Se a sua equipe procura emprego ou testa programas novos no computador de trabalho, esse é exatamente o caminho do maior roubo da história das criptomoedas. Em 3 de novembro de 2026, a Binance publicou suas conclusões preliminares: o ataque que atingiu cerca de US$ 6,34 bilhões em 29 de outubro começou com duas entrevistas de emprego falsas com um engenheiro, encerradas com um teste de programação que ele baixou no notebook de trabalho. A lição prática para a sua empresa: nenhum arquivo de recrutadores externos em computadores de trabalho, nenhum software fora de uma lista aprovada e nenhuma permissão maior do que o cargo exige. Em 31 de outubro escrevemos sobre quem pode movimentar o dinheiro da sua empresa sem a sua assinatura; este artigo trata da porta por onde o invasor entrou.
O que aconteceu, passo a passo?
Segundo o relato da Binance sobre a investigação preliminar, o ataque passou por quatro etapas:
- Junho de 2026: um engenheiro da equipe de carteiras que procurava uma ferramenta de programação com IA baixou um instalador adulterado do Homebrew com malware. A equipe de segurança detectou o problema, trocou o computador e renovou as credenciais dele, mas informações sobre ele e seus colegas já tinham vazado.
- Setembro de 2026: alguém que se apresentava como diretor de projetos abordou um segundo engenheiro por uma plataforma de empregos e conduziu duas entrevistas: uma chamada de vídeo com uma suposta representante de RH e outra com uma pessoa que dizia ser CEO de uma empresa fictícia. Na segunda entrevista, pediram que ele baixasse um teste de programação no computador de trabalho; o código malicioso rodou durante a instalação e as ferramentas de proteção não o detectaram.
- 20 de outubro de 2026: o invasor usou o computador comprometido e uma ferramenta interna de IA da Binance para assumir o controle das máquinas de outros dois engenheiros.
- 29 de outubro de 2026: entre 17:15 e 19:56 UTC, o invasor acessou o computador do terceiro engenheiro com credenciais roubadas do primeiro, implantou um contêiner e disparou um script malicioso; as transferências das carteiras quentes vieram entre 20:05 e 20:09.
A Binance afirma que cerca de US$ 2,85 bilhões foram congelados ou interceptados, que havia reposto 98% dos ativos afetados até 31 de outubro e que detectou e bloqueou 57 casos de ameaças supostamente ligadas à Coreia do Norte em 2026. Ou seja, a plataforma resistiu a dezenas de tentativas e caiu em uma.
Por que a entrevista falsa funcionou?
Porque ela não se parece em nada com um e-mail de phishing. O funcionário não clicou em um link suspeito de um remetente desconhecido; ele entrou em um processo seletivo que parecia real: uma plataforma conhecida, uma entrevista por vídeo, uma representante de RH que compartilhou conteúdo da sua conta pessoal para ganhar confiança e depois um CEO. Baixar e executar um projeto é parte normal dos testes para desenvolvedores, então o pedido não chamou atenção.
A tática não é nova. O TechCrunch lembra que um relatório da CrowdStrike atribuiu cerca de metade das invasões a empresas de tecnologia dos Estados Unidos no ano passado a norte-coreanos que se passavam por profissionais de TI remotos ou recrutadores. O alvo não são apenas as corretoras de criptomoedas, mas qualquer pessoa com acesso a sistemas ou a dinheiro.
A segunda brecha: um programa baixado dos resultados de busca
A história não começou com a entrevista. Três meses antes, outro engenheiro instalou um software adulterado enquanto procurava uma ferramenta de IA. Isso acontece todos os dias em muitas empresas: um funcionário ouve falar de uma ferramenta nova, pesquisa, clica no primeiro resultado e instala com direitos de administrador. A lição mais importante é que a Binance trocou o computador e mudou as senhas, mas as informações já vazadas sobre a equipe ficaram com o invasor, que as usou meses depois.
6 regras para os computadores da sua equipe nesta semana
- Nenhum arquivo de recrutamento externo em computadores de trabalho: qualquer teste, projeto ou arquivo enviado por terceiros é aberto em uma máquina separada, sem acesso aos sistemas da empresa. É o mesmo conselho dos especialistas citados pelo TechTarget: manter o código das entrevistas longe de qualquer máquina próxima da produção.
- Apenas softwares de uma lista aprovada: retire os direitos de administrador local da equipe e faça as instalações passarem pelo responsável de TI, a partir do site oficial do fornecedor, nunca de um anúncio nos resultados de busca.
- Privilégio mínimo: quem pode movimentar dinheiro ou alterar sistemas sensíveis faz isso a partir de uma conta e de um computador dedicados, não da máquina em que navega e testa ferramentas.
- Permissões restritas para ferramentas internas de IA: na Binance, uma ferramenta interna de IA foi a ponte entre os computadores. Qualquer ferramenta que alcance os dispositivos da equipe ou os seus sistemas precisa de permissões estreitas e de um registro de tudo o que faz.
- Detectar não é o fim do incidente: se um computador for comprometido, não basta substituí-lo. Parta do princípio de que o conteúdo vazou, renove todas as senhas, chaves e tokens ligados a ele e à sua equipe, e monitore as contas dos colegas.
- Treine a equipe contra phishing com ofertas de emprego: uma oferta atraente que pede para baixar um arquivo ou executar código é um sinal de alerta, e procurar emprego em um computador de trabalho expõe a empresa inteira. Se você contrata remotamente, verifique a identidade do candidato antes de liberar qualquer acesso.
O que dizem os Controles Essenciais de Cibersegurança?
Os Controles Essenciais de Cibersegurança ECC-2:2024 da Autoridade Nacional de Cibersegurança (NCA) são obrigatórios para órgãos públicos e para entidades que possuem, operam ou hospedam infraestruturas nacionais críticas, e a NCA recomenda fortemente que todas as outras entidades os utilizem. Três deles cobrem diretamente este incidente:
- Controle 1-10-3: o programa de conscientização abrange o uso seguro do e-mail e o phishing, a navegação na internet e o uso de redes sociais.
- Controle 2-2-3-3: autorização com base na necessidade de saber e de usar, no privilégio mínimo e na segregação de funções.
- Controle 2-3-3-1: proteção de estações de trabalho e servidores contra vírus, programas suspeitos e malware com tecnologias modernas.
A visão da Origami
Vemos nas empresas sauditas o mesmo padrão que derrubou a Binance: um único computador que o funcionário usa para trabalhar, navegar, procurar oportunidades e testar cada ferramenta nova, com direitos de administrador completos porque é mais fácil. Um invasor não precisa de um exploit sofisticado se o próprio funcionário vai executar o arquivo.
A solução não é impedir a equipe de aprender ou testar ferramentas de IA, mas deixá-la testar em um ambiente que não alcance o dinheiro e os dados. Quando construímos sistemas para nossos clientes, separamos desde o início as contas do dia a dia das contas privilegiadas e registramos cada acesso a elas.
Conclusão
Uma violação de US$ 6,34 bilhões não começou com uma vulnerabilidade de servidor, mas com uma entrevista de emprego e um aplicativo baixado de uma busca. Reserve uma hora nesta semana com o seu responsável de TI: retire os direitos de administrador local da equipe, escreva a lista de softwares aprovados, separe os computadores com acessos sensíveis e avise a equipe de que nenhum arquivo de recrutador é aberto em um computador de trabalho. Se quiser uma revisão das permissões dos seus sistemas, fale conosco ou conheça os nossos serviços.
Fontes
- Binance — Security incident investigation update, 3 de novembro de 2026: a cronologia de junho, setembro, 20 e 29 de outubro, as duas entrevistas, os valores congelados e repostos, e os 57 casos de ameaças.
- Autoridade Nacional de Cibersegurança (NCA) — Essential Cybersecurity Controls ECC-2:2024: escopo e controles 1-10-3, 2-2-3-3 e 2-3-3-1.
- TechCrunch — Researchers warned of North Korean hacking tactics years before record $6.3B Binance heist, 3 de novembro de 2026: o número da CrowdStrike e os alertas anteriores.
- TechTarget — Binance details recruiter impersonation behind $6.3B wallet breach, 3 de novembro de 2026: conselhos de especialistas sobre os computadores de desenvolvedores.
- Nextgov/FCW — Binance says fake job interview helped North Korean hackers steal $6.3 billion, novembro de 2026: a atribuição à Coreia do Norte pelo FBI.
Perguntas frequentes
Nossa empresa não atua com criptomoedas. O ataque à Binance nos diz respeito?
Sim, porque o ataque não mirava nada específico de criptomoedas; mirava um funcionário com acesso. Uma entrevista de emprego falsa e um software adulterado encontrado nos resultados de busca podem invadir qualquer empresa em que alguém acesse o portal do banco, o sistema contábil ou os dados de clientes.
Como minha equipe pode perceber que uma oferta de emprego é falsa?
O sinal mais claro é o pedido para baixar e executar um arquivo ou projeto no próprio computador, principalmente depois de entrevistas rápidas com uma empresa sobre a qual não se encontra informação confiável. Mesmo quando a oferta parece genuína, a regra continua a mesma: nenhum arquivo de recrutador é aberto em um computador de trabalho.
Um antivírus basta para impedir esse tipo de ataque?
Não. No caso da Binance, o código malicioso foi executado e as ferramentas de proteção não o detectaram. O software de proteção é uma camada; ele precisa, além disso, da retirada dos direitos de administrador local da equipe, de uma lista de softwares aprovados e da separação entre os computadores com acessos sensíveis e os computadores de navegação.
Os Controles Essenciais de Cibersegurança da NCA são obrigatórios para minha empresa privada?
São obrigatórios para órgãos públicos e para entidades que possuem, operam ou hospedam infraestruturas nacionais críticas. Para as demais empresas, a Autoridade Nacional de Cibersegurança recomenda fortemente o seu uso, e os controles de conscientização, acesso e proteção de dispositivos formam uma lista de verificação pronta.
