Tópicos
- O golpe começou meses antes do roubo bilionário
- Como funcionou a falsa entrevista de emprego
- Três computadores, credenciais roubadas e uma ferramenta de IA
- Bilhões em criptomoedas começaram a sair em apenas quatro minutos
- Por que bloquear os saques não foi suficiente?
- Quanto do dinheiro roubado da Binance foi recuperado?
- Quem está por trás do ataque à Binance?
- O golpe da falsa entrevista não é novo e pode atingir outros profissionais
- Como identificar uma falsa entrevista de emprego? Veja os sinais
- Recebeu um teste técnico suspeito? Saiba o que fazer
- E se o arquivo malicioso já foi executado?
- O que o ataque à Binance revela sobre a segurança das empresas?
- Perguntas frequentes sobre o ataque à Binance
- Quanto foi roubado da Binance em 2026?
- A Binance recuperou os R$ 34 bilhões roubados?
- Quem realizou o roubo da Binance?
- É perigoso fazer testes técnicos em entrevistas de emprego?
- Uma entrevista por vídeo pode ser falsa?
- Fontes e documentos consultados
Na primeira entrevista, o recrutador apareceu por vídeo, conversou sobre a carreira do candidato e compartilhou um perfil pessoal nas redes sociais. Depois, veio uma segunda conversa, desta vez com alguém que se apresentava como presidente de uma empresa. Tudo parecia um processo seletivo normal. O problema é que a empresa não existia.
O candidato era um engenheiro de software da Binance. No fim da segunda entrevista, recebeu um teste técnico e baixou um projeto de programação no computador do trabalho. O arquivo escondia um código malicioso. Sem saber, ele havia ajudado criminosos a abrir uma nova porta para os sistemas da maior corretora de criptomoedas do mundo.
A falsa entrevista de emprego fez parte de uma operação que terminou, em 29 de outubro de 2026, no roubo de aproximadamente US$ 6,34 bilhões em criptomoedas, cerca de R$ 34 bilhões. O caso é considerado o maior ataque desse tipo já registrado no mercado de ativos digitais.
Os detalhes foram apresentados pela própria Binance em 3 de novembro. A investigação mostra que os hackers não dependeram de um único funcionário ou de uma senha roubada. Eles passaram meses identificando pessoas com acesso estratégico, comprometendo computadores e explorando sistemas internos até conseguir movimentar os recursos.
O golpe começou meses antes do roubo bilionário
Embora a falsa vaga tenha se tornado o episódio mais conhecido do ataque, a primeira etapa identificada aconteceu em junho de 2026.
Naquele mês, um engenheiro da equipe responsável pela infraestrutura de carteiras digitais procurava uma ferramenta de programação com inteligência artificial. Durante a instalação, acabou baixando uma versão adulterada do Homebrew, gerenciador de pacotes utilizado em computadores macOS.
A Binance detectou o comportamento suspeito, substituiu o equipamento e alterou as credenciais de acesso relacionadas ao funcionário. A reação, porém, não eliminou todas as consequências da exposição.
Segundo a empresa, os invasores já haviam obtido informações sobre o cargo do engenheiro e sobre outros profissionais que trabalhavam na infraestrutura de carteiras. Essas informações ajudaram a identificar novos alvos.
Três meses depois, os criminosos partiram para uma abordagem mais elaborada.
Como funcionou a falsa entrevista de emprego
Em setembro, outro engenheiro da Binance recebeu contato de uma pessoa que se apresentava como diretor de projetos. A abordagem ocorreu em uma plataforma legítima de busca de empregos, e o perfil do funcionário mencionava sua experiência na corretora.
O suposto recrutador organizou duas entrevistas. Na primeira, um representante de recursos humanos conversou ao vivo com o candidato por vídeo e compartilhou uma conta pessoal de rede social, com fotografias e vídeos.
Esse detalhe era importante para o golpe. A interação fazia o contato parecer mais confiável do que uma mensagem genérica enviada por um perfil desconhecido.
Na segunda etapa, o funcionário conversou por um aplicativo de mensagens com alguém que dizia ser o CEO da empresa. Perto do encerramento, recebeu uma atividade de programação para realizar como parte da seleção.
O teste técnico era a armadilha.
O material continha um repositório de código malicioso. Quando o engenheiro preparou o projeto em seu computador corporativo, o código foi executado e iniciou atividades não autorizadas.
De acordo com o relatório da Binance, o malware substituiu um componente legítimo de uma ferramenta de desenvolvimento por uma versão adulterada. Com isso, passou a executar comandos e estabelecer comunicação com um servidor controlado pelos invasores.
O programa também usava técnicas para esconder sua atuação. Naquele momento, a proteção instalada no equipamento não identificou a ameaça.
Três computadores, credenciais roubadas e uma ferramenta de IA
O comprometimento do computador utilizado na falsa entrevista não deu, por si só, acesso imediato aos bilhões de dólares guardados pela Binance. Os criminosos ainda precisavam alcançar os sistemas utilizados para movimentar os ativos.
A investigação descreve três engenheiros envolvidos involuntariamente na sequência de invasões:
- Engenheiro A: teve informações sobre sua função expostas no incidente de junho e possuía um token com permissão para implantar componentes na infraestrutura de carteiras.
- Engenheiro B: participou do falso processo seletivo e executou o projeto malicioso em setembro.
- Engenheiro C: teve seu computador comprometido em uma etapa posterior e foi utilizado pelos invasores na operação final.
Em 20 de outubro, os hackers utilizaram o equipamento do engenheiro B e uma ferramenta interna de inteligência artificial para avançar sobre os sistemas dos outros dois profissionais.
Durante essa movimentação, descobriram a existência de um token de implantação no computador do engenheiro A. Era uma credencial importante para a operação dos serviços de carteiras.
No dia 29, os invasores combinaram o acesso ao computador do engenheiro C com credenciais obtidas do engenheiro A. Implantaram um componente nos sistemas internos e executaram o código que desencadeou as transferências indevidas.
O episódio também ajuda a entender o papel da inteligência artificial no incidente. Não foi um chatbot que decidiu roubar as criptomoedas. Segundo a Binance, uma ferramenta interna de IA foi explorada como parte do caminho utilizado pelos criminosos para avançar entre sistemas.
O risco, portanto, envolvia tanto os equipamentos comprometidos quanto as permissões concedidas aos sistemas conectados a eles.
Bilhões em criptomoedas começaram a sair em apenas quatro minutos
Às 17h05 de 29 de outubro, no horário de Brasília, os hackers começaram a transferir ativos de carteiras conectadas à internet, conhecidas como hot wallets.
Nos quatro minutos seguintes, cinco carteiras da Binance enviaram 233,46 milhões de XRP para um endereço controlado pelos atacantes.
Outras movimentações atingiram diferentes redes de criptomoedas. No relatório divulgado pela corretora, aparecem transferências de aproximadamente 970.500 SOL, 44,2 milhões de OP e 18.270 BTC, além de operações envolvendo Ethereum e outros ativos.
A empresa recebeu alertas internos sobre os valores movimentados e começou a investigar. Suspendeu saques, trabalhou com parceiros para congelar tokens e tentou retirar as permissões utilizadas pelos invasores.
Mas havia um obstáculo: algumas autorizações maliciosas já estavam registradas diretamente na blockchain.
Por que bloquear os saques não foi suficiente?
Parte do ataque explorou o mecanismo EIP-7702 do Ethereum, que permite delegar determinados direitos de execução de uma conta para um contrato inteligente.
Em condições legítimas, esse recurso pode ser utilizado para autorizar operações sem revelar a chave privada da carteira. No ataque, os criminosos conseguiram estabelecer autorizações que permitiam movimentar ativos por um caminho separado do sistema convencional de saques da corretora.
Isso explica por que a suspensão de saques não interrompeu imediatamente todas as transferências.
Segundo a Binance, os criminosos chegaram a enviar 50 transações de assinatura para estabelecer permissões maliciosas. A empresa precisou desenvolver um procedimento específico para revogá-las.
A última transferência não autorizada, envolvendo 2.961,9 ETH, foi confirmada na blockchain às 20h56, quase quatro horas depois do início das movimentações identificadas.
Às 21h10, a Binance executou uma nova autorização para remover a delegação maliciosa identificada em uma de suas carteiras.
Quanto do dinheiro roubado da Binance foi recuperado?
O relatório preliminar publicado em 3 de novembro apresenta dois números que precisam ser interpretados separadamente.
- US$ 6,34 bilhões: valor aproximado dos ativos digitais afetados pelo roubo.
- US$ 2,85 bilhões: montante que a Binance informou ter conseguido congelar ou interceptar com ajuda de parceiros e autoridades.
Congelar um ativo não significa necessariamente que o dinheiro já foi devolvido à empresa. Significa que determinadas movimentações foram bloqueadas ou interrompidas, enquanto o processo de recuperação prossegue.
Há outra distinção importante. A Binance anunciou que havia recomposto 98% dos ativos em tokens afetados utilizando recursos para cobrir as perdas, conforme sua atualização de 3 de novembro.
Repor os ativos não é o mesmo que recuperar 98% do dinheiro dos criminosos. A recomposição utiliza recursos da própria corretora para restabelecer a cobertura dos saldos.
A companhia afirma que assumirá o impacto financeiro do ataque, sem transferir as perdas aos clientes. Também informou ter reconstruído sistemas comprometidos, substituído dispositivos e reforçado os controles de segurança.
O incidente repercutiu no mercado de criptomoedas. O Overdrive acompanhou a queda do Bitcoin após o ataque à Binance, em 30 de outubro, quando o episódio aumentou a preocupação dos investidores.
Quem está por trás do ataque à Binance?
O FBI atribuiu o roubo a uma operação de hackers vinculados à Coreia do Norte, identificada pelas autoridades americanas como TraderTraitor.
Em comunicado de 31 de outubro, a agência afirmou que os criminosos estavam convertendo parte dos ativos roubados em Ether e poderiam utilizar serviços financeiros descentralizados para dificultar o rastreamento das movimentações.
A empresa de análise de blockchain Chainalysis também associou o ataque ao grupo. Um dos elementos apontados foi a mistura de fundos roubados da Binance com ativos provenientes de um ataque anterior à corretora Bitget, igualmente atribuído a criminosos norte-coreanos.
O governo da Coreia do Norte rejeitou a acusação de envolvimento no caso.
O FBI publicou endereços de carteiras associados à movimentação dos ativos para que empresas do setor possam identificar e bloquear transações relacionadas.
O golpe da falsa entrevista não é novo e pode atingir outros profissionais
A técnica usada contra o engenheiro da Binance faz parte de um problema mais amplo: o uso de oportunidades profissionais para convencer pessoas a executar códigos, instalar programas ou entregar informações sensíveis.
Em março de 2026, a Microsoft descreveu uma campanha conhecida como Contagious Interview. Nela, criminosos se apresentam como recrutadores e oferecem entrevistas técnicas para desenvolvedores. O objetivo é induzir os candidatos a baixar projetos contaminados, muitas vezes hospedados em plataformas conhecidas de desenvolvimento.
O relatório da Binance não identifica formalmente seu incidente como uma operação específica dessa campanha, mas as técnicas apresentam semelhanças importantes.
Em alguns ataques documentados pela Microsoft, o código malicioso é executado durante a instalação das dependências de um projeto. Em outros, tarefas configuradas no editor Visual Studio Code podem iniciar comandos quando o usuário confia em um repositório desconhecido.
Outro método utiliza páginas falsas de entrevistas por vídeo. Uma suposta falha na câmera ou no microfone aparece na tela, seguida de uma orientação para instalar um aplicativo ou executar um comando que promete corrigir o problema.
O resultado pode ser a instalação de um programa capaz de roubar senhas, tokens de autenticação, informações de carteiras digitais e arquivos corporativos.
O uso de aplicativos adulterados também aparece em ameaças contra consumidores. O Overdrive mostrou, por exemplo, como o malware RatHat utiliza recursos de IA para roubar logins e códigos de autenticação no Android.
Como identificar uma falsa entrevista de emprego? Veja os sinais
O caso Binance mostra que uma entrevista por vídeo, um perfil em rede social ou um site de vagas conhecido não são garantias suficientes de autenticidade.
Algumas situações merecem atenção especial:
- Recrutador difícil de verificar: a pessoa afirma trabalhar para determinada empresa, mas não é possível confirmar seu vínculo por canais oficiais.
- Mudança inesperada de plataforma: o contato começa em um site de empregos e rapidamente passa para aplicativos externos, sem uma justificativa clara.
- Teste técnico com arquivos desconhecidos: o candidato recebe instruções para instalar dependências ou executar um projeto cujo conteúdo não foi verificado.
- Programa obrigatório para a entrevista: o suposto recrutador exige a instalação de um aplicativo de videoconferência ou de um complemento de origem duvidosa.
- Pedido para desativar proteções: a pessoa solicita que antivírus, alertas do navegador ou mecanismos de segurança sejam desabilitados.
- Pressa para executar comandos: o candidato é pressionado a resolver imediatamente uma suposta falha técnica seguindo instruções recebidas no chat.
Esses sinais não provam isoladamente a existência de fraude. Algumas empresas legítimas realizam avaliações técnicas e utilizam plataformas externas. O cuidado está em confirmar a identidade do contratante e verificar o material antes de executá-lo.
O mesmo princípio vale para outros golpes que exploram a aparência de instituições confiáveis. Em um guia sobre o golpe da falsa central bancária, o Overdrive explica por que informações verdadeiras e contatos aparentemente oficiais não comprovam a identidade de quem está do outro lado.
Recebeu um teste técnico suspeito? Saiba o que fazer
Para profissionais de tecnologia, a principal recomendação é não executar código desconhecido em um computador que tenha acesso a informações ou sistemas sensíveis.
Uma orientação conjunta de autoridades de segurança cibernética, divulgada em setembro de 2026, recomenda ambientes isolados para analisar projetos recebidos durante processos seletivos.
Na prática, algumas medidas reduzem o risco:
- Confirme a vaga diretamente com a empresa. Procure o recrutador pelo site institucional ou pelos contatos oficiais, sem depender apenas do endereço enviado na mensagem.
- Não use o notebook corporativo para testes externos sem autorização. Um projeto desconhecido pode comprometer credenciais e sistemas que pertencem à organização.
- Analise o repositório antes de executar qualquer comando. Verifique dependências, scripts de instalação e tarefas automáticas. Estar no GitHub ou em outro serviço conhecido não torna o código seguro.
- Utilize um ambiente isolado. Uma máquina virtual descartável, sem credenciais pessoais ou acesso à rede corporativa, ajuda a limitar os danos de um projeto malicioso.
- Desconfie de correções improvisadas. Erros de câmera, microfone ou configuração que exigem comandos copiados de um chat precisam ser verificados de forma independente.
E se o arquivo malicioso já foi executado?
Se houver suspeita de infecção, o primeiro passo é interromper a execução do programa e isolar o equipamento da rede. Em um computador corporativo, a equipe de segurança ou de TI deve ser avisada imediatamente.
O dispositivo precisa ser analisado por profissionais responsáveis pela resposta ao incidente. Também pode ser necessário revogar sessões, alterar senhas e invalidar tokens e outras credenciais que estavam disponíveis na máquina, preferencialmente utilizando outro dispositivo confiável.
Excluir o projeto baixado não garante que o malware tenha sido removido. Algumas ameaças instalam componentes adicionais e conseguem continuar operando depois que o arquivo original desaparece.
Se a abordagem também envolveu pagamento, fornecimento de dados pessoais ou prejuízo financeiro, o Overdrive reúne orientações no guia Caí em um golpe: o que fazer e onde denunciar.
O que o ataque à Binance revela sobre a segurança das empresas?
O caso chama atenção pelo valor roubado, mas o aspecto mais relevante da investigação é a combinação de falhas que permitiu aos criminosos avançar até uma infraestrutura financeira crítica.
Um computador comprometido não deveria, sozinho, ser suficiente para controlar bilhões de dólares. Na Binance, os invasores precisaram combinar informações sobre funcionários, acesso a equipamentos, credenciais, ferramentas internas e permissões de sistemas diferentes.
A própria corretora reconheceu a necessidade de rever seus controles de carteiras e seu processo de resposta a incidentes. Entre as medidas anunciadas estão a reconstrução dos ambientes afetados, o reforço da proteção de dispositivos, o monitoramento de comportamentos suspeitos e uma auditoria independente.
Esse é o principal alerta para outras organizações: a segurança não pode depender apenas de identificar um arquivo infectado. É necessário limitar o alcance de cada credencial e impedir que o comprometimento de um funcionário se transforme em autorização para movimentações críticas.
O ataque à Binance também não representa uma invasão ao protocolo do Bitcoin. O comprometimento ocorreu na infraestrutura utilizada pela corretora para administrar e transferir ativos digitais.
Enquanto a investigação continua, o episódio deixa uma mudança importante na forma de olhar para golpes de emprego. O criminoso pode não estar interessado no currículo, nos dados pessoais ou no dinheiro do candidato. Em determinados casos, o objetivo é muito maior: usar aquele computador para chegar aos sistemas da empresa onde a pessoa trabalha.
Perguntas frequentes sobre o ataque à Binance
Quanto foi roubado da Binance em 2026?
A corretora informou que aproximadamente US$ 6,34 bilhões em ativos digitais foram afetados no ataque de 29 de outubro de 2026, valor equivalente a cerca de R$ 34 bilhões na conversão aproximada utilizada na cobertura do caso.
A Binance recuperou os R$ 34 bilhões roubados?
Não há confirmação de recuperação integral dos ativos roubados. Na atualização de 3 de novembro, a Binance informou que US$ 2,85 bilhões haviam sido congelados ou interceptados. A empresa também afirmou ter recomposto 98% dos ativos afetados com recursos destinados à cobertura das perdas. São operações diferentes.
Quem realizou o roubo da Binance?
O FBI atribuiu o ataque ao grupo TraderTraitor, associado à Coreia do Norte. A atribuição também é apoiada por análises de empresas especializadas em blockchain. O governo norte-coreano nega envolvimento.
É perigoso fazer testes técnicos em entrevistas de emprego?
Testes de programação fazem parte de processos seletivos legítimos. O risco aumenta quando um candidato executa código ou instala ferramentas recebidas de contatos não verificados, especialmente em dispositivos corporativos ou computadores que armazenam credenciais e informações sensíveis.
Uma entrevista por vídeo pode ser falsa?
Sim. No episódio da Binance, o processo incluía uma conversa por vídeo com um suposto representante de RH e uma segunda entrevista com alguém que dizia ser o CEO da empresa. A existência das entrevistas não impediu que tudo fosse uma fraude.
Fontes e documentos consultados
- Binance: relatório preliminar do incidente de segurança de 29 de outubro, publicado em 3 de novembro de 2026.
- FBI: comunicado sobre a atribuição do ataque ao grupo TraderTraitor, de 31 de outubro de 2026.
- Chainalysis: rastreamento de ativos e análise da ligação com a Coreia do Norte.
- Microsoft Security: pesquisa sobre ataques por falsas entrevistas técnicas.
- Alerta conjunto de cibersegurança sobre falsas vagas de emprego e códigos maliciosos, de setembro de 2026.
Fontes: binance.com, fbi.gov, chainalysis.com, Microsoft e cyber.gov.au.
Comentários
Seja o primeiro a comentar