Os dados e ativos dos clientes Binanceestão em risco após o grande ataque à cadeia de suprimentos?

Binance, a maior corretora de criptomoedas do mundo em volume de negociação, tranquilizou seus clientes na terça-feira, garantindo que nenhum dado ou ativo do usuário foi comprometido durante um dos maiores ataques à cadeia de suprimentos já vistos no ecossistema JavaScript. 

De acordo com um comunicado publicado no X, Binance afirmou que seu banco de dados não sofreu danos durante a violação de segurança que teve como alvo pacotes Node.js amplamente utilizados e envolvidos em mais de 2 bilhões de downloads de aplicativos por semana.

“Estamos cientes do recente ataque à cadeia de suprimentos, que publicou versões maliciosas de diversos pacotes JavaScript amplamente utilizados”, escreveu a empresa. “Após investigação, confirmamos que não fomos afetados e que nenhum dado ou ativo de cliente está em risco. A segurança continua sendo nossa principal prioridade, e essa violação serve como um lembrete da importância crucial da segurança na cadeia de suprimentos. Mantenha-se seguro.”

Ao falar sobre o ataque à cadeia de suprimentos da plataforma social, o cofundador Changpeng Zhao, também conhecido como CZ, comentou: “Nem mesmo o software de código aberto é seguro hoje em dia. A Web3 vai redefinirdefisegurança da Web2. Ainda estamos no início.”

Ataque à cadeia de suprimentos de pacotes JavaScript assusta investidores em criptomoedas

O ataque, que pesquisadores de segurança classificaram como um dos maiores da história do NPM, ocorreu em 8 de setembro. Hackers comprometeram a conta de um mantenedor de código aberto confiável, conhecido pelo pseudônimo “qix”, tambémdentcomo Josh Junon. 

Os atacantes enganaram Junon por meio de um e-mail de phishing que se passava por uma comunicação oficial do npmjs, o repositório central de pacotes JavaScript. Como pode ser visto no e-mail fraudulento, os criminosos convenceram Junon de que sua conta seria bloqueada em 10 de setembro de 2025, a menos que ele atualizasse imediatamente suasdentde autenticação de dois fatores. 

“Como parte do nosso compromisso contínuo com a segurança da conta, solicitamos que todos os usuários atualizem suasdentde Autenticação de Dois Fatores (2FA). Nossos registros indicam que já se passaram mais de 12 meses desde a sua última atualização de 2FA”, dizia o e-mail.

Junon confirmou no X que havia sido vítima de um golpe de phishing depois que outro mantenedor revelou que sua conta no NPM estava "publicando pacotes com backdoors", o que permitiu que invasores sequestrassem sua conta e enviassem atualizações maliciosas para 18 bibliotecas populares do Node.js. 

Os pacotes incluíam chalk, debug, ansi-styles e strip-ansi, todos incorporados na web.

Código malicioso tem como alvo transações de criptomoedas.

De acordo com a análise da Aikido Security, os atacantes injetaram código nos pacotes comprometidos, permitindo que eles atuassem como interceptadores baseados em navegador. O código foi inserido nos arquivos index.js, onde podia sequestrar o tráfego de rede e as APIs de qualquer aplicação que utilizasse os pacotes infectados.

O script malicioso monitora endereços de carteiras e transações de importantes ativos digitais, incluindo Bitcoin, Ethereum, Solana, Tron, Litecoine Bitcoin Cash. Uma vez detectado, o malware substitui silenciosamente o endereço da carteira de destino por um controlado pelos atacantes, redirecionando os fundos sem o conhecimento da vítima.

Conforme noticiado pelo Cryptopolitan , o diretor de tecnologia da Ledger, fabricante de carteiras de hardware, Charles Guillemet, afirmou que o código malicioso já havia sido disseminado em pacotes com mais de um bilhão de downloads.

A empresa de análise de blockchain Arkham Intelligence informou na noite de segunda-feira que apenas US$ 159 em criptomoedas foram roubados até o momento. Os fundos roubados foram tracaté endereçosdentnas divulgações originais compartilhadas pela equipe de segurança da Ledger. 

No entanto, os pesquisadores acreditam que o baixo número não significa que os danos potenciais serão limitados, considerando os bilhões de downloads associados aos pacotes comprometidos.