Síntesis
Binance publicó su primer informe sobre el ataque del 29 de octubre, que vació billeteras por unos US$ 6.340 millones. Según la empresa, los atacantes combinaron engaños de reclutamiento, software malicioso y una herramienta interna de IA, mientras el FBI apuntó a hackers al servicio de Corea del Norte.
- La campaña comenzó en junio y se concretó con una entrevista falsa en septiembre.
- Los atacantes usaron una herramienta de IA interna para controlar equipos de otros ingenieros.
- Unos US$ 2.850 millones fueron congelados o interceptados.
- Binance cubrirá las pérdidas y ya reanudó los retiros por etapas.
Noticia
Binance, la mayor plataforma de intercambio de criptomonedas del mundo, sufrió el pasado 29 de octubre el robo de activos digitales por cerca de US$ 6.340 millones. En su informe inicial, publicado el 3 de noviembre, la compañía calificó el hecho como grave y sofisticado, y admitió que “esto no debió haber ocurrido”.
El 31 de octubre, el FBI atribuyó el ataque a Corea del Norte y lo vinculó con TraderTraitor, grupo también conocido como Lazarus o APT38. Junto al Servicio Secreto y la unidad criminal del IRS (servicio de impuestos de los Estados Unidos), el organismo detectó que los fondos se convertían principalmente en Ethereum y pidió a la industria bloquear operaciones ligadas a 628 direcciones.
De acuerdo con lo que sostiene el medio especializado The Record, el gobierno de Coreo del Norte rechazó la acusación. Kim Yo Jong, vocera del régimen, la calificó como un intento absurdo de dañar la imagen internacional del país.
Según Binance, la campaña se inició en junio, cuando un ingeniero del equipo de billeteras descargó una instalación adulterada de Homebrew, un gestor de programas, mientras buscaba una herramienta de IA para programar. El equipo de seguridad reemplazó el computador y cambió sus credenciales, pero la información sobre su cargo y sus colegas ya había quedado expuesta.
En septiembre pasado, otro ingeniero fue contactado en una plataforma legítima de empleo por un supuesto director de proyecto. En una primera videollamada, una falsa encargada de recursos humanos le mostró fotos y videos personales para ganar su confianza.
La segunda entrevista, con un supuesto gerente general de una empresa ficticia, se realizó por una aplicación de chat. Al final le pidieron descargar en su equipo de trabajo una “tarea” con código malicioso, que las herramientas de protección de la empresa no detectaron.
El 20 de octubre, los atacantes usaron ese computador y una herramienta interna de IA para tomar el control de los equipos de dos ingenieros más. En uno de ellos hallaron un permiso para desplegar contenedores, entornos que ejecutan aplicaciones dentro de la infraestructura.
Con esas credenciales, el 29 de octubre lograron acceder al servicio interno que firma las transacciones de las billeteras. Desde las 20:05 UTC enviaron fondos en XRP, Solana, Optimism y 18.270 bitcoins a direcciones bajo su control.
Los atacantes también aprovecharon un mecanismo de autorización de Ethereum, lo que les permitió seguir moviendo activos aunque Binance ya había suspendido los retiros. La última transferencia se concretó a las 23:56 UTC. Para la empresa, “no fue una brecha aislada ni un simple incidente de phishing”.
Gracias a emisores de monedas estables como Tether y Circle, unos US$ 2.850 millones fueron congelados o interceptados. “Binance absorberá el impacto financiero de los fondos robados, no nuestros usuarios”, aseguró la compañía, que al 31 de octubre había repuesto el 98% de los activos afectados.
Entre sus medidas, Binance reconstruyó el sistema de billeteras y la herramienta de IA, reemplazó los equipos comprometidos y contrató una revisión independiente. Además, informó que durante 2026 detectó y bloqueó 57 intentos de ataque vinculados a Corea del Norte.
Medios como The Hackers News y HelpnetSecurity, indicaron que los retiros comenzaron a reanudarse por etapas el 1 de noviembre, mientras los depósitos funcionaron con normalidad durante todo el incidente.
El uso de falsas entrevistas laborales para infectar equipos de desarrolladores ya ha sido documentado anteriormente. En abril de este año, un reporte de NIVEL4 Labs elaborado por el investigador Andrés Contreras, describe un caso similar en el que un falso reclutador contactó a un desarrollador por LinkedIn y le entregó una prueba técnica con código oculto. Ese código estaba diseñado para robar credenciales, datos de navegadores y billeteras de criptomonedas.
