Agências dos EUA atribuem ataque ao TraderTraitor
O FBI e o U.S. Secret Service alegaram que hackers norte-coreanos roubaram mais de US$ 6,3 bilhões da plataforma de criptomoedas Binance. As duas agências atribuíram o caso ao grupo TraderTraitor.
O FBI, o Secret Service e o IRS solicitaram a exchanges, empresas de finanças descentralizadas e outros operadores técnicos do setor que bloqueiem transações com origem ou derivadas de endereços usados pelo grupo para lavar os ativos. O FBI também divulgou uma lista de endereços usados para armazenar os recursos roubados.
Segundo o FBI, os atores do TraderTraitor foram observados convertendo os ativos principalmente em Ethereum. A agência espera que os recursos sejam submetidos a novas etapas de lavagem por meio de serviços de finanças descentralizadas e de troca instantânea.
Congelamento e impacto operacional
O Secret Service afirmou ter trabalhado, minutos após o ataque, com participantes do setor de criptomoedas e o Departamento de Justiça para identificar e congelar uma parcela significativa das criptomoedas roubadas. Especialistas em segurança de blockchain disseram que cerca de US$ 3 bilhões haviam sido congelados.
A Binance ficou fechada por vários dias e utilizou fundos de reserva para substituir as moedas roubadas. A empresa reabriu depósitos e saques na manhã de domingo.
Richard Teng, CEO da Binance, classificou a invasão como complexa e disse que o atacante usou um mecanismo de autodestruição que eliminava ferramentas e rastros, dificultando o rastreamento e a investigação. A empresa declarou ainda ter encontrado pontos adicionais de comprometimento após a apuração inicial.
Automação amplia desafio de monitoramento
Elliptic e Chainalysis alertaram que o grupo usava automação para lavar os fundos em velocidade que dificultava o monitoramento e o congelamento. Especialistas acompanharam milhares de transações, com recursos indo e voltando entre as mesmas carteiras antes de passarem por mixers e outras plataformas.
Tom Robinson, cofundador da Elliptic, disse que a lavagem operava de forma automatizada, provavelmente com supervisão humana, e não por um agente de IA. A Elliptic alertou que verificações isoladas e listas estáticas não capturam carteiras que recebem fundos desse conjunto de endereços horas depois.
Pierce Vaughn, investigador sênior da Chainalysis, afirmou que as automações do TraderTraitor já tinham procedimentos preparados para executar a fase seguinte da lavagem quando uma carteira recebia recursos ou havia liquidez disponível.
Recomendação editorial para gestores
Empresas que operam ou integram serviços de criptomoedas podem avaliar processos contínuos de triagem de transações e atualização de endereços de risco, em vez de depender apenas de verificações pontuais. A recomendação decorre do alerta da Elliptic sobre a movimentação programada dos recursos e da orientação das autoridades para bloquear transações relacionadas aos endereços identificados.
A definição de bloqueios, monitoramento e resposta a incidentes deve considerar as obrigações aplicáveis a cada organização e seus controles internos.