Binance: FBI aponta a Coreia do Norte, saques voltam e empresa diz ter reposto cerca de 95% do ataque de US$ 6,3 bi

Três dias depois do ataque hacker que atingiu cerca de US$ 6,3 bilhões em ativos da Binance, o caso mudou de fase. O FBI apontou a autoria, os saques voltaram e a empresa diz que já cobriu quase todo o prejuízo com recursos próprios. A investigação, porém, continua.

O que aconteceu

Na noite de 29/10, a Binance confirmou o ataque, com impacto estimado em cerca de US$ 6,3 bilhões (comunicado oficial). A investigação inicial apontou para o notebook comprometido de um engenheiro de DevOps. A empresa afirma que não encontrou evidência de vazamento de chaves privadas de carteiras.

FBI atribui o ataque à Coreia do Norte

Em 31/10, o FBI informou que a Coreia do Norte foi responsável pelo roubo de mais de US$ 6 bilhões da Binance. O órgão chama essa atividade de "TraderTraitor" (alerta do FBI; post do FBI Cyber Branch). Segundo o FBI, os ativos roubados vêm sendo convertidos principalmente em ether. O órgão pede que empresas do setor bloqueiem os endereços usados na lavagem.

A Binance não fez atribuição própria. A empresa apenas agradeceu ao FBI pelo apoio (post).

Dinheiro congelado não é dinheiro recuperado

O Serviço Secreto dos EUA disse em 01/11 que, minutos depois do ataque, seus investigadores trabalharam com parceiros do setor para identificar e congelar "uma parte significativa" dos fundos roubados. A investigação segue com o FBI, a Receita Federal americana (IRS-CI) e o Departamento de Justiça (post).

Empresas de análise de blockchain falam em cerca de US$ 2,8 bilhões congelados. A própria Binance citava "cerca de US$ 3 bilhões" em 29/10 (post). Congelado, porém, não quer dizer recuperado: até agora, nenhuma fonte oficial informou valor devolvido.

Quem paga a conta

A Binance diz que vai arcar com todo o prejuízo e que as perdas "não serão repassadas aos usuários". Em 31/10, a empresa informou ter reposto 90% dos ativos afetados (Update #3). Em 01/11, o número subiu para cerca de 95% (Recovery Update #4). Os 5% restantes são tokens menos líquidos, que demoram mais para ser comprados no mercado.

Para isso, a Binance usou só uma parte do fundo SAFU, a reserva criada para proteger usuários, além de parte do fundo de seguro de futuros e do caixa da empresa. Ela promete recompor o SAFU para cerca de US$ 1 bilhão.

Saques voltaram

No domingo (01/11), os saques voltaram em uma primeira fase. A rede do bitcoin foi a primeira, às 03h20 (horário de Brasília). Às 09h36, todas as 15 redes e ativos dessa fase estavam liberados (post). Os depósitos não chegaram a ser afetados.

Segundo a Binance, entre 03h e 12h30 (horário de Brasília) de domingo saíram US$ 4,649 bilhões em saques e entraram US$ 1,01 bilhão em depósitos. A saída líquida foi de cerca de US$ 3,64 bilhões, o equivalente a 2,1% dos US$ 171 bilhões em ativos da corretora, pela prova de reservas de 28/10 (post). A empresa diz que os volumes já estão se estabilizando. As demais redes seguem em teste, ainda sem data.

Linha do tempo (horário de Brasília)

• 29/10, 18h17: Yi He, co-CEO da Binance, diz que a equipe investiga relatos de um possível problema de segurança (post).
• 29/10, 20h22: a Binance informa US$ 2,54 bilhões congelados e verificados (post).
• 29/10, 21h04: Yi He escreve "User funds are safe. Binance will cover all hacking losses." (post).
• 29/10, 21h52: o valor congelado sobe para "cerca de US$ 3 bilhões" (post).
• 29/10, 23h25: comunicado com o impacto estimado de cerca de US$ 6,3 bilhões (post).
• 30/10, 01h36: depósitos normalizados e saques pausados (post).
• 31/10, 11h30: 90% repostos (post).
• 31/10, 19h36: o FBI atribui o ataque à Coreia do Norte (post).
• 01/11, 01h11: cerca de 95% repostos e anúncio da volta dos saques (post).
• 01/11, 03h20 a 09h36: saques reabertos na fase 1 (post).
• 01/11, 15h11: o Serviço Secreto dos EUA diz que segue investigando (post).

Brian Armstrong, CEO da Coinbase, ofereceu ajuda à Binance logo após o ataque.

O que ainda não se sabe

• Prova de reservas completa: a Binance tirou uma nova fotografia das reservas em 31/10. O relatório completo, com prova criptográfica, está previsto para 02 ou 03/11.
• Post-mortem técnico: ficou para depois do fim da investigação, sem data.
• Recuperação: não há valor oficial de fundos devolvidos.
• Próxima fase de saques: sem data.

Por que isso importa

O ataque começou, pelo que se sabe até agora, no computador de uma pessoa da equipe. A resposta da Binance mostra o outro lado da segurança: reservas para o pior cenário e comunicação frequente pesam tanto quanto a prevenção. A história ainda não acabou, e a prova de reservas completa deve sair nos próximos dias.

Quer ficar ligado no que acontece com esse caso? Siga a Startation.