Engenharia social em criptomoedas: roubo de US$ 6 bilhões pela falsa entrevista

O roubo bilionário que começou com uma entrevista de emprego

A engenharia social em criptomoedas emergiu como uma das maiores ameaças ao setor financeiro digital. O episódio que marcou a indústria ocorreu quando criminosos desviaram US$ 6,3 bilhões da Binance, maior corretora de criptomoedas do mundo, através de uma falsa vaga de trabalho. O caso, além de evidenciar o prejuízo astronômico, revelou como os atacantes conseguiram penetrar uma das plataformas mais robustas do planeta mediante técnicas sofisticadas de manipulação psicológica.

Segundo a própria Binance, a invasão resultou de uma operação meticulosamente planejada ao longo de vários meses. Os criminosos direcionavam seus esforços para funcionários em posições estratégicas que possuíam acesso privilegiado aos sistemas críticos da empresa. A engenharia social em criptomoedas demonstrou-se extremamente eficaz porque aproveitava a confiança inerente aos processos de recrutamento profissional.

Como funciona a engenharia social no mercado de criptomoedas

De acordo com Hiago Kim, presidente da Associação Brasileira de Segurança Cibernética, os criminosos criam perfis falsificados, principalmente em plataformas como LinkedIn, fingindo ser recrutadores ou headhunters experientes. Eles oferecem oportunidades exclusivas de emprego, vagas especializadas ou acesso a bancos de talentos para futuras contratações. Essa abordagem segue um padrão bem definido: os criminosos selecionam profissionais com conhecimento técnico e que ocupam cargos com acesso privilegiado dentro das organizações.

O processo de engenharia social em criptomoedas funciona em etapas calculadas. Inicialmente, o falso recrutador estabelece contato e ganha a confiança da vítima. Posteriormente, solicita que o profissional participe de um teste técnico, apresentado como uma planilha, software, ambiente de programação ou arquivo para download. Nesse momento crítico, o golpe se concretiza. Ao executar o material recebido, a vítima inadvertidamente instala um programa que abre uma conexão secreta entre seu computador e os hackers.

Kim explica que o computador da vítima efetivamente se torna uma marionete sob controle remoto. O criminoso passa a manipular o equipamento usando as mesmas credenciais e permissões do funcionário comprometido. Quando a empresa analisa posteriormente os registros da invasão, todas as atividades maliciosas parecem ter sido executadas pelo próprio empregado, dificultando a detecção do crime.

Os detalhes da invasão bilionária da Binance

A Binance reportou que a operação de engenharia social em criptomoedas teve seus primeiros passos em junho, quando um membro da equipe de desenvolvimento de carteiras digitais baixou uma ferramenta de inteligência artificial adulterada. Embora a empresa tenha identificado o problema, substituído o dispositivo comprometido e alterado as credenciais, os invasores conseguiram coletar informações estratégicas sobre a estrutura organizacional e as funções específicas dos funcionários do departamento.

Meses depois, em setembro, um segundo engenheiro de software que buscava novas oportunidades participou de um processo seletivo que acreditava ser legítimo. O procedimento incluía até uma reunião virtual com quem se apresentava como CEO de uma empresa. Durante essa interação, o profissional baixou um repositório de código malicioso em seu computador corporativo. A partir daquele momento, os hackers obtiveram a porta de entrada necessária para avançar dentro da infraestrutura da corretora.

Em 20 de outubro, os criminosos utilizaram o equipamento comprometido conjuntamente com uma ferramenta interna de inteligência artificial para assumir o controle dos sistemas operados por dois desenvolvedores responsáveis pelas carteiras de criptomoedas. Nove dias depois, em 29 de outubro, ocorreu o roubo bilionário. O FBI posteriormente atribuiu o ataque a um grupo de hackers vinculado à Coreia do Norte, conclusão compartilhada por empresas especializadas em rastreamento de criptomoedas como TRM Labs e Chainalysis. A Coreia do Norte nega qualquer envolvimento.

Variações sofisticadas da engenharia social em criptomoedas

A falsa vaga de emprego representa apenas uma das múltiplas armadilhas utilizadas por criminosos. Modalidades envolvendo trabalhos pontuais e freelances vêm crescendo significativamente. Criminosos frequentemente se passam por gestores, coordenadores de equipes ou desenvolvedores que precisam resolver problemas técnicos específicos. Essas abordagens ocorrem em fóruns especializados, grupos de Telegram e Discord, redes profissionais e plataformas de contratação de serviços.

O criminoso publica uma questão técnica ou relata uma falha em determinado sistema. Quando um profissional experiente se oferece para colaborar, inicia-se um contato privado. Posteriormente, surge uma proposta remunerada para analisar código, corrigir bugs ou revisar projetos. O profissional acredita estar executando trabalho legítimo e recebe um script, ambiente de testes ou arquivo para análise. Ao executar esse material, acaba instalando mecanismos que concedem aos criminosos acesso aos sistemas corporativos.

Esse modelo de ataque prospera porque muitos profissionais conciliam empregos formais com projetos paralelos, consultorias e atividades de freelancer. A necessidade de diversificar renda os torna mais vulneráveis a essas armadilhas sofisticadas.

Falhas de governança que permitiram o avanço dos criminosos

Hiago Kim questiona por que uma única conta comprometida possuía potencial para causar prejuízo dessa magnitude. Para o especialista, participar de processos seletivos, preencher planilhas e realizar testes técnicos fazem parte da rotina profissional e não deveriam representar uma ameaça existencial. O caso evidencia uma falha de governança comum em muitas organizações: o excesso de privilégios concedido a determinados funcionários.

Frequentemente, profissionais acumulam autorizações para acessar sistemas críticos simplesmente por ocuparem cargos elevados. Quando uma conta desse tipo é comprometida, os criminosos herdam automaticamente as mesmas permissões. Ferramentas corporativas de segurança normalmente registram páginas acessadas, programas executados, credenciais utilizadas, arquivos baixados e diversas atividades em dispositivos da empresa. Contudo, nem sempre esses registros são tratados como sinais de alerta genuine.

Kim aponta que muitas vezes a informação existe nos logs de sistema. O acesso aparece registrado. Porém, como aquele profissional já possui autorização para realizar determinadas ações, a atividade acaba sendo interpretada como rotineira e inofensiva.

Monitoramento corporativo e limites legais

Segundo Luiz Fernando Plastino, especialista em Direito da Informática, é comum que organizações acompanhem conexões de rede, histórico de navegação, downloads realizados, programas instalados e o uso de ferramentas corporativas como e-mail e aplicativos de comunicação interna. Também podem identificar acessos considerados incomuns ou incompatíveis com a atividade exercida pelo funcionário.

A controvérsia emerge quando medidas mais invasivas são implementadas, como gravação permanente de tela, captura de teclado ou monitoramento detalhado de movimentos do mouse. Plastino alerta que qualquer medida de vigilância necessita ser informada previamente e de forma clara aos empregados. Embora a Consolidação das Leis do Trabalho não exija expressamente um aviso prévio para esse tipo de fiscalização, os princípios de transparência previstos na Lei Geral de Proteção de Dados tornam essa comunicação indispensável na prática.

Responsabilidades legais do funcionário comprometido

Do ponto de vista jurídico, a responsabilidade pelos danos causados requer um ato ilícito praticado com dolo ou culpa. Plastino explica que um funcionário pode ser responsabilizado em situações nas quais fica demonstrado que descumpriu procedimentos de segurança ou adotou comportamentos inadequados. Se o funcionário estava seguindo corretamente as políticas da empresa e ainda assim foi enganado por um golpe sofisticado, a responsabilização pode não ocorrer.

Juliana Mendonça, especialista em Direito do Trabalho, destaca que a responsabilização não é automática. Na análise do caso, fatores como treinamentos oferecidos, existência de políticas formais de segurança da informação, ferramentas de proteção adotadas pela empresa e a função exercida pelo trabalhador costumam ser considerados. Um erro isolado em decorrência de golpe sofisticado dificilmente gera condenação. O que geralmente pesa é o descumprimento deliberado de regras de segurança que o trabalhador conhecia e para as quais recebeu treinamento específico.

Justa causa e desligamento por engenharia social

Em regra, cair em um golpe não gera justa causa para desligamento. Mendonça afirma que um erro isolado e sem intenção dificilmente justificaria a punição mais severa prevista na legislação trabalhista. A justa causa exige falta grave capaz de romper a confiança entre empregado e empregador. A situação muda quando o trabalhador descumpre, de forma reiterada ou consciente, regras de segurança que conhecia e sobre as quais já havia sido treinado ou advertido.

Plastino acrescenta que o uso de computadores, sistemas e recursos corporativos é normalmente regulado por normas internas e políticas de tecnologia da informação, que podem prever penalidades para violações específicas. Cada organização estabelece seus próprios critérios disciplinares dentro da legalidade.

Ressarcimento de danos e descontos salariais

Mendonça explica que, se houver intenção comprovada de causar prejuízo, a empresa pode buscar ressarcimento dos danos e até realizar descontos relacionados ao prejuízo causado. Nos casos em que houve apenas culpa, como negligência ou imprudência, o desconto normalmente exige previsão contratual específica. Eventuais pedidos de indenização dependem de análise da Justiça, que tende a considerar a extensão do dano, a razoabilidade da cobrança e a situação financeira do trabalhador.

Medidas de proteção contra engenharia social

Especialistas afirmam que episódios como o da Binance demonstram que ataques modernos dificilmente dependem apenas de uma falha tecnológica. Cada vez mais, criminosos exploram relações de confiança, rotinas de trabalho e comportamentos profissionais para obter acesso a sistemas corporativos. Por isso, entre as medidas consideradas mais importantes estão a verificação cuidadosa da autenticidade de recrutadores e contratantes, cautela ao executar arquivos recebidos em processos seletivos ou trabalhos temporários, e comunicação imediata de qualquer atividade suspeita.

Do lado das empresas, especialistas defendem a adoção de políticas de confiança zero, revisão periódica de permissões de acesso, autenticação em múltiplos fatores, monitoramento contínuo de atividades suspeitas e treinamento frequente dos funcionários. A prevenção exige abordagem holística que combine tecnologia, processos e educação contínua. Somente através dessa combinação será possível reduzir significativamente o risco de ataques sofisticados baseados em engenharia social contra plataformas de criptomoedas e outras instituições financeiras digitais.