Binance sofreu ‘roubo do século’ por credenciais e acessos, e não por quebra de criptografia, dizem especialistas

A invasão que levou cerca de US$ 6,3 bilhões da Binance, na quinta-feira (29), não parece ter dependido de quebra de criptografia nem de roubo de chaves privadas, segundo especialistas em cibersegurança. Para eles, o ataque explorou credenciais e acessos, e um deles o classifica como o maior roubo do século até agora.

Leia também: Binance promete cobrir perdas após maior ataque hacker da história, de US$ 6,3 bilhões; empresas de segurança atribuem ação a grupos da Coreia do Norte

A corretora diz que a investigação inicial aponta o comprometimento do laptop de um engenheiro de DevOps, que deu ao invasor acesso a um contêiner de serviço, e que não encontrou evidência de vazamento de chave privada de carteira.

Binance Brasil diz que fundos de clientes seguem protegidos e saques estão suspensos

No Brasil, a BBrasil SPSAV, entidade da Binance que atende os usuários brasileiros, afirmou em comunicado publicado no X que os fundos dos clientes permanecem seguros. Segundo a empresa, a operação segue os requisitos de segregação estabelecidos pelo Banco Central, e os ativos virtuais ficam em cold wallets, as carteiras frias, que acrescentam uma camada de segurança.

Por precaução, os saques de ativos virtuais seguem temporariamente suspensos enquanto a companhia faz uma verificação de segurança. Os demais serviços da plataforma funcionam normalmente, e as retiradas serão retomadas assim que o processo terminar.

Leia também: Fundador da Binance ameaça vender ações da SpaceX após provocação de Elon Musk sobre ataque hacker e prejuízo bilionário

Ainda no comunicado, a empresa diz que a segurança dos ativos dos clientes continua sendo a maior prioridade e pede desculpas pelo inconveniente.

Credenciais válidas, e não criptografia, explicam ataque à Binance, diz TI Safe

Enquanto a corretora conduz a verificação, Leonardo Cardoso, diretor de Relações Institucionais da TI Safe, empresa brasileira de segurança cibernética, avalia que houve exploração de vulnerabilidades e comprometimento de credenciais válidas. Ele não acredita que a criptografia tenha sido quebrada, e considera que o caso envolve suborno ou compra de credenciais.

Segundo Cardoso, quebrar um blockchain é “praticamente impossível” com a tecnologia atual. Para ele, trata-se do “roubo do século” até agora.

Planejamento detalhado marca operação, avalia especialista

Cardoso afirma que uma empresa do porte da Binance não é derrubada da noite para o dia sem uma operação bem estruturada. Na avaliação dele, tudo foi arquitetado e planejado para que a execução ocorresse de forma extremamente rápida.

Leia também: Binance: o que sabemos sobre ataque hacker e quais devem ser os próximos passos

A TRM Labs diz que a preparação começou 36 horas antes e que a maior parte dos recursos saiu em cerca de 20 minutos.

Siga o Times | CNBC no Google e receba as principais notícias do Brasil e do Mundo.

Siga o Times | CNBC

Laptop de engenheiro da Binance pode ter sido só porta de entrada, diz Beephish

Glauco Sampaio, CEO da Beephish, afirma que, sem acesso a muitas informações, é difícil dizer o que ocorreu. Ele observa que, em ataques desse tipo, normalmente não é só um ponto de comprometimento que permite alcançar o objetivo.

Na leitura dele, o laptop pode ter sido a porta de entrada inicial. A partir dele, e usando os acessos que as credenciais e a máquina do usuário davam, houve escalação de privilégios até que fosse possível fazer os saques no ambiente de produção.

Sampaio acredita que corretoras como a Binance tenham controles bem implementados, baseados, por exemplo, em modelagem de ameaças. Ainda assim, com os ataques voltados a empresas que lidam diretamente com dinheiro ou criptoativos, esses controles precisam ser revistos com urgência e com mais profundidade.

Monitoramento de comportamento poderia ter travado saques, afirma Beephish

Para Sampaio, sistemas que movimentam ativos costumam ter trilhas de auditoria que registram qualquer ação. Esses registros devem alimentar um monitoramento de comportamento em tempo real, analisado por uma equipe que conheça a operação da empresa.

Ele compara a prática à prevenção a fraudes do setor financeiro tradicional, em que o cliente precisa, por exemplo, fazer uma selfie para confirmar uma transação fora do padrão. Segundo Sampaio, a mesma análise deve valer para transações sistêmicas, que não são executadas diretamente por usuários, com processos internos de aprovação antes da liberação da movimentação.

Sessões e tokens dispensam chaves privadas, explica Netskope

Ray Canzanese, diretor do Netskope Threat Labs, afirma que a diferença está entre o roubo de chaves privadas e o comprometimento da infraestrutura. Ao acessar o laptop do engenheiro, o invasor obteve sessões autenticadas e tokens de serviços internos presentes no equipamento, e por isso não precisava das chaves privadas.

Depois de ultrapassar as defesas de perímetro, ele usou o dispositivo da vítima para avançar para outros sistemas. Para Canzanese, o caso mostra o valor de arquiteturas de zero trust e de segmentação, principalmente em sistemas sensíveis que processam transações financeiras.

Muitas vezes, diz ele, sinais sutis aparecem antes de um ataque assim, entre eles comunicações com servidores externos de comando e controle e atividade ampla de reconhecimento, enquanto o invasor tenta descobrir o que consegue acessar. O monitoramento contínuo de comportamentos incomuns no tráfego interno e nas comunicações de entrada e saída da rede, combinado com sinais atípicos das transações em criptomoedas, pode ajudar a ligar esses indícios e conter o comprometimento antes do roubo.

Pós-quântica e gestão de dados entram no radar após caso Binance

Cardoso alerta que as empresas precisam se preparar para a computação pós-quântica, quando a criptografia poderá ser quebrada. Segundo ele, as organizações devem avaliar vulnerabilidades em seus dados, usar inteligência artificial no processo e incluir essas iniciativas nos planos de investimento.

Entre as prioridades, ele cita o DSPM, sigla em inglês para gestão da postura de segurança de dados, que reúne proteção, controle, monitoramento e gerenciamento de riscos. Para Cardoso, quem não adotar esse tipo de solução ficará mais exposto a vazamentos e a incidentes como o da Binance e o que ocorreu com o Smart Sampa.

Quer ganhar até US$30 na Cripto.com?

Resgatar meu cupom

Clique aqui e cadastre-se agora usando o cupom “timesbrasil” para ganhar um bônus de até US$30 na sua conta.

Siga o Times Brasil - Licenciado Exclusivo CNBC no