Binance reveló detalles del hackeo de USD 6.340 millones mediante falsas ofertas laborales atribuidas a Corea del Norte. Conoce cómo ocurrió y la respuesta.
A pocos días del mayor ataque ciberdelictivo en la historia del sector cripto, la plataforma de criptomonedas Binance hizo públicos los resultados de su investigación interna. El informe detalla un ciberataque «grave y altamente sofisticado» que derivó en la sustracción de aproximadamente 6.340 millones de dólares.
Lejos de responder a una falla directa en la cadena de bloques o a un episodio convencional de engaño masivo, la operación demandó meses de planificación. El plan consistió de falsas entrevistas laborales, la descarga de software malicioso, la vulneración de herramientas internas de inteligencia artificial y accesos no autorizados a dispositivos de diversos colaboradores de la compañía.
Respecto de los responsables del ataque, Binance indicó que el Federal Bureau of Investigation (FBI) atribuyó formalmente la autoría a un grupo patrocinado por Corea del Norte conocido como TraderTraitor. Análisis independientes de firmas como TRM Labs y Chainalysis coincidieron con el diagnóstico.
La cronología del ataque
Los primeros indicios del plan se remontan a junio de 2026, cuando un colaborador del equipo de desarrollo y operaciones de billeteras, denominado «Ingeniero A», descargó un archivo modificado de una herramienta de programación basada en inteligencia artificial, distribuido a través de un gestor de paquetes Homebrew. Pese a que el equipo de seguridad detectó la anomalía y reemplazó la computadora del empleado, los atacantes obtuvieron información clave sobre el rol del empleado y sus pares. De hecho, la empresa reveló haber neutralizado 57 intentos de intrusión vinculados a estructuras norcoreanas en el transcurso del año.
En septiembre un supuesto director de proyectos contactó a otro empleado, denominado como «Ingeniero B», mediante una red profesional de empleo. El empleado mantuvo videollamadas con una presunta reclutadora de Recursos Humanos, quien exhibió perfiles en redes sociales con datos personales para dar verosimilitud, y con un supuesto director ejecutivo.
Como parte del proceso de selección, se solicitó al ingeniero ejecutar una prueba técnica en su computadora laboral. El archivo alojaba un malware que evadió los filtros del sistema y abrió una conexión remota con un servidor externo bajo control de la red criminal.
Para el 20 de octubre, los atacantes utilizaron el equipo comprometido del «Ingeniero B» junto a una herramienta interna de inteligencia artificial de la propia empresa para efectuar movimientos laterales y acceder a los dispositivos del «Ingeniero A» y de otro empleado, el «Ingeniero C».
Finalmente, entre el 29 y el 30 de octubre, accedieron al terminal del «Ingeniero C», utilizaron las credenciales recopiladas previamente y desplegaron un script malicioso. Este modificó el sistema de firma y autorización de transacciones en un grupo de cinco hot wallets (billeteras conectadas a internet) y concretó la extracción masiva de fondos.
Por qué se dificultó la contención del ataque
Uno de los factores que extendió la contención fue la propia arquitectura de seguridad de Binance. Las billeteras operativas utilizaban un esquema de Computación Multiparte (MPC), el cual divide las claves de autorización entre varios puntos para evitar fallas individuales. Sin embargo, este mecanismo impidió que un solo administrador pudiera revocar de forma inmediata los permisos que el atacante había configurado mediante la propuesta de mejora EIP-7702 de Ethereum.
El procedimiento de contención demoró 4 horas y 5 minutos desde el inicio de la salida no autorizada de capitales. Pese a las complicaciones, las gestiones posteriores, que incluyeron transacciones de revocación y el contacto con otras entidades del sector, permitieron interceptar y congelar cerca de 2.850 millones de dólares.
Recuperación de fondos y medidas inmediatas
Binance confirmó que asumirá el impacto económico total y que los clientes no verán afectados sus patrimonios. La firma ya cubrió cerca del 98% de los activos afectados utilizando capitales de sus propias reservas. Los clientes pueden auditar el estado de los fondos en la sección de Prueba de Reservas de la plataforma.
Asimismo, se procedió al recambio integral de los equipos afectados, la revocación de credenciales, la reconstrucción de la infraestructura de monederos y la implementación de controles con IA para la detección de anomalías.
El proceso de auditoría continuará con la participación de especialistas externos e independientes en ciberseguridad, mientras la empresa colabora con agencias internacionales para intentar recuperar los activos remanentes.
Deja una respuesta