Maior roubo da história começou com falso instalador do Homebrew em um Mac

O maior roubo financeiro da história não começou com um exploit digno de filme de espionagem, mas com um golpe velho de guerra: um falso instalador do Homebrew baixado no Google. A Binance revelou que o ataque de US$ 6,3 bilhões (cerca de R$ 34,5 bilhões) contra suas carteiras de criptomoedas começou em um Mac de um dos seus engenheiros, enganado por links falsos e uma entrevista de emprego que nunca existiu.

A exchange publicou uma análise detalhada do ataque na segunda-feira (3). O que se sabia até então vinha do FBI, que já havia atribuído o roubo à Coreia do Norte. Agora, o passo a passo mostra como os hackers entraram.

O falso Homebrew que abriu a porteira

Em junho deste ano, um engenheiro de DevOps que trabalhava nas carteiras da Binance pesquisou por uma ferramenta de IA no Google e baixou um clone malicioso do instalador do Homebrew, o gerenciador de pacotes mais usado por desenvolvedores no Mac. O malware estava configurado para o caminho /opt/homebrew, diretório padrão do Homebrew em Macs com chip Apple Silicon. Ou seja, quase com certeza era um MacBook com processador M-series.

A Binance afirma que detectou o ataque e conteve os danos na hora. Só que os hackers já tinham conseguido o que queriam: mapear quais funcionários trabalhavam nas carteiras da exchange. O alarme tocou, mas o estrago de inteligência já estava feito.

Engenharia social em duas fases

Alguns meses depois, em setembro, um segundo engenheiro que também trabalhava nas wallets da Binance caiu em outro tipo de golpe. Foi abordado com uma falsa proposta de emprego e, nos moldes clássicos de engenharia social, recebeu um “teste de codificação” para rodar no próprio computador do trabalho.

Dessa vez, a segurança da Binance não detectou nada. Em 29 de outubro, o mundo descobriu o tamanho do estrago: US$ 6,3 bilhões (cerca de R$ 34,5 bilhões) sumiram das carteiras. A exchange conseguiu congelar cerca de US$ 3 bilhões (cerca de R$ 16,4 bilhões), mas o restante foi perdido.

Nenhuma das duas técnicas é novidade. O pesquisador de segurança Arin Waichulis, do 9to5Mac, já havia alertado no início de 2025 sobre anúncios falsos do Homebrew no topo do Google que empurravam o malware Atomic Stealer para usuários de Mac. A Binance não confirmou se o primeiro engenheiro caiu num anúncio patrocinado, mas o padrão é o mesmo.

O que o caso revela sobre segurança no Mac

O ataque coloca a Apple numa posição desconfortável: o maior roubo financeiro da história passou por um Mac. Mas, como observa o pesquisador de segurança Christopher Lopez (conhecido como @L0Psec), não existe recurso de segurança que impeça um desenvolvedor de rodar um script que ele realmente quer executar.

A Apple até incluiu um aviso de colagem no Terminal a partir do macOS 26.4, que alerta quando um comando copiado de outro lugar vai ser colado. O problema é que, para alguém convencido de que está fazendo um teste para uma vaga dos sonhos, um pop-up de aviso dificilmente vai impedir a ação.

📲 Essa história ainda tem desdobramentos. Para não perder nenhum capítulo, entre no Canal do TS no WhatsApp.

O caso reacende o debate sobre segurança no ecossistema de desenvolvimento de software. Com bilhões de dólares em jogo em carteiras de criptomoedas, o elo mais fraco continua sendo o mesmo de sempre: a confiança de um profissional em uma oferta que parece boa demais para ser verdade.

Valores em reais convertidos pela cotação de fechamento do Banco Central de 04/11/2026 (US$ 1 = R$ 5,48). Conversão direta, sem impostos nem taxas de importação.

Fonte: 9to5Mac