O que se sabe, e o que ainda não se sabe
O que se sabe, segundo a CNBC: o incidente afetou cerca de US$ 6,3 bilhões em ativos de clientes, o que o torna o maior roubo de criptoativos já registrado; para comparação, o ataque à Bybit em 2025 custou cerca de US$ 1,5 bilhão. Cerca de US$ 3 bilhões foram congelados na própria blockchain nas horas seguintes, porque os emissores das stablecoins têm esse poder: a Circle congelou mais de 800 milhões em USD Coin e a Tether, mais de 1,5 bilhão. O FBI atribuiu o roubo à Coreia do Norte.
O que não se sabe: como o atacante entrou, de fato. A reportagem da CNBC de 31 de outubro registra que ainda não está claro como o ataque foi conduzido. Essa frase merece respeito. Nos primeiros dias de qualquer incidente, a versão pública é a melhor hipótese do momento, e ela muda. Tudo o que vem a seguir neste artigo parte da hipótese inicial divulgada pela própria Binance, com essa ressalva explícita.
O vetor, com as devidas ressalvas
A Binance disse inicialmente que o ataque pode ter envolvido o notebook comprometido de um engenheiro de DevOps, que permitiu ao atacante acessar um contêiner de serviço, usado então para enviar saques não autorizados. Dias depois, segundo a mesma CNBC, o co-CEO Richard Teng afirmou que o ataque envolveu um processo mais complexo do que o uso indevido das permissões de um único engenheiro. As duas afirmações não se contradizem: a segunda diz que o notebook foi o começo, não a história inteira.
Para quem não trabalha com cripto, vale traduzir: um engenheiro de DevOps é a pessoa que tem acesso aos servidores, às chaves e às ferramentas de implantação. É o equivalente, numa empresa comum, ao administrador do ERP, ao responsável pelo servidor de arquivos ou ao contador que tem a senha do banco. O ataque não precisou quebrar a Binance. Precisou de uma máquina, e a partir dela de um caminho até o contêiner que tinha permissão para movimentar dinheiro.
Uma estação de trabalho, um contêiner, tudo
A cadeia que a hipótese inicial descreve tem três elos, e cada um é uma pergunta para a sua empresa. Primeiro elo: uma estação de trabalho de um profissional com acesso privilegiado foi comprometida. Quantas máquinas na sua empresa, se comprometidas, dariam acesso ao sistema principal? Segundo elo: dessa máquina foi possível alcançar um ambiente de produção. O acesso à produção exige algo além da própria máquina, como uma chave física ou uma aprovação de segunda pessoa, ou basta estar logado? Terceiro elo: o ambiente alcançado tinha permissão para executar a operação mais sensível do negócio. O usuário do sistema que gera o arquivo de pagamentos é o mesmo que tem permissão para aprová-lo?
O padrão não é novo e não é exclusivo de cripto: estação comprometida, credencial reaproveitada, caminho lateral até o que vale dinheiro. O que a Binance torna visível é a escala do que acontece quando o terceiro elo não tem freio. Numa PME, o terceiro elo é o Pix em lote, a folha de pagamento, a exportação da base de clientes ou o acesso ao painel da nuvem onde moram todos os servidores.
O que teria segurado: cinco controles que cabem numa PME
Primeiro, menor privilégio: cada pessoa e cada sistema com acesso apenas ao que precisa, e acesso a produção por um ponto de entrada controlado, com credenciais de curta duração, em vez de chaves permanentes guardadas em notebooks. Segundo, autenticação multifator em tudo que importa, e para administradores e financeiro, chaves físicas: a CISA afirma que a única autenticação resistente a phishing amplamente disponível é a baseada em FIDO/WebAuthn. Código por SMS é melhor que nada, mas é exatamente o que os ataques de hoje contornam.
Terceiro, dupla aprovação para as operações que movimentam dinheiro ou dados em massa: pagamentos em lote, implantações em produção, exportação de bases. Quem prepara não é quem aprova. Quarto, alertas por limite: transferência acima de um valor, saque fora do horário, exportação maior que o normal, novo acesso administrativo. Um alerta que chega no celular do sócio em dois minutos muda o resultado de um incidente. Quinto, higiene das estações de trabalho de quem tem acesso privilegiado: sistema atualizado, disco criptografado, sem permissão de administrador local para o dia a dia, e separação entre a máquina de trabalho e a máquina em que se abre qualquer anexo.
Quem absorve o prejuízo
A Binance comunicou que absorveria o impacto financeiro dos fundos roubados, não os usuários, e em 31 de outubro informou que 90% dos ativos roubados já haviam sido repostos, com uma prova de reservas em que todos os principais ativos aparecem 100% lastreados. Os saques foram retomados em fases, começando pela rede Bitcoin. Uma empresa com fundo de reserva de bilhões e seguradoras sobrevive a um dia como 29 de outubro.
Uma empresa de 30 pessoas não tem fundo de reserva. Tem a LGPD, que no artigo 48 obriga o controlador a comunicar à Autoridade Nacional de Proteção de Dados e ao titular o incidente de segurança que possa acarretar risco ou dano relevante, e tem o prazo de três dias úteis do regulamento da ANPD para fazer isso. Tem também o caixa do mês, os clientes que vão perguntar e a reputação local. O artigo sobre backup, ransomware e o custo real de um incidente desmonta essa conta componente por componente. O ponto aqui é só um: o custo de um controle de acesso é previsível; o de um incidente, não.
Como a JBKR aplica isso nos sistemas que sustenta
A página de segurança e privacidade da JBKR descreve a prática, e ela é exatamente a lista acima aplicada a nós mesmos e aos clientes: acessos nominais e auditáveis, nunca credenciais compartilhadas; MFA obrigatório em contas de nuvem, repositórios e painéis administrativos; segredos fora de notebooks, em cofres de credenciais; ambientes de produção acessados por caminhos controlados; e registro do que foi feito, por quem e quando. Quando assumimos um sistema feito por outra equipe, a primeira semana do diagnóstico é, em boa parte, descobrir quem tem acesso a quê e fechar o que não deveria estar aberto.
Nos projetos de nuvem, o desenho de acesso vem antes do desenho de servidores: contas separadas por ambiente, papéis com permissão mínima, aprovação em duas pessoas para mudanças em produção e alertas de custo e de acesso desde o primeiro dia. Nada disso exige o orçamento de uma corretora global. Na JBKR o diagnóstico inicial de 30 minutos é gratuito, e a primeira pergunta sobre segurança é sempre a mesma: se o notebook de quem administra o seu sistema fosse comprometido hoje, o que o atacante alcançaria?
