O grupo de hackers ligado à Coreia do Norte, TraderTraitor, manteve acesso aos sistemas da Binance por aproximadamente oito semanas antes de executar o exploit de US$ 6,3 bilhões em 29 de outubro, segundo relatório da Security Alliance (SEAL) publicado na quinta-feira. O FBI atribuiu o ataque ao TraderTraitor, enquanto o Fed e o OCC estão consultando bancos dos EUA sobre sua exposição à violação.
Pontos Principais
- TraderTraitor acessou sistemas da Binance ~8 semanas antes do exploit de US$ 6,3 bi em 29 de outubro (estimativa da SEAL)
- FBI atribui ataque à Coreia do Norte via TraderTraitor; Kim Yo Jong nega envolvimento
- Fed e OCC consultam bancos dos EUA sobre exposição ao hack da Binance — primeiro grande teste da supervisão cripto pós-abril
- Padrões semelhantes de intrusão em múltiplos estágios: ~6 semanas antes do hack de US$ 388 mi na Bitget, ~6 semanas antes do exploit de US$ 293 mi na Kelp DAO, ~3 semanas antes do exploit de US$ 24 mi na AFX
- Binance rastreou campanha a junho com comprometimento de dispositivo de funcionário via falsa entrevista; detectado, mas inteligência já havia sido coletada
Resumo Executivo de Inteligência
Cronologia da Intrusão e Vetor de Ataque
A SEAL estima que os atores de ameaça obtiveram acesso inicial em algum momento de setembro, navegando pelos sistemas da Binance com um "alto grau de furtividade por longos períodos de tempo" antes do exploit de 29 de outubro. A Binance, separadamente, rastreou a campanha até junho, quando o dispositivo de um funcionário foi comprometido por meio de uma falsa entrevista de emprego. A exchange detectou e substituiu o dispositivo, mas reconheceu que os atacantes já haviam coletado inteligência sobre a estrutura da equipe e a infraestrutura de carteiras.
A cifra de US$ 6,3 bilhões torna este o maior hack registrado em uma exchange de criptoativos. A Binance atribuiu a violação ao roubo de credenciais de um dispositivo de funcionário comprometido, que permitiu o acesso à infraestrutura de carteiras. A SEAL identificou pelo menos quatro empresas de fachada — citalab.net, citalab.com, bitfit.io e oddium.io — usadas nas campanhas de falso recrutamento do TraderTraitor durante 2026.
Reconhecimento de Padrão em Grandes Roubos de Criptoativos
A análise da SEAL revela um padrão consistente de intrusão em múltiplos estágios em ataques recentes de alto perfil. A organização de cibersegurança estimou tempos de permanência semelhantes de aproximadamente seis semanas antes do hack de US$ 388 milhões na Bitget, seis semanas de acesso à LayerZero antes da vulnerabilidade que permitiu o exploit de US$ 293 milhões na Kelp DAO, e cerca de três semanas antes do exploit de US$ 24 milhões na AFX. Esse padrão sugere um manual operacional padronizado para atores ligados à Coreia do Norte visando infraestrutura cripto centralizada.
Resposta Regulatória e Exposição do Setor Bancário
O Federal Reserve e o Office of the Comptroller of the Currency (OCC) começaram a consultar bancos dos EUA sobre sua exposição à violação da Binance, marcando um teste significativo do quadro de supervisão cripto pós-abril. A agência de cibersegurança da Índia alertou separadamente sobre hackers alimentados por IA visando exchanges de criptoativos em "velocidade de máquina", indicando crescente preocupação soberana com padrões de segurança de exchanges. A Binance e a Deribit revogaram chaves de API da SignalPlus após um ataque relacionado de falso convite no Microsoft Teams.
Atribuição e Resposta Geopolítica
O FBI atribuiu formalmente o ataque ao grupo TraderTraitor da Coreia do Norte em relatório de sábado. Kim Yo Jong, irmã do líder norte-coreano Kim Jong Un, descartou as acusações. A atribuição alinha-se a um padrão mais amplo de operações cibernéticas patrocinadas pelo Estado norte-coreano visando plataformas de ativos digitais para gerar receita para o regime sancionado.
Perspectivas Futuras e Pontos de Monitoramento
Os principais desenvolvimentos a observar incluem o relatório abrangente de incidente e o cronograma de remediação da Binance, a potencial recuperação ou congelamento de ativos roubados, novas ações de aplicação da lei contra a infraestrutura do TraderTraitor, e eventuais orientações do Fed/OCC sobre padrões de custódia de criptoativos por bancos decorrentes das consultas de exposição. O tempo de permanência de 8 semanas também levanta questões sobre as capacidades de detecção em todo o setor de exchanges centralizadas.
