O fundador da Binance, Changpeng Zhao, classificou como “obviamente falsa/golpe” a alegação de que 335 milhões de registros de usuários foram roubados, questionando a decisão do suposto vendedor de oferecer chaves privadas por US$ 900.000 em vez de usá-las para tomar fundos.
Resumo
- CZ rejeitou a suposta venda de dados e criticou a cobertura da mídia sobre a alegação.
- A ThreatMon disse que o anúncio divulgava chaves privadas, documentos de identidade, senhas e registros de transações.
- A investigação preliminar da Binance não encontrou evidências de um comprometimento relacionado ao conjunto de dados anunciado.
- A Brandefense documentou anúncios semelhantes que remontam a outubro, sem confirmar que os dados eram genuínos.
CZ, respondendo no X em 9 de novembro, argumentou que qualquer pessoa que possuísse chaves privadas utilizáveis moveria a criptomoeda em vez de tentar vender as informações. Ele disse que tinha visto a alegação no dia anterior e considerou seus problemas óbvios.
“Vi ontem, achei óbvio, mas ainda assim muitos veículos de mídia aderiram por causa das manchetes”, escreveu ele.
Sua resposta citou a publicação da ThreatMon descrevendo um anúncio em fórum subterrâneo atribuído ao ShinyHunters. O próprio relato da conta de monitoramento sobre o anúncio dizia que a suposta violação não havia sido verificada de forma independente.
Binance contesta a suposta violação de 335 milhões de registros
A Binance já havia contestado o anúncio antes da intervenção de seu fundador. Como relatado anteriormente pelo crypto.news, a análise preliminar caracterizou o anúncio como um provável golpe e não encontrou indícios de que as informações anunciadas demonstrassem uma violação de seus sistemas.
Um porta-voz disse que a empresa estava investigando ativamente as alegações e havia revisado a descrição e as informações de amostra disponíveis naquele estágio.
A exchange identificou várias inconsistências. Afirmou que não armazena senhas de contas em texto simples nem mantém chaves privadas para carteiras externas de clientes. O anúncio fazia referência a jurisdições onde a Binance não opera mais, segundo o porta-voz.
A Binance sugeriu que anúncios semelhantes no passado envolveram informações coletadas por malware infostealer a partir de dispositivos de usuários individuais. Sua declaração não estabeleceu que este conjunto de dados específico veio de tal malware.
O vendedor alegou 335,9 milhões de linhas em 170 países
A publicação da ThreatMon descrevia um conjunto de dados contendo 335.900.000 linhas associadas a usuários em aproximadamente 170 países. O conteúdo anunciado incluía carteiras de identidade e passaportes, endereços de e-mail, números de telefone, senhas de contas, históricos de transações e detalhes de infraestrutura interna.
O vendedor alegava possuir chaves privadas de carteiras e informações sobre ativos nas carteiras quentes da Binance. Segundo a conta de monitoramento, o preço pedido era de US$ 900.000 em Bitcoin ou Monero, acompanhado de uma ameaça de publicar o material a menos que a Binance pagasse.
Uma amostra teria sido colocada atrás de um paywall de fórum. A ThreatMon descreveu especificamente as alegações sobre carteira quente e chave privada como não verificadas.
A crítica de CZ concentrou-se em como os veículos lidaram com a alegação, mas sua publicação não nomeou publicações individuais nem identificou manchetes específicas. Ele apresentou um argumento contra a alegação do vendedor sobre chaves privadas, sem publicar um exame técnico dos registros anunciados.
Anúncios anteriores tinham preços pedidos diferentes
A empresa de segurança Brandefense documentou quatro versões de um anúncio semelhante datadas de 30 de outubro a 2 de novembro. Sua pesquisa descreveu um texto quase idêntico aparecendo sob três nomes de contas do Telegram, deixando-a incapaz de determinar se um vendedor ou vários repostadores estavam envolvidos.
O preço anunciado variava. Uma versão de 1º de novembro pedia US$ 500.000 negociáveis, enquanto duas versões de 2 de novembro mencionavam US$ 900.000, com uma sugerindo que o preço poderia cair para US$ 500.000.
A Brandefense considerou o conteúdo misto e a oferta de chaves privadas mais consistentes com informações recicladas ou um golpe. A empresa disse que não havia aberto ou testado uma amostra até 3 de novembro.
Sua análise distinguiu a contagem de linhas anunciada de uma contagem de pessoas afetadas: 335,9 milhões de linhas não estabelecem que 335,9 milhões de clientes individuais tiveram informações roubadas.
O ataque à carteira de outubro teve um rastro de transações documentado
Em seu relatório de incidente de 3 de novembro, a Binance descreveu um roubo separado de US$ 6,34 bilhões em 29 de outubro, envolvendo acesso não autorizado ao seu serviço de assinatura de carteira.
O relato do ataque feito pela exchange rastreou a intrusão por meio de dispositivos de funcionários comprometidos e credenciais de implantação roubadas. Seu relatório afirmou que os atacantes usaram permissões do Ethereum para continuar movimentando ativos após a suspensão das retiradas normais.
A Binance relatou que a transferência não autorizada final de 2.961,9 ETH foi liquidada às 23:56 UTC de 29 de outubro. Seu relatório citou a atribuição do ataque à Coreia do Norte feita pelo FBI.
Separadamente, o alerta de setembro da Binance sobre mensagens de phishing descreveu mensagens alegando logins suspeitos ou alterações de conta e direcionando os destinatários por meio de links encurtados. A exchange afirmou que nunca pede aos clientes que verifiquem ou protejam suas contas por meio de links de mensagens de texto.
