O roubo de aproximadamente US$ 6,3 bilhões em criptomoedas contra a Binance foi concentrado em cerca de 20 minutos, segundo uma análise da empresa de rastreamento TRM Labs. Os ativos foram retirados de carteiras da corretora em ao menos dez blockchains e enviados para endereços controlados por um único invasor.
A movimentação começou por volta das 16h, no horário do leste dos Estados Unidos, em 29 de outubro. A Binance suspendeu depósitos e saques logo depois e afirmou que trabalha com autoridades para identificar os responsáveis. A empresa também declarou que cobrirá todas as perdas relacionadas ao ataque.
TRM Labs afirma que os preparativos começaram pelo menos 36 horas antes. O invasor teria realizado pequenos saques de teste, implantado e testado o código em diferentes carteiras e, quatro horas após um ensaio final, instalado a mesma ferramenta em uma carteira quente da Binance. Esse tipo de carteira permanece conectado à internet para permitir operações, como retiradas de clientes.
Suspeita de envolvimento norte-coreano
TRM Labs e Chainalysis associaram inicialmente o ataque ao grupo TraderTraitor, apontado por empresas de análise como ligado a operações norte-coreanas. A Elliptic identificou sobreposições com ataques anteriores, mas não atribuiu especificamente o caso ao grupo. Nenhuma autoridade policial ou a própria Binance confirmou essa ligação.
Entre os indícios citados pelos pesquisadores estão a possível invasão do computador de um funcionário, o uso de Tornado Cash para financiar uma carteira e a realização de ensaios antes do ataque. A Chainalysis também afirmou ter observado a mistura de parte dos valores roubados com fundos de um ataque ocorrido no mês anterior contra a Bitget, atribuído por pesquisadores a atores norte-coreanos.
O TraderTraitor já foi associado pelo FBI ao roubo de US$ 1,5 bilhão contra a corretora Bybit no ano anterior. Segundo especialistas ouvidos pela WIRED, o grupo costuma mirar empresas de criptomoedas e organizações de finanças descentralizadas.
Parte dos ativos pode não ser recuperada
Empresas de criptomoedas conseguiram congelar cerca de metade dos valores. A Elliptic estimou que aproximadamente US$ 2,8 bilhões, ou 44% do total, estavam bloqueados, principalmente em stablecoins. Os cerca de US$ 3,3 bilhões restantes seriam compostos sobretudo por Bitcoin, Ether e XRP, ativos que não podem ser congelados diretamente.
A Chainalysis identificou milhares de transações rápidas e classificou o padrão de lavagem como diferente dos observados anteriormente. A empresa avalia que os responsáveis usam automação para dificultar o rastreamento. A Binance informou que sua investigação começou com a hipótese de um notebook comprometido, mas encontrou outros pontos de violação.
