Hackers usam nova função do Ethereum para roubar US$ 2,5 bilhões da Binance

Hackers conseguiram retirar cerca de US$ 2,5 bilhões, 40% do total roubado, da corretora de criptomoedas Binance em uma única transação, utilizando uma nova funcionalidade da rede Ethereum. O ataque, que totalizou US$ 6,3 bilhões, explorou a atualização EIP-7702, projetada para facilitar o uso de carteiras digitais, permitindo que uma conta autorize um software a movimentar recursos em seu nome. O custo para os criminosos foi de apenas US$ 15 em taxas de rede.

A Binance detalhou que os invasores usaram falsas ofertas de emprego para enganar um engenheiro e levá-lo a baixar um código malicioso, em uma campanha sofisticada que envolveu engenharia social e inteligência artificial. Uma vez dentro do sistema, o alvo foi uma carteira conectada à internet, conhecida como Binance 14, utilizada para processar saques de clientes e que concentrava grandes volumes de Ether, stablecoins e outros tokens.

Atalho para o roubo em massa

A atualização EIP-7702, que entrará em vigor em maio de 2025, adicionou uma função semelhante a um pagamento automático para carteiras de criptomoedas. Antes, movimentações de diversos ativos exigiam autorizações separadas, aumentando o risco de detecção. Com a nova funcionalidade, uma carteira pode conceder a um software a capacidade de agir em seu nome, agrupando várias ações em uma única operação.

Por volta das 17h20 de 29 de outubro, no horário de Brasília, os hackers enviaram instruções com uma assinatura válida da carteira Binance 14, permitindo que um código controlado por eles agisse em nome da conta. Essa autorização inicial custou cerca de US$ 15 em taxas de rede.

Escapada mais rápida e controle mantido

Três minutos e meio após obterem a autorização, os hackers acionaram o software malicioso, que movimentou aproximadamente US$ 2,5 bilhões em uma única transação. O montante incluía 167.464 Ether e mais de 60 outros tokens, com destaque para US$ 1,6 bilhão em stablecoin Tether (USDT). A atualização EIP-7702 permitiu que os hackers agissem mais rápido e mantivessem o controle da carteira mesmo após a Binance detectar a invasão.

A autorização registrada no Ethereum não foi cancelada automaticamente com a suspensão dos saques pela Binance ou o desligamento da hot wallet. Os depósitos continuaram entrando, permitindo que os hackers realizassem mais transferências. No total, eles usaram a mesma autorização para retirar cerca de US$ 3,6 bilhões, incluindo os US$ 2,5 bilhões iniciais, além de US$ 823 milhões de outra conta da Binance e quatro retiradas subsequentes.

Medidas da Binance e próximos passos

Um porta-voz da Binance confirmou que a EIP-7702 teve um papel significativo no ataque. A corretora afirmou ter tomado medidas para mitigar o risco, incluindo a revogação da delegação afetada, a reconstrução da infraestrutura da carteira comprometida e a atualização de controles de assinatura e monitoramento. Foram implementadas políticas mais rígidas para transações de delegação, monitoramento comportamental reforçado e controles adicionais no nível das transações.

A Binance também reforçou os controles de acesso para impedir a exploração da via utilizada pelos invasores. A corretora assegurou que os recursos dos usuários permanecem protegidos e que a empresa absorveu o impacto financeiro do incidente. O FBI atribuiu o ataque à Coreia do Norte, que negou o envolvimento.