Roubo de R$ 34 bilhões em criptomoedas: entrevista falsa como porta de entrada

O maior roubo financeiro do mundo começou com uma vaga de emprego

Um roubo de criptomoedas equivalente a R$ 34 bilhões pode ter tido origem em algo aparentemente inofensivo: uma oportunidade de trabalho. A invasão que desviou US$ 6,3 bilhões da Binance, maior plataforma de negociação de criptomoedas do planeta, iniciou-se quando um funcionário foi induzido a fazer download de arquivos contaminados durante um suposto processo de seleção, conforme confirmado pela própria corretora.

O episódio chamou atenção de especialistas em segurança cibernética não apenas pela magnitude do prejuízo financeiro, mas principalmente pela metodologia empregada pelos criminosos. A invasão revelou como operações sofisticadas conseguem penetrar estruturas organizacionais consideradas seguras através de técnicas aparentemente simples, porém altamente eficazes.

Entrevista falsa como estratégia de ataque cibernético

A falsa entrevista de emprego representa apenas uma das variações de um método criminal muito mais amplo conhecido como engenharia social. Segundo especialistas ouvidos por instituições de pesquisa, os criminosos exploram processos seletivos, propostas de trabalho autônomo e contatos profissionais aparentemente legítimos como ponto de partida para operações de cibercrime organizadas.

De acordo com Hiago Kim, presidente da Associação Brasileira de Segurança Cibernética, os atacantes criam perfis fraudulentos em plataformas como LinkedIn, personificando recrutadores ou consultores especializados em colocação profissional. Essas contas falsas oferecem oportunidades de trabalho exclusivas, participação em seleções especiais ou inclusão em cadastros de talentos para futuras contratações.

A abordagem direcionada aos profissionais de tecnologia, especialistas financeiros e pessoas em posições de comando não é aleatória. Os criminosos buscam alvos que possuem duas características fundamentais: conhecimento técnico aprofundado e acesso privilegiado aos sistemas corporativos internos.

O processo de contaminação através de testes técnicos

Em determinada etapa do processo de seleção fraudulento, o falso recrutador solicita que o candidato realize um teste técnico. Esse exercício pode ser apresentado em diversos formatos: uma planilha para análise, um software especializado, um ambiente de programação online ou simplesmente um arquivo para fazer download no computador.

Neste momento específico, o golpe se concretiza. Quando a vítima executa ou abre o material recebido, pode acabar instalando um programa malicioso capaz de estabelecer uma conexão encriptada entre o seu dispositivo e os servidores dos hackers. Esse tipo de malware funciona como uma ferramenta de controle remoto.

"É como se a máquina virasse uma marionete controlada por alguém distante. O criminoso passa a controlar remotamente aquele equipamento e consegue agir utilizando as mesmas credenciais e permissões do próprio funcionário", explica Kim. Como resultado, quando a empresa analisa posteriormente os registros de acesso e atividades suspeitas, tudo aparenta ter sido executado pelo próprio empregado.

O ataque bilionário à Binance: cronologia detalhada

A invasão à plataforma Binance ocorreu em etapas bem planejadas durante meses. Em junho, um membro da equipe responsável pelo desenvolvimento de carteiras digitais fez download de uma ferramenta de inteligência artificial alterada. A empresa identificou a contaminação, substituiu o dispositivo comprometido e modificou credenciais de segurança.

Porém, os invasores já haviam coletado informações críticas sobre a estrutura da equipe técnica e as atribuições específicas de funcionários do departamento. Essa inteligência colhida foi fundamental para planejar o próximo movimento.

Em setembro, semanas depois, um segundo engenheiro de software que procurava novas oportunidades profissionais participou de um processo seletivo que acreditava ser legítimo. A seleção incluía até mesmo uma videochamada com alguém que se apresentava como presidente executivo de uma organização. Durante essa interação, o profissional foi solicitado a fazer download de um repositório de código que supostamente seria analisado durante a entrevista. Esse código era, na verdade, malicioso.

A partir daquele momento, os criminosos obtiveram uma porta de entrada para expandir sua presença nos sistemas internos da corretora. No dia 20 de outubro, os hackers utilizaram o computador comprometido em conjunto com uma ferramenta interna de inteligência artificial para obter controle dos sistemas usados por dois desenvolvedores da equipe responsável pelas carteiras criptográficas. Nove dias depois, em 29 de outubro, o roubo bilionário foi concretizado.

O FBI atribuiu o ataque a um grupo de hackers vinculado à Coreia do Norte, análise corroborada por empresas especializadas em rastreamento de criptomoedas como TRM Labs e Chainalysis. Autoridades norte-coreanas negam qualquer envolvimento nas operações.

Variações da engenharia social além da falsa vaga de emprego

Embora a falsa entrevista de emprego tenha ganho notoriedade após o ataque à Binance, os criminosos utilizam diversas adaptações da mesma estratégia. Uma das modalidades que apresenta crescimento acelerado envolve trabalhos temporários, projetos freelance e pedidos de assistência publicados em comunidades profissionais online.

É comum que criminosos se passem por gerentes de projetos, coordenadores de equipes ou engenheiros de software que necessitam resolver um problema técnico específico. Esses contatos fraudulentos costumam ocorrer em fóruns tecnológicos especializados, grupos em Telegram e Discord, redes profissionais e plataformas de contratação de serviços terceirizados.

O procedimento típico começa quando o criminoso publica uma dúvida ou descreve uma deficiência em determinado sistema. Quando um profissional experiente oferece ajuda voluntária, inicia-se uma conversa privada. Posteriormente, uma proposta remunerada surge, oferecendo pagamento para analisar um código, corrigir um problema técnico ou revisar um projeto.

Nesse contexto, o profissional genuinamente acredita estar executando um trabalho legítimo e remunerado. Recebe um script de programação, um ambiente de testes ou um arquivo para análise. Ao executar esse material, pode inadvertidamente instalar mecanismos que concedem aos criminosos acesso ao seu dispositivo e aos sistemas conectados.

Governança corporativa e excesso de privilégios: vulnerabilidades críticas

Segundo especialistas em segurança, participar de processos seletivos, preencher formulários ou realizar testes técnicos deveria ser parte natural da rotina profissional sem representar uma ameaça existencial para a organização. O verdadeiro problema não reside em impedir que colaboradores participem de entrevistas, mas sim em compreender por que uma única conta de acesso comprometida possuía potencial para causar prejuízos de tal magnitude.

Na perspectiva de especialistas, o incidente da Binance expõe uma falha de governança presente em muitas organizações: o excesso de privilégios atribuído a determinados funcionários. Profissionais costumam acumular autorizações para acessar sistemas críticos unicamente porque ocupam posições elevadas na hierarquia organizacional.

Quando uma conta desse tipo é comprometida, os criminosos herdam automaticamente as mesmas permissões e credenciais. Ferramentas corporativas de segurança normalmente registram páginas acessadas, programas executados, credenciais utilizadas, arquivos baixados e diversas outras atividades em dispositivos da empresa.

O problema central é que esses registros detalhados nem sempre são interpretados como sinais de alerta. A informação de acesso suspeito pode estar presente nos logs de sistema, porém, como o profissional já possui autorização para realizar determinadas operações, a atividade acaba sendo classificada como comportamento normal.

Monitoramento corporativo: limites e regulamentações legais

De acordo com especialistas em Direito da Informática, é prática comum que organizações acompanhem conexões de rede, histórico de navegação, downloads realizados, programas instalados e utilização de ferramentas corporativas como e-mail e aplicativos internos de comunicação. Também podem ser identificados acessos considerados anômalos ou incompatíveis com as responsabilidades do funcionário.

A controvérsia emerge quando medidas de vigilância invasivas começam a ser implementadas, como gravação permanente de tela, captura contínua de teclado ou monitoramento detalhado dos movimentos do mouse. Especialistas alertam que qualquer medida de vigilância ou monitoramento deve ser comunicada previamente aos empregados de forma clara e transparente.

Embora a Consolidação das Leis do Trabalho (CLT) não exija expressamente um aviso antecipado para esse tipo de fiscalização, os princípios de transparência previstos na Lei Geral de Proteção de Dados (LGPD) tornam essa comunicação absolutamente indispensável na prática jurídica contemporânea.

Responsabilidade legal do funcionário que cai em golpe

Do ponto de vista jurídico, a responsabilização de um funcionário que cai vítima de um golpe sofisticado depende integralmente das circunstâncias específicas do caso. A responsabilidade pelos danos causados requer demonstração de um ato ilícito praticado com dolo (intenção) ou culpa (negligência, imprudência ou descuido).

Um funcionário pode ser responsabilizado em situações nas quais fica evidenciado que descumpriu procedimentos formais de segurança ou adotou comportamentos claramente inadequados. Inversamente, se estava seguindo corretamente todas as políticas da empresa e ainda assim foi enganado por um golpe extremamente sofisticado, a responsabilização pode não ocorrer.

A análise judicial costuma considerar fatores como: treinamentos oferecidos pela empresa, existência de políticas formais de segurança da informação, ferramentas de proteção adotadas pela organização e a função específica exercida pelo trabalhador. Um erro isolado e sem intenção dificilmente gera condenação judicial, particularmente quando o golpe era sofisticado e bem executado.

Justa causa e penalidades disciplinares

Em regra geral, cair em um golpe não justifica automaticamente a aplicação de justa causa, que representa a punição mais severa prevista na legislação trabalhista brasileira. Um erro isolado e sem intenção dificilmente seria suficiente para justificar tal medida extrema.

A justa causa exige caracterização de uma falta grave capaz de romper fundamentalmente a relação de confiança entre empregado e empregador. A situação pode se modificar quando o trabalhador descumpre de forma reiterada ou deliberada as regras de segurança que conhecia e sobre as quais já havia recebido treinamento formal ou advertências prévias.

Sobre o caso específico da Binance, o uso de computadores, sistemas e recursos corporativos normalmente é regulado por normas internas e políticas de tecnologia da informação que podem prever penalidades para violações específicas.

Cobrança de indenização por prejuízos causados

Se houver intenção comprovada de causar prejuízo, a empresa pode legalmente buscar o ressarcimento dos danos e até realizar descontos relacionados ao prejuízo causado ao patrimônio organizacional. Nos casos em que houve apenas culpa (negligência ou imprudência), o desconto normalmente exige previsão contratual específica e pode enfrentar limitações legais.

Eventuais pedidos de indenização dependem fundamentalmente de análise pela Justiça, que tende a considerar fatores como: extensão do dano causado, razoabilidade da cobrança solicitada e situação financeira do trabalhador. A jurisprudência não é favorável a cobranças desproporcionais.

Medidas de proteção para trabalhadores e empresas

Especialistas em segurança cibernética afirmam que episódios como o da Binance demonstram inequivocamente que ataques modernos raramente dependem apenas de uma falha tecnológica isolada. Cada vez mais frequentemente, criminosos exploram relações de confiança, rotinas de trabalho estabelecidas e comportamentos profissionais ordinários para obter acesso a sistemas corporativos críticos.

Os trabalhadores devem adotar medidas como: verificação cuidadosa da autenticidade de recrutadores e contratantes através de canais oficiais, cautela extrema ao executar ou instalar arquivos recebidos em processos seletivos ou trabalhos temporários, e comunicação imediata de qualquer atividade suspeita aos responsáveis pela segurança da informação.

As empresas, por sua vez, devem implementar políticas de confiança zero, realizar revisão periódica e documentada das permissões de acesso de cada funcionário, implantar autenticação em múltiplos fatores, executar monitoramento contínuo de atividades anômalas e oferecer treinamento frequente e atualizado para todos os colaboradores sobre riscos de segurança cibernética.