Caso Binance expõe nova estratégia de hackers para invadir empresas: desenvolvedores

O ataque à Binance, corretora de criptomoedas que teve aproximadamente US$ 6,34 bilhões em ativos digitais afetados em outubro de 2026, expôs uma estratégia que vem ganhando espaço entre os criminosos digitais ao longo deste ano e deve continuar sendo explorada: comprometer desenvolvedores de software, que costumam possuir permissões de acesso a ambientes tecnológicos e informações que não estão disponíveis para outros funcionários, para obter acesso a sistemas corporativos. Essa é a avaliação de Anderson Leite, pesquisador sênior de segurança da Kaspersky, durante a Cyber Security Week 2026.

“Para começar a colocar um código malicioso em algum software, algum pacote que depende de uma linguagem, você precisa comprometer o mantenedor, o dono daquilo. E o dono geralmente é o desenvolvedor”, explicou Leite em entrevista conforme apuração dos redatores da Empire Cidades.

Segundo o especialista, a estratégia representa uma adaptação das técnicas tradicionais de engenharia social, nas quais os criminosos manipulam pessoas para obter informações ou acessos indevidos. “Os ataques estão sendo direcionados para os desenvolvedores, usando a linguagem desses profissionais, citando suas necessidades e interesses. É um e-mail de phishing cujo tema não é uma conta ou multar a pagar, mas sim um link de um pacote de linguagem de programação”, disse.

De acordo com o pesquisador, a abordagem explora características da rotina desses profissionais, que frequentemente precisam instalar bibliotecas de software, executar códigos e testar aplicações.

O ataque à Binance, ocorrido em 29 de outubro, ilustra como essa modalidade pode ser utilizada para comprometer empresas que possuem estruturas de segurança consolidadas. Segundo relatório divulgado pela corretora, a operação afetou aproximadamente US$ 6,34 bilhões em criptoativos. Desse total, cerca de US$ 2,85 bilhões haviam sido congelados ou interceptados até a publicação do documento. Portanto, o valor total afetado não equivale necessariamente ao prejuízo líquido da companhia.

A investigação preliminar apontou que os criminosos passaram meses preparando a operação, combinando diferentes métodos para comprometer computadores de funcionários.

Em setembro, um engenheiro de software foi abordado por uma pessoa que se apresentava como recrutadora de uma empresa interessada em contratá-lo. Depois de participar de entrevistas, o profissional recebeu um teste de programação que deveria executar em seu computador corporativo. O material continha código malicioso, permitindo que os atacantes obtivessem acesso ao equipamento. Posteriormente, eles exploraram credenciais e outros sistemas internos, até alcançar a infraestrutura relacionada às carteiras digitais da corretora.

Outro funcionário já havia sido alvo de uma tentativa de comprometimento em junho, por meio da instalação de uma ferramenta de desenvolvimento adulterada. Segundo a Binance, a operação também envolveu o uso indevido de uma ferramenta interna de inteligência artificial.

Para Leite, o episódio demonstra que os criminosos estão buscando pontos de entrada associados às pessoas que possuem acesso privilegiado, mesmo em organizações que investem em sistemas de proteção.

“O ponto mais fraco da empresa acabou sendo o funcionário, o desenvolvedor, que tinha chaves importantes para acessar a rede. Só porque você é da área de tecnologia, seja técnico ou é desenvolvedor, não quer dizer que está imune”, afirmou.

O comprometimento de desenvolvedores também pode ter consequências para organizações que não foram diretamente abordadas pelos criminosos, segundo o especialista. Isso ocorre porque a produção de software depende de uma cadeia de fornecedores, formada por bibliotecas de códigos, ferramentas de desenvolvimento, serviços de armazenamento e componentes mantidos por terceiros.

Quando um criminoso consegue acessar as credenciais de um desenvolvedor responsável pela manutenção desses componentes, pode alterar programas ou publicar versões contaminadas. Dessa forma, outras empresas podem instalar o código malicioso acreditando que estão utilizando uma atualização legítima.

Na apresentação, Leite destacou que a Kaspersky identificou cerca de 14 mil pacotes maliciosos em projetos de código aberto até o fim de 2024, número 48% superior ao registrado em 2023. Em 2025, o volume chegou a aproximadamente 19,5 mil, crescimento de 37%.

O pesquisador citou casos recentes que ajudam a explicar o interesse dos criminosos em profissionais de tecnologia visando a ampliação do alcance da invasão para uma outra organização.

Ainda neste ano ocorreu o comprometimento da biblioteca JavaScript Axios, utilizada na comunicação entre aplicações e servidores. Nesse episódio, criminosos obtiveram acesso a uma conta responsável pela manutenção do projeto e distribuíram versões adulteradas capazes de instalar programas maliciosos nos computadores de desenvolvedores. Outro exemplo envolveu o grupo TeamPCP, associado a ataques contra ferramentas de desenvolvimento e segurança, com o objetivo de roubar credenciais e disseminar componentes comprometidos.

Para Leite, a prevenção começa pelo reconhecimento de que profissionais de tecnologia também estão sujeitos a golpes de engenharia social.

O pesquisador afirma que o conhecimento técnico não substitui treinamentos de segurança. Pelo contrário, o acesso privilegiado desses funcionários pode ampliar as consequências de uma invasão.

“O treinamento de cibersegurança tem que ser para todos. Inclusive, eu faço treinamento de segurança, mesmo trabalhando com esse tema diariamente”, diz.

Entre as medidas recomendadas estão a verificação da procedência de ferramentas e bibliotecas, o controle dos programas executados em computadores corporativos e a utilização de ambientes isolados para testar códigos desconhecidos.

Do outro lado, a recomendação do especialista para as empresas é que devem limitar o alcance das credenciais utilizadas pelos funcionários e estabelecer controles sobre os componentes incorporados aos projetos.

Na apresentação, Leite também recomendou a adoção de tokens de acesso com validade reduzida, a revisão das bibliotecas utilizadas e a manutenção de um inventário de dependências de software. Essas medidas permitem reduzir a exposição a componentes comprometidos e dificultar a utilização prolongada de credenciais roubadas.

Para os usuários em geral, orientações tradicionais continuam válidas, como instalar programas de fontes confiáveis, manter ferramentas de proteção atualizadas e aplicar correções de segurança. Entretanto, o pesquisador observa que essas práticas precisam ser complementadas por outras camadas de proteção, já que até mesmo programas obtidos de fontes oficiais podem ser comprometidos.

Fonte: Portal Empire Cidades