Hackers usam recurso do Ethereum para roubar US$ 2,5 bilhões da Binance em uma transação

Hackers conseguiram retirar US$ 2,5 bilhões, cerca de 40% do total roubado da Binance na semana passada, em uma única transação. A ação foi possível graças a um recurso do Ethereum, conhecido como EIP-7702, que permite a uma conta autorizar um software a movimentar recursos em seu nome, em vez de exigir autorizações separadas para cada transferência. O custo para os criminosos foi de apenas US$ 15 em taxas de rede.

A Binance, maior corretora de criptomoedas do mundo, detalhou que os invasores usaram falsas ofertas de emprego para enganar um engenheiro e levá-lo a baixar um código malicioso. Essa campanha sofisticada envolveu engenharia social, dispositivos comprometidos e técnicas de inteligência artificial. Uma vez dentro do sistema, os hackers tiveram como alvo uma "hot wallet", ou carteira conectada à internet, chamada Binance 14, utilizada para processar saques de clientes. Essa carteira costuma concentrar grandes volumes de Ether, stablecoins e outros tokens digitais.

O atalho da EIP-7702

A atualização EIP-7702 do Ethereum, prevista para ser implementada em maio de 2025, adicionou uma funcionalidade semelhante a um pagamento automático. Antes, uma carteira de criptomoedas funcionava de forma mais parecida com uma conta-corrente, exigindo autorização para cada transação. Com a atualização, uma carteira pode conceder a um software a capacidade de agir em seu nome, agrupando diversas ações. Por volta das 17h20 de 29 de outubro, no horário de Brasília, os hackers enviaram instruções com uma assinatura válida da carteira Binance 14, permitindo que um código controlado por eles agisse em nome da conta. Essa autorização foi estabelecida com o pagamento de taxas de rede.

Três minutos e meio depois, com as novas permissões, o software dos invasores movimentou aproximadamente US$ 2,5 bilhões em uma única transação. O montante incluía 167.464 Ether e mais de 60 outros tokens, com destaque para US$ 1,6 bilhão em stablecoin Tether (USDT). A capacidade de agir rapidamente com a autorização registrada no Ethereum impediu que a suspensão de saques pela Binance ou o desligamento da hot wallet cancelassem a ação.

Escapada mais rápida e consequências

"Em um ataque, o defensor quer desacelerar o invasor", disse Dan Caspi, cofundador e diretor de tecnologia da Hypernative. "A EIP-7702 ajudou os hackers a agir mais rápido e a manter o controle da carteira mesmo depois que a Binance detectou a invasão." Os depósitos na Binance 14 não foram afetados, permitindo que os hackers continuassem as transferências. No total, eles usaram a mesma autorização para retirar cerca de US$ 3,6 bilhões, incluindo os US$ 2,5 bilhões iniciais, US$ 823 milhões de outra conta da Binance e quatro retiradas subsequentes da Binance 14, segundo a empresa de inteligência de blockchain Elliptic.

Um porta-voz da Binance confirmou que a EIP-7702 "teve papel significativo" no ataque. A corretora afirmou ter tomado medidas para lidar com o risco, como revogar a delegação afetada, reconstruir a infraestrutura da carteira comprometida e atualizar controles de assinatura e monitoramento. "Isso inclui políticas mais rígidas para transações do tipo delegação, monitoramento comportamental reforçado, controles adicionais no nível das transações e procedimentos de revogação de emergência", disse o porta-voz. A Binance reforçou os controles de acesso para impedir novas explorações e garantiu que os recursos dos usuários permanecem protegidos, com a corretora absorvendo o impacto financeiro do incidente. O FBI atribuiu o ataque à Coreia do Norte, o que foi negado por Pyongyang.