FBI liga o grupo norte-coreano TraderTraitor ao roubo recorde de 6,43 mil milhões de dólares à Binance

O Federal Bureau of Investigation (FBI) dos EUA atribuiu oficialmente o roubo de cerca de 6,43 mil milhões de dólares em ativos virtuais da Binance ao TraderTraitor, um grupo de hackers alinhado com a Coreia do Norte, também conhecido como Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces e UNC4899. É o maior roubo de criptomoedas alguma vez registado — mais de quatro vezes o recorde anterior.

O que aconteceu

Em conjunto com os Serviços Secretos dos EUA e a unidade de investigação criminal do IRS, o FBI observou os atacantes a converter a maior parte dos fundos roubados em Ether (ETH). Os investigadores esperam que o passo seguinte seja o branqueamento através de protocolos de finanças descentralizadas (DeFi) e serviços de troca instantânea, e o FBI publicou uma lista de endereços de carteira associados à operação para que as plataformas de negociação e os prestadores de serviços os possam sinalizar.

Os números principais:

• 6,43 mil milhões de dólares roubados em 11 blockchains, com cerca de 82% em Ethereum e Bitcoin.
• Cerca de 2,85 mil milhões já foram congelados on-chain por emissores de stablecoins e redes como Tether, Circle, Ripple, Arbitrum e Optimism.
• O montante ultrapassa largamente o roubo de 1,46 mil milhões à Bybit, em fevereiro de 2025, até agora o recorde.
• Sozinho, quase duplica o total estimado de criptomoedas roubadas por atores norte-coreanos nos últimos anos, que ultrapassava os 6,5 mil milhões antes deste incidente.

A Binance suspendeu os levantamentos após a violação e iniciou uma reabertura faseada, disponibilizando a primeira vaga numa janela matinal limitada (UTC), enquanto prosseguem as verificações de segurança. Os depósitos não foram afetados.

Quem é o TraderTraitor

O TraderTraitor está ativo pelo menos desde 2020 e tem um longo historial de ataques à indústria Web3, normalmente convencendo funcionários a instalar aplicações com malware. O grupo já tinha sido associado a roubos à DMM Bitcoin, Bybit, KelpDAO e Bitget.

O seu modo de atuação continua a evoluir. A atividade recente mostra que o grupo:

• Envenena ferramentas de desenvolvimento — fornecedores (providers) Terraform trojanizados entregam um carregador Bash que descarrega malware adaptado ao sistema operativo da vítima. Entre eles está um implante multiplataforma chamado FLATROOF, que usa um infostealer em Python para extrair dados sensíveis, antes de instalar a backdoor ROOFDECK para controlo remoto total. Windows, macOS e Linux são todos alvos.
• Cria empresas e ofertas de emprego falsas — empresas de fachada, domínios feitos à medida, perfis nas redes sociais e recrutadores fictícios convincentes (incluindo uma alegada empresa de inteligência blockchain baseada em IA) servem para abordar profissionais de cripto, IA, blockchain e recrutamento e levá-los a executar código malicioso como parte de um «teste técnico».
• Usa IA para ampliar o engano — a IA generativa ajuda a criar iscos e perfis falsos convincentes e a escapar à deteção.

Estas táticas lembram outras campanhas norte-coreanas assentes em ofertas de emprego, como a Operation Dream Job e a Contagious Interview.

Porque é importante

A violação mostra que o elo mais fraco raramente é a própria blockchain — são as pessoas, os portáteis e os pipelines de compilação à sua volta. Um único programador que instale um fornecedor de infraestrutura como código comprometido, ou que conclua um falso teste de programação, pode dar aos atacantes acesso a sistemas que controlam milhares de milhões. E como os fundos estão a ser congelados cada vez mais depressa, os atacantes tentam branqueá-los rapidamente — a velocidade de deteção é decisiva.

O que fazer

• Proteja a cadeia de fornecimento. Fixe os fornecedores e módulos Terraform a origens e somas de verificação confirmadas, mantenha espelhos internos e reveja qualquer fornecedor novo ou desconhecido antes de chegar ao pipeline de CI/CD.
• Trate ofertas de emprego não solicitadas e «testes de código» como vetor de ataque. Nunca execute código fornecido por recrutadores num computador de trabalho; use ambientes isolados e descartáveis.
• Isole as operações de assinatura e tesouraria. Mantenha as chaves de hot wallets, a infraestrutura de assinatura e as consolas de administração em dispositivos dedicados e reforçados, com MFA por hardware e aprovação multipartes.
• Procure os indicadores publicados. Compare contrapartes e fluxos de transações com os endereços de carteira divulgados pelas autoridades norte-americanas e configure alertas para transferências invulgares.
• Monitorize os endpoints em todas as plataformas. Garanta que a cobertura EDR inclui os equipamentos macOS e Linux usados pelos programadores, com alertas para carregadores Bash inesperados, processos Python suspeitos e novos mecanismos de persistência.

Fornecedores e dependências envenenados são precisamente o tipo de problema que escapa a uma revisão superficial. A revisão de código assistida por IA da nossa equipa analisa repositórios de código-fonte, infraestrutura como código e dependências de terceiros para identificar componentes não fidedignos, segredos embutidos no código e alterações de risco antes de chegarem a produção — travando cedo este tipo de comprometimento da cadeia de fornecimento.