Pacific News #322: O Capricho do Destino

Assunto do momento: Coreia do Norte leva US$ 6,3 bilhões da Binance em grande ciberataque

O que aconteceu: Na noite de 29 de outubro de 2026, um atacante drenou cerca de US$ 6,3 bilhões das carteiras da Binance, a maior exchange de cripto do mundo. A maior parte saiu em cerca de 20 minutos, espalhada por dez blockchains diferentes. Firmas de rastreamento como TRM Labs e Chainalysis atribuem o golpe ao TraderTraitor, grupo estatal norte-coreano, o mesmo apontado pelo FBI no hack de US$ 1,5 bilhão da Bybit, em 2025.

Por que isso importa: É, disparado, o maior roubo de criptomoedas já registrado, cerca de quatro vezes o recorde anterior. Mostra que nem a maior exchange do planeta, com mais de 335 milhões de usuários, está imune. O padrão se mantém, com atores estatais mirando a infraestrutura financeira digital. Os preços de cripto caíram com a notícia, e o episódio se soma ao clima de “Black October” que já vinha assustando o mercado.

Como entraram: Segundo a Binance, o ataque começou em um notebook comprometido de um engenheiro, o que permitiu ao invasor acessar um service container e submeter transações de saque não autorizadas. Investigações, como da TRM, apontam na mesma direção, um comprometimento da infraestrutura que assina as transações das hot wallets. 

A resposta da Binance: A exchange suspendeu depósitos e saques, acionou a polícia e afirmou que vai cobrir todas as perdas, garantindo que os fundos dos usuários estão seguros. Até agora, cerca de US$ 3 bilhões que passaram por carteiras ligadas aos ciberatacantes já foram identificados e congelados. O fundo de emergência SAFU, de cerca de US$ 1,2 bilhão, cobriria aproximadamente um terço do que resta, com o restante saindo do caixa da própria empresa.

O detalhe que viralizou: A World Liberty Financial, empresa de cripto ligada a Donald Trump e à sua família, disse ter atuado junto à custodiante BitGo para congelar parte dos fundos roubados, colocando um nome político no meio da corrida para rastrear o dinheiro.

Saiba mais (para quem quer se aprofundar): Alguns pontos técnicos e de contexto:

• A conta exata ainda dança. A Binance fala em impacto de cerca de US$ 6,3 bilhões, a TRM estima US$ 6,36 bi movidos e a Chainalysis trabalha com algo em torno de US$ 6,4 bi. A Arkham Intelligence rastreia 55 endereços sob a entidade “binance-hacker-1029”.
• O alvo foram as hot wallets. O rastreamento mostrou a carteira “Binance 14” transferindo bilhões em dezenas de tokens, com outras hot wallets drenadas em sequência, poucos segundos depois.
• A assinatura da Coreia do Norte. A TRM diz que várias características do ataque batem com golpes anteriores de Pyongyang, incluindo o padrão de movimentação e lavagem usado no hack da Bybit.
• Quem destravou a história. As primeiras análises públicas vieram de inteligência on-chain no X e de plataformas como Arkham e Etherscan, antes mesmo da confirmação oficial da Binance.

O ataque cibernético às máquinas de Poker

O que aconteceu? Um ofensor usou um ataque à cadeia de suprimentos de software para instalar o MeshAgent em máquinas de jogadores de pôquer high-stakes, ver as cartas das vítimas em tempo real e ganhar delas nas mesas. O esquema foi descoberto em 25 de setembro de 2026 por um agente Claude que um jogador usava para analisar suas estatísticas.

Por que isso importa? É o primeiro caso confirmado de “superuser” (o trapaceiro joga sabendo as cartas do adversário) no pôquer online em anos. As fontes ouvidas pela WIRED estimam que o atacante tirou entre US$ 1,5 milhão e US$ 4 milhões dos jogadores, e que centenas deles foram alvo ao longo de vários anos. O caso também mostra plataformas que ignoraram denúncias durante meses.

Como foi descoberto: Alex (pseudônimo) joga profissionalmente no ACR (Americas Cardroom). O banco de dados SQL dele travou e precisou ser resetado. Nesse processo, o agente Claude encontrou o MeshAgent rodando em segundo plano, com capacidade de capturar a tela e controlar a máquina. O programa tinha sido instalado em 24 de abril, e não por Alex. O agente identificou 11 eventos de captura de tela com horário registrado, a partir de erros gráficos que a captura causava. Todos aconteceram durante as sessões no ACR. O histórico de mãos mostrou o mesmo adversário, de handle OxOO, em 10 das 11 sessões, com uma taxa de vitórias estatisticamente impossível. Alex estima ter perdido cerca de US$ 30 mil.

Contexto histórico: Os casos de superuser da Absolute Poker e da Ultimate Bet, em meados dos anos 2000, levaram a um endurecimento da segurança dos sites. Desta vez a diferença está no método: o atacante comprometeu fornecedores de software e esperou, em vez de invadir as plataformas.

NIK C2: o comando e controle que terceiriza a IA para quem ele infecta

O que aconteceu: A Cisco Talos identificou em circulação um novo framework de C2 com inteligência artificial embutida, batizado de NIK C2. É um implante para Windows que rouba credenciais, transmite ao vivo cada tecla digitada pela vítima e aciona um modelo de IA para analisar os dados roubados, tudo dentro da mesma máquina comprometida. A Talos chegou a observar um servidor do NIK C2 ativo na internet, o que indica que não é só uma prova de conceito, e sim uma ferramenta funcional. 

Por que isso importa: A IA não é um mero apoio que o criminoso usa por fora, mas sim parte integrante do malware. Isso junta coleta e exploração numa única sessão contínua e apaga a janela de detecção que os defensores tinham enquanto o atacante processava os dados offline. O implante pode usar a chave da API da OpenAI da própria vítima, então a vítima paga pela IA do atacante e os registros da OpenAI apontam a conta dela como autora, sem rastro do criminoso. 

Estrutura: O NIK C2 é um trojan de acesso remoto escrito em Go, com mais de 52 comandos. Ele saqueia senhas de navegador, carteiras de cripto e tokens do Discord, grava tela, câmera e áudio e se move lateralmente pela rede. O diferencial está no comando ai_generate, que envia prompts do atacante direto para a API de Chat Completions da OpenAI pela máquina infectada, usando o GPT-4 como padrão. 

Sim, mas: O NIK C2 vai muito além do roubo. Ele também traz um ransomware que trava a tela e exige resgate em Bitcoin ou USDT, preparação para bootkit e evasão pesada, incluindo bypass de AMSI, escalonamento de privilégio sem alerta de UAC e uma proteção que derruba o Windows em tela azul se alguém tentar encerrar o processo.

E para quem se defende? Para a Talos, frameworks assim exigem ir além da detecção tradicional e adotar vigilância comportamental contínua como novo padrão, já que o host comprometido deixa de ser um ponto de apoio passivo e vira um ativo operacional autônomo. 

Saiba mais: O C2 opera em dois canais simultâneos, WebSocket sobre TLS na porta 443 e um fallback HTTP que faz polling a cada 250 milissegundos. Todo o tráfego é cifrado com AES-256-GCM a partir de uma seed fixa no binário. Para sobreviver a takedowns, o implante distribui o tráfego em três camadas de C2, com URLs atualizadas em tempo de execução, uma lista de servidores cifrada e embutida, e um endereço fixo de último recurso. Para se evadir, ele se disfarça de processos legítimos como svchost.exe e csrss.exe, desliga a inspeção do AMSI na memória e escala privilégio via COM hijack do fodhelper.exe sem alerta de UAC.

Papo Rápido

@Ataques

Pesquisadores da Radware revelaram uma campanha de cadeia de suprimentos que transformou issues e comentários do GitHub em arma: pelo menos 83 ataques contra 61 repositórios públicos, incluindo projetos populares como Trivy, MLflow e o navegador Brave. O atacante esconde comandos maliciosos em comentários de HTML que não aparecem na tela, mas disparam automaticamente um workflow vulnerável, que executa o código e tenta roubar variáveis de ambiente, credenciais e tokens. Quase tudo aconteceu em menos de uma hora, usando 74 contas, muitas delas provavelmente comprometidas. A defesa passa por tratar conteúdo externo como não confiável e limitar os segredos expostos aos workflows de CI/CD. (TheRegister) 

@Atualizações

A Anatel aprovou uma norma que torna a biometria facial obrigatória para contratar e manter linhas de telefone no Brasil, com reconhecimento facial e prova de vida comparados a bases já existentes. A regra vale de forma gradual: novas linhas até o fim de 2027 e recadastramento dos clientes atuais até o fim de 2028, com suspensão das linhas não regularizadas a partir de 2029. O objetivo é fechar um elo central das fraudes, a identificação do titular, dificultando golpes como SIM swap, clonagem de WhatsApp e ativação de chips com dados de terceiros. (InfoMoney)

O Discord vai tornar mensagens de servidores públicos pesquisáveis no Google e em outros buscadores a partir de meados de dezembro. As páginas públicas de servidores começam em 16 de novembro, e só valem para servidores grandes e abertos que ativaram a descoberta. Nome de usuário e avatar ficam ocultos, mas isso não garante anonimato. No Brasil, assim como na UE e no Reino Unido, o recurso vem desativado por padrão, então a mensagem individual só aparece se o usuário ligar a opção. Quem quiser controlar isso encontra o ajuste em Configurações, na área de Dados e Privacidade. (TechTimes) 

@Mundo

Um ucraniano de 35 anos, Artem Stryzhak, foi condenado a 70 meses de prisão nos EUA por atuar como afiliado dos grupos de ransomware Nefilim e Hive, em ataques que miraram hospitais, governos e grandes empresas pelo mundo entre 2018 e 2021. Ele recebia malware sob medida em troca de 20% de cada resgate e chegou a ser orientado a focar em companhias com faturamento acima de 200 milhões de dólares por ano. Segundo o FBI, os grupos causaram mais de 100 milhões de dólares em prejuízos e um deles atingiu cerca de 1.500 vítimas. Preso na Espanha em 2024 e extraditado em 2025, ele se declarou culpado no fim do ano passado. (BleepingComputer)

A japonesa GMO Internet pediu que clientes do serviço Onamae.com Desktop Cloud fizessem backup, desconectassem da rede e desligassem seus PCs antes do meio-dia de 27 de outubro, após os invasores ameaçarem publicar dados e disparar um ataque de ransomware no horário. É o desdobramento da invasão que atingiu até 26.739 servidores do serviço, muito usado para trading automatizado de câmbio; os atacantes teriam exigido cerca de 50 milhões de dólares, e a GMO se recusou a pagar. Passado o prazo, os criminosos começaram a vazar o que diziam ser dados de clientes, mas a empresa afirmou que, até então, nenhum ataque de ransomware havia sido confirmado. (BleepingComputer)

Quer saber mais? Siga-nos nas redes sociais: Linkedin, Instagram.
Segurança nunca é demais, ainda mais nos dias de hoje.
Compartilhe o conhecimento, espalhe a segurança!

Siga nossa Newsletter e se mantenha atualizado sobre as últimas tendências em Cybersec!

Escrito por: Thaís Hudari Abib, Murilo Lopes
Arte: George Lopes e Anselmo Costa