EUA bloqueiam US$ 1,2 bilhão roubado da Binance e derrubam golpe norte-coreano que usava vídeos falsos em reuniões online
Justiça americana autorizou apreender ou bloquear parte dos cerca de US$ 6,3 bilhões levados da corretora em 29 de outubro. FBI também desmontou o FaceStealer, esquema que gravava webcams e usava deepfakes em falsas chamadas de Zoom e Teams.
O Departamento de Justiça dos Estados Unidos anunciou na quinta-feira (12) que obteve autorização judicial para apreender ou bloquear mais de US$ 1,2 bilhão em criptomoedas roubadas da Binance, a maior corretora de criptoativos do mundo, no ataque de 29 de outubro atribuído pelo FBI a hackers militares da Coreia do Norte. No mesmo anúncio, o órgão informou ter derrubado a infraestrutura em nuvem de outro golpe norte-coreano, batizado pelo FBI de "FaceStealer", que usava gravações secretas de webcam e vídeos falsos em reuniões online para invadir computadores e já teria rendido mais de US$ 400 milhões em 18 meses.
O valor bloqueado judicialmente é uma parte do que foi levado. O roubo à Binance, estimado em cerca de US$ 6,3 bilhões, é considerado o maior da história do mercado de criptomoedas.
O que foi recuperado da Binance
Segundo o Departamento de Justiça, o grupo que o FBI chama de TraderTraitor, formado por integrantes das Forças Armadas norte-coreanas, levou "mais de US$ 6 bilhões" em ativos virtuais da corretora por volta de 29 de outubro. Desde então, o governo americano e empresas do setor congelaram mais de US$ 2,7 bilhões desse total, e a Justiça já autorizou a apreensão ou o bloqueio de mais de US$ 1,2 bilhão. Parte dos congelamentos foi feita pelas emissoras de stablecoins Tether e Circle logo após o ataque, segundo a Bloomberg Law.
O próprio governo reconhece que o trabalho está longe do fim: de acordo com o órgão, os hackers seguem lavando os ativos por meio de pontes entre blockchains, misturadores e corretoras. A empresa de análise de blockchain Elliptic relatou nesta semana que os operadores norte-coreanos estão criando tokens sem valor e usando-os em pools de liquidez de corretoras descentralizadas para que o dinheiro não passe diretamente das carteiras com os ativos roubados para as de destino, conforme o site The Record, da Recorded Future.
Também na quinta, a Binance afirmou ter concluído a reposição de todos os ativos dos clientes afetados, com mais de US$ 6,34 bilhões de recursos próprios, vindos de seu fundo de emergência para usuários (SAFU), de um fundo de seguro de contratos futuros e do caixa da empresa, segundo a agência sul-coreana Yonhap. A reposição não significa que os valores roubados foram recuperados: a corretora comprou os tokens no mercado para recompor os saldos. A empresa publicou um novo retrato de suas reservas e disse que os usuários poderão verificar de forma independente o lastro de 1 para 1 depois que a prova criptográfica correspondente for gerada.
Como funcionava o golpe das videochamadas
O FaceStealer é descrito em um alerta técnico publicado pelo FBI na mesma data. O órgão atribui o esquema a hackers ligados ao Estado norte-coreano conhecidos no setor de segurança por nomes como Sapphire Sleet, APT38, BlueNoroff e Stardust Chollima.
O ciclo começa com uma vítima já comprometida. Os criminosos assumem contas dela em aplicativos como Telegram, LinkedIn, Slack ou Discord e, fingindo ser essa pessoa, convidam seus contatos para uma reunião por Zoom ou Teams, muitas vezes com agendamento por ferramentas como o Calendly. Perto do horário, enviam um link de endereço parecido com o verdadeiro, que leva a uma cópia falsa da plataforma de videoconferência.
Quando o alvo entra, os hackers exibem vídeos gravados anteriormente de vítimas que ele conhece, simulando uma reunião com vários participantes, e gravam a webcam do novo alvo. Em seguida, inventam uma falha técnica, como um problema de áudio, e enviam um comando ou link de "correção". Esse passo instala um programa malicioso que, segundo o FBI, permite roubar criptomoedas, capturar senhas e acessar contas e contatos da vítima, que passa a ser usada para enganar a próxima pessoa. Em vários casos, o roubo aconteceu meses ou mais de um ano depois da invasão inicial.
O FBI afirma que os hackers passaram a usar inteligência artificial para produzir vídeos falsos, os chamados deepfakes, de pessoas conhecidas do mercado de criptomoedas, a partir de fotos e vídeos públicos, para dar ainda mais credibilidade às reuniões. Com um mandado federal, o órgão apreendeu mais de 900 vídeos de webcam de vítimas usados no esquema.
Risco para o software de código aberto
O alerta chama atenção para um alvo além das carteiras de criptomoedas: desenvolvedores e mantenedores de bibliotecas de código aberto, cujas contas podem ser usadas para inserir código malicioso em pacotes baixados por milhões de pessoas. Segundo o FBI, neste ano um mantenedor de uma biblioteca JavaScript com dezenas de milhões de downloads semanais caiu no golpe e teve o acesso usado para criar dependências maliciosas, mas a detecção e a resposta rápidas evitaram um ataque em larga escala. Houve também tentativas contra mantenedores de repositórios no registro npm e, mais recentemente, de pacotes da linguagem Rust. O órgão não identificou a biblioteca no alerta.
Um agente do FBI disse ao The Record que não está claro se o FaceStealer foi um dos métodos usados para invadir a Binance. Os dois casos foram anunciados juntos, mas o Departamento de Justiça os trata como operações separadas.
O que o FBI recomenda
As orientações valem para qualquer pessoa que receba convites para videochamadas, especialmente de contatos novos ou pouco frequentes:
- entrar pelo aplicativo oficial do Zoom ou do Teams, digitando o código da reunião, em vez de clicar em links recebidos por mensagem;
- só ligar a câmera depois de ver, ouvir e conversar com quem fez o convite;
- nunca rodar scripts nem colar comandos no terminal a pedido de alguém durante a chamada; se for preciso atualizar o programa, fazer isso separadamente, pelo canal oficial;
- desconfiar de convites de agenda sem link, com o endereço da sala enviado só perto do horário;
- confirmar a reunião com a pessoa por outro meio, como telefone ou SMS.
Contexto: sequência de ataques a corretoras
Segundo o governo americano, o regime norte-coreano financia seu programa de armas em parte com o roubo de criptomoedas, que já soma bilhões de dólares nos últimos anos. O TraderTraitor também é apontado como responsável pelo roubo de cerca de US$ 1,5 bilhão da corretora Bybit, em fevereiro de 2025.
No Brasil, o Mercado Bitcoin, maior corretora de criptomoedas do país, confirmou um ataque às suas carteiras quentes, as que ficam conectadas à internet, na madrugada de 2 de novembro, quatro dias após o caso da Binance. A empresa diz que os clientes não terão prejuízo, informa ter bloqueado ativos equivalentes a mais de 33% dos valores envolvidos e não divulgou a autoria do ataque, que não foi atribuído publicamente à Coreia do Norte. Pelo comunicado oficial da corretora, o Pix em reais volta a funcionar pelo aplicativo a partir de 17 de novembro, enquanto o envio, o recebimento, a compra e a venda de criptoativos seguem suspensos.
_(53840386529).jpg){kind=link}