegurança, criptomoedas, Binance, Bybit, Richard Teng, TraderTraitor