Roubo de R$ 34 bilhões: como entrevista falsa comprometeu criptomoedas

Roubo histórico começa com uma oportunidade de trabalho

O maior roubo financeiro já registrado teve origem em uma situação que parecia absolutamente comum: uma oportunidade de carreira apresentada como legítima. A invasão que resultou no desvio de US$ 6,3 bilhões (aproximadamente R$ 34 bilhões) da Binance, a principal corretora de criptomoedas do planeta, começou quando um funcionário da empresa recebeu uma proposta de emprego que despertou seu interesse profissional.

Segundo a própria Binance, o ataque foi meticulosamente planejado ao longo de vários meses. Os criminosos direcionaram seus esforços para alcançar colaboradores em posições estratégicas, indivíduos que possuíam acesso privilegiado aos sistemas críticos da organização. O roubo de criptomoedas dessa magnitude expõe uma vulnerabilidade que tem crescido silenciosamente: o uso de processos de seleção, ofertas freelance e contatos profissionais aparentemente genuínos como porta de entrada para ataques sofisticados.

A estratégia dos criminosos: engenharia social em ação

A tática empregada pelos hackers recebe um nome específico entre especialistas em segurança: engenharia social. Segundo Hiago Kim, presidente da Associação Brasileira de Segurança Cibernética, os criminosos criam perfis fraudulentos, principalmente em plataformas como LinkedIn, assumindo a identidade de recrutadores ou headhunters. Eles oferecem oportunidades exclusivas de emprego, vagas especiais ou a possibilidade de integração em bancos de talentos para futuras contratações.

Essa abordagem é direcionada com precisão a profissionais de tecnologia, do mercado financeiro ou pessoas que ocupam cargos de liderança. Os criminosos buscam alvos que combinam duas características extremamente valiosas: conhecimento técnico aprofundado e acesso privilegiado dentro das estruturas corporativas. Em um determinado momento do processo, o falso recrutador solicita que o profissional participe de um teste técnico, apresentado como uma planilha, um software, um ambiente de programação ou um arquivo para download.

Como o malware é instalado durante o processo

É neste ponto crítico que o golpe se concretiza. Quando a vítima executa o material recebido, pode estar inadvertidamente instalando um programa sofisticado capaz de abrir uma conexão secreta entre seu computador e os criminosos. Kim descreve o processo com clareza: "É como se a máquina virasse uma marionete. O criminoso passa a controlar remotamente aquele equipamento e consegue agir utilizando os acessos e permissões do próprio funcionário".

O resultado final dessa invasão é particularmente problemático para as investigações posteriores. Quando a empresa analisa os registros da intrusão, todas as atividades suspeitas parecem ter sido realizadas pelo próprio empregado. Isso complica significativamente a identificação do momento exato em que a segurança foi comprometida e facilita a continuidade do ataque sem despertação de suspeitas imediatas.

Cronologia do ataque à Binance e roubo de criptomoedas

A Binance revelou que os estágios iniciais da invasão ocorreram em junho. Um membro da equipe responsável pelo desenvolvimento de carteiras digitais fez download de uma ferramenta de inteligência artificial adulterada. A empresa identificou o problema, substituiu o dispositivo comprometido e alterou as credenciais de acesso. Apesar dessas ações, os invasores já haviam coletado informações cruciais sobre a estrutura da equipe e as funções desempenhadas por diversos funcionários.

Meses depois, em setembro, um segundo engenheiro de software que buscava novas oportunidades profissionais participou de um processo seletivo que acreditava ser completamente legítimo. O processo incluía uma reunião virtual com alguém que se apresentava como CEO de uma empresa de tecnologia. Durante essa entrevista, o profissional fez download de um repositório de código malicioso em seu computador corporativo, cedendo aos criminosos uma porta de entrada privilegiada.

No dia 20 de outubro, os criminosos utilizaram o equipamento comprometido juntamente com uma ferramenta interna de inteligência artificial para assumir o controle dos sistemas usados por dois desenvolvedores da equipe de carteiras de criptomoedas. Nove dias depois, em 29 de outubro, ocorreu o roubo bilionário.

Atribuição do ataque e responsabilidades internacionais

O FBI atribuiu o ataque a um grupo de hackers ligado à Coreia do Norte, uma hipótese também apontada por empresas especializadas em rastreamento de criptomoedas, como TRM Labs e Chainalysis. A Coreia do Norte nega publicamente qualquer envolvimento nas operações.

Variações do golpe além da entrevista falsa

Embora a falsa vaga de emprego tenha recebido maior atenção após o ataque à Binance, especialistas alertam que os criminosos utilizam diversas variações da mesma estratégia de engenharia social. Uma das modalidades que mais cresce envolve trabalhos pontuais, projetos freelance e pedidos de ajuda publicados em comunidades profissionais online.

É comum que criminosos se passem por gestores, coordenadores de equipes ou desenvolvedores que precisam resolver um problema técnico específico. A abordagem ocorre em fóruns especializados, grupos de Telegram e Discord, redes profissionais e plataformas de contratação de serviços. O golpista publica uma dúvida ou relata uma falha em determinado sistema. Quando um profissional experiente se oferece para ajudar, inicia-se um contato privado.

Em seguida, surge uma proposta remunerada para analisar um código, corrigir um bug ou revisar um projeto. O profissional acredita que está realizando um trabalho legítimo. Então recebe um script, um ambiente de testes ou um arquivo para analisar. Quando executa esse material, pode acabar instalando mecanismos que dão aos criminosos acesso completo aos seus sistemas.

Por que uma única conta comprometida causou prejuízo tão imenso

Para especialistas ouvidos, participar de processos seletivos, preencher planilhas ou realizar testes técnicos faz parte da rotina profissional normal e não deveria representar uma ameaça existencial para uma organização. Kim questiona o verdadeiro problema: "O foco não deveria estar em impedir que alguém participe de uma entrevista de emprego. A questão é por que uma única conta comprometida tinha potencial para causar um prejuízo dessa dimensão".

O caso expõe uma falha de governança comum em muitas organizações: o excesso de privilégios concedido a determinados funcionários. Frequentemente, profissionais acumulam autorizações para acessar sistemas críticos simplesmente por ocuparem cargos elevados ou estratégicos. Quando uma conta desse tipo é comprometida, os criminosos herdam as mesmas permissões, amplificando exponencialmente o impacto potencial.

Registros de segurança são ignorados ou não interpretados corretamente

Ferramentas corporativas de segurança normalmente registram páginas acessadas, programas executados, credenciais utilizadas, arquivos baixados e diversas outras atividades realizadas em dispositivos da empresa. O problema, conforme apontado pelos especialistas, é que nem sempre esses registros são tratados como sinais de alerta genuínos.

Muitas vezes, a informação está disponível nos sistemas. O acesso aparece nos logs de segurança. Mas aquele profissional já possui autorização para realizar determinadas ações e aquilo acaba sendo interpretado como uma atividade perfeitamente normal. Essa interpretação equivocada dos dados de segurança permitiu que os criminosos operassem por meses sem despertar suspeitas significativas.

Monitoramento corporativo e seus limites legais

De acordo com Luiz Fernando Plastino, especialista em Direito da Informática, é comum que organizações acompanhem conexões de rede, histórico de navegação, downloads realizados, programas instalados e o uso de ferramentas corporativas, como e-mail e aplicativos internos de comunicação. Também podem ser identificados acessos considerados incomuns ou incompatíveis com a atividade exercida pelo funcionário.

A polêmica começou a surgir quando medidas mais invasivas passaram a ser aplicadas. É o caso de gravação permanente de tela, captura de teclado ou monitoramento detalhado dos movimentos do mouse. Plastino alerta que qualquer medida de vigilância ou monitoramento precisa ser informada previamente e de forma clara aos empregados.

Embora a Consolidação das Leis do Trabalho (CLT) não exija expressamente um aviso prévio para esse tipo de fiscalização, os princípios de transparência previstos na Lei Geral de Proteção de Dados (LGPD) tornam essa comunicação indispensável na prática legal brasileira.

Responsabilidade jurídica do funcionário que cai em golpe

Do ponto de vista jurídico, a resposta sobre responsabilização depende das circunstâncias específicas do caso. A responsabilidade pelos danos causados exige um ato ilícito praticado com dolo ou culpa, como negligência, imprudência ou descuido. Um funcionário pode ser responsabilizado em situações nas quais fique demonstrado que descumpriu procedimentos de segurança conhecidos ou adotou comportamentos claramente inadequados.

Por outro lado, se estava seguindo corretamente as políticas da empresa e ainda assim foi enganado por um golpe extremamente sofisticado, a responsabilização pode não ocorrer. Juliana Mendonça, especialista em Direito do Trabalho, destaca que a responsabilização não é automática. Na análise de casos similares, fatores como treinamentos oferecidos, existência de políticas formais de segurança da informação, ferramentas de proteção adotadas pela empresa e a função exercida pelo trabalhador costumam ser levados em consideração.

Justa causa por golpe cibernético é rara

Em regra geral, cair em um golpe sofisticado dificilmente resulta em justa causa. Um erro isolado e sem intenção dificilmente seria suficiente para justificar a punição mais severa prevista na legislação trabalhista brasileira. A justa causa exige uma falta grave capaz de romper a confiança entre empregado e empregador.

A situação pode ser diferente quando o trabalhador descumpre, de forma reiterada ou conscientemente, regras de segurança que conhecia e sobre as quais já havia sido treinado ou advertido. Nesses casos, a empresa possui argumentos mais sólidos para aplicar penalidades mais rigorosas.

Cobrança de prejuízos ao funcionário afetado

Quando há intenção comprovada de causar prejuízo, a empresa pode buscar o ressarcimento dos danos. Nos casos em que houve apenas culpa, como negligência ou imprudência, o desconto normalmente exige previsão contratual específica. Eventuais pedidos de indenização dependem de análise da Justiça, que tende a considerar fatores como a extensão do dano, a razoabilidade da cobrança e a situação financeira do trabalhador.

Medidas de proteção para trabalhadores e empresas

Especialistas afirmam que episódios como o da Binance demonstram que ataques modernos dificilmente dependem apenas de uma falha tecnológica isolada. Cada vez mais, criminosos exploram relações de confiança, rotinas de trabalho e comportamentos profissionais para obter acesso a sistemas corporativos críticos.

Entre as medidas consideradas mais importantes para trabalhadores estão a verificação cuidadosa da autenticidade de recrutadores e contratantes, o cuidado ao executar arquivos recebidos em processos seletivos ou trabalhos temporários, e a comunicação imediata de qualquer atividade suspeita detectada.

Do lado das empresas, os especialistas defendem a adoção de políticas de confiança zero, revisão periódica de permissões de acesso, autenticação em múltiplos fatores, monitoramento contínuo dos sistemas e treinamento frequente e atualizado dos funcionários sobre riscos de segurança cibernética.