Binance revela nova tática de hackers que visam desenvolvedores para invadir empresas

Segundo o InfoMoney, o ataque à Binance, corretora de criptomoedas que teve aproximadamente US$ 6,34 bilhões em ativos digitais afetados em outubro de 2026, expôs uma estratégia que vem ganhando espaço entre os criminosos digitais ao longo deste ano: comprometer desenvolvedores de software, que costumam possuir permissões de acesso a ambientes tecnológicos e informações que não estão disponíveis para outros funcionários, para obter acesso a sistemas corporativos. Anderson Leite, pesquisador sênior de segurança da Kaspersky, explicou: “Para começar a colocar um código malicioso em algum software, algum pacote que depende de uma linguagem, você precisa comprometer o mantenedor, o dono daquilo. E o dono geralmente é o desenvolvedor” (em tradução livre).

Leite avaliou que a estratégia representa uma adaptação das técnicas tradicionais de engenharia social, nas quais os criminosos manipulam pessoas para obter informações ou acessos indevidos. “Os ataques estão sendo direcionados para os desenvolvedores, usando a linguagem desses profissionais, citando suas necessidades e interesses. É um e-mail de phishing cujo tema não é uma conta ou multa a pagar, mas sim um link de um pacote de linguagem de programação” (em tradução livre).

De acordo com o pesquisador, a abordagem explora características da rotina desses profissionais, que frequentemente precisam instalar bibliotecas de software, executar códigos e testar aplicações.

O ataque à Binance, ocorrido em 29 de outubro, ilustra como essa modalidade pode ser utilizada para comprometer empresas que possuem estruturas de segurança consolidadas. Segundo relatório divulgado pela corretora, a operação afetou aproximadamente US$ 6,34 bilhões em criptoativos, dos quais cerca de US$ 2,85 bilhões haviam sido congelados ou interceptados até a publicação do documento.

A investigação preliminar apontou que os criminosos passaram meses preparando a operação, combinando diferentes métodos para comprometer computadores de funcionários.

Em setembro, um engenheiro de software da Binance foi abordado por uma pessoa que se apresentava como recrutadora de uma empresa interessada em contratá-lo. Após participar de entrevistas, o profissional recebeu um teste de programação que deveria executar em seu computador corporativo; o material continha código malicioso, permitindo que os atacantes obtivessem acesso ao equipamento.

Com as credenciais obtidas, os invasores exploraram outros sistemas internos e alcançaram a infraestrutura relacionada às carteiras digitais da corretora.

Outro funcionário da Binance já havia sido alvo de uma tentativa de comprometimento em junho, por meio da instalação de uma ferramenta de desenvolvimento adulterada. Segundo a Binance, a operação também envolveu o uso indevido de uma ferramenta interna de inteligência artificial.

Para Leite, o episódio demonstra que os criminosos estão buscando pontos de entrada associados às pessoas que possuem acesso privilegiado, mesmo em organizações que investem em sistemas de proteção.

“O ponto mais fraco da empresa acabou sendo o funcionário, o desenvolvedor, que tinha chaves importantes para acessar a rede. Só porque você é da área de tecnologia, seja técnico ou é desenvolvedor, não quer dizer que está imune” (em tradução livre).

O comprometimento de desenvolvedores também pode ter consequências para organizações que não foram diretamente abordadas pelos criminosos, pois a produção de software depende de uma cadeia de fornecedores, formada por bibliotecas de código, ferramentas de desenvolvimento, serviços de armazenamento e componentes mantidos por terceiros.

Quando um criminoso consegue acessar as credenciais de um desenvolvedor responsável pela manutenção desses componentes, pode alterar programas ou publicar versões contaminadas, levando outras empresas a instalar código malicioso acreditando tratar-se de atualizações legítimas.

Na apresentação, Leite destacou que a Kaspersky identificou cerca de 14 mil pacotes maliciosos em projetos de código aberto até o fim de 2024, número 48% superior ao registrado em 2023. Em 2025, o volume chegou a aproximadamente 19,5 mil, representando um crescimento de 37%.

Ainda neste ano, a biblioteca JavaScript Axios, utilizada na comunicação entre aplicações e servidores, foi comprometida; criminosos obtiveram acesso a uma conta responsável pela manutenção do projeto e distribuíram versões adulteradas capazes de instalar programas maliciosos nos computadores de desenvolvedores.

Outro exemplo envolveu o grupo TeamPCP, associado a ataques contra ferramentas de desenvolvimento e segurança, com o objetivo de roubar credenciais e disseminar componentes comprometidos.

Para Leite, a prevenção começa pelo reconhecimento de que profissionais de tecnologia também estão sujeitos a golpes de engenharia social.

O pesquisador afirma que o conhecimento técnico não substitui treinamentos de segurança; ao contrário, o acesso privilegiado desses funcionários pode ampliar as consequências de uma invasão. “O treinamento de cibersegurança tem que ser para todos. Inclusive, eu faço treinamento de segurança, mesmo trabalhando com esse tema diariamente” (em tradução livre).

Entre as medidas recomendadas estão a verificação da procedência de ferramentas e bibliotecas, o controle dos programas executados em computadores corporativos e a utilização de ambientes isolados para testar códigos desconhecidos.

As empresas devem limitar o alcance das credenciais utilizadas pelos funcionários, estabelecer controles sobre os componentes incorporados aos projetos e adotar tokens de acesso com validade reduzida, além de revisar regularmente as bibliotecas utilizadas.

Manter um inventário de dependências de software ajuda a reduzir a exposição a componentes comprometidos e dificulta a utilização prolongada de credenciais roubadas. Para os usuários em geral, as orientações tradicionais continuam válidas: instalar programas de fontes confiáveis, manter ferramentas de proteção atualizadas e aplicar correções de segurança, embora o pesquisador observe que essas práticas precisam ser complementadas por outras camadas de proteção, já que até mesmo programas obtidos de fontes oficiais podem ser comprometidos.