El hackeo de $6,300 millones en Binance del 29 de octubre comenzó con un instalador de software falso descargado cinco meses antes, según el propio informe del incidente del exchange. El informe, publicado el 3 de noviembre, reconstruye una campaña de varios meses que combinó malware, una falsa oferta de empleo y credenciales robadas — una secuencia que, según el fundador de un exchange competidor, podría haberse prevenido con disciplina laboral básica.

Cómo se desarrolló el ataque de junio a octubre

La campaña comenzó en junio, cuando un ingeniero de operaciones de wallets de Binance descargó un instalador de Homebrew modificado mientras intentaba instalar una herramienta de programación con IA. Según el exchange, su equipo de seguridad detectó la actividad sospechosa, reemplazó la computadora afectada y rotó las credenciales relacionadas.

A pesar de esa respuesta, el incidente de junio expuso información sobre empleados que trabajaban en la infraestructura de wallets del exchange — detalles que los atacantes utilizaron en la siguiente etapa.

En septiembre, los atacantes se dirigieron a un segundo ingeniero mediante un proceso de reclutamiento falso y finalmente lograron convencerlo de descargar software malicioso. Para el 20 de octubre, ya habían utilizado dispositivos comprometidos y una herramienta interna de IA para acceder a más sistemas de ingeniería. Nueve días después, credenciales robadas les permitieron desplegar código malicioso vinculado a los retiros no autorizados.

Los investigadores vincularon el ataque a TraderTraitor, una unidad de hackers asociada con Corea del Norte que las autoridades de EE. UU. han relacionado previamente con robos de criptomonedas que involucran software con troyanos y falsas ofertas de empleo. Posteriormente, el FBI atribuyó el robo a atacantes patrocinados por el Estado norcoreano, mientras que Corea del Norte rechazó las acusaciones.

El fundador de CoinEx señala tres fallas de seguridad evitables

Después de que Binance publicara su informe, el fundador de CoinEx, Haipo Yang, sostuvo en una publicación en X que la brecha reflejó fallos en la disciplina operativa y no una falta de tecnología de seguridad.

"El incidente de Binance expuso al menos tres errores que eran completamente evitables: 1. Los entornos de desarrollo y operaciones no estaban completamente aislados. Cualquiera con acceso a producción debería operar desde una máquina dedicada usada para nada más, sin software de terceros…"

— Haipo Yang (@yhaiyang) 3 de noviembre de 2026

"Ninguno de estos puntos requiere tecnología sofisticada. Lo que faltaba era disciplina", escribió Yang.

Su primer punto abordó la separación de los entornos de trabajo: los empleados con acceso a sistemas financieros en vivo deberían usar computadoras dedicadas, con la programación, el chat y la navegación web realizados en dispositivos separados.

Su segundo punto se refirió a la autenticación. Yang afirmó que una sola credencial robada podía abrir servicios de producción sin verificaciones adicionales sólidas, y recomendó llaves de seguridad de hardware — dispositivos físicos diseñados para resistir el phishing — y herramientas como AWS Session Manager.

Su tercer punto involucró el cómputo multipartita, un esquema que divide la firma de transacciones entre varios participantes. Según Yang, los firmantes de Binance no verificaban de manera independiente lo que aprobaban, haciendo que el sistema funcionara como una firma única. "El multisig solo funciona cuando los firmantes se desconfían mutuamente", escribió.

Estas afirmaciones son la evaluación del propio Yang. Binance no ha confirmado públicamente cada debilidad que describió.

Binance dice haber bloqueado 57 amenazas vinculadas a Corea del Norte en 2026

La co-CEO de Binance, Yi He, dijo que el equipo de seguridad del exchange detectó y previno 57 casos sospechosos de amenazas cibernéticas vinculadas a Corea del Norte durante 2026. Señaló que las técnicas incluían entrevistas de trabajo falsas, herramientas de desarrollo maliciosas, paquetes de software comprometidos y aplicaciones falsas de videollamadas. Esas categorías se solapan directamente con la campaña de junio a octubre, desde el instalador modificado que la inició hasta el reclutamiento falso que la siguió.

"A lo largo de 2026, el equipo de seguridad de Binance detectó y previno 57 casos sospechosos de amenazas cibernéticas vinculadas a Corea del Norte. Estos intentos reflejan la amenaza persistente que representan los actores patrocinados por estados que atacan la industria de las criptomonedas. Las técnicas incluyen trabajos fraudulentos… "

— Yi He (@heyibinance) 3 de noviembre de 2026

"Interceptamos muchos de ellos, pero el costo de no detener ni siquiera uno fue severo", escribió.

Recuperación de activos y próximos pasos

El co-CEO Richard Teng dijo que Binance ha repuesto el 98% de los activos afectados. Unos $2,850 millones fueron congelados o interceptados, y la empresa se comprometió a cubrir la pérdida total con fondos corporativos y reservas.

Binance también completó una verificación de Prueba de Reservas que cubre diez criptomonedas importantes, incluyendo Bitcoin, Ethereum, BNB y XRP. La verificación confirma el respaldo de activos de esos tokens, pero no muestra si las fallas descritas por Yang han sido corregidas.

El exchange dijo que ha reconstruido los sistemas de wallets afectados, reemplazado los dispositivos comprometidos y deshabilitado las credenciales vinculadas. También ha restablecido los retiros para más activos de Ethereum y Solana.

Binance planea una auditoría independiente de ciberseguridad junto con un mayor gasto en protección de dispositivos y detección de amenazas. Dijo que algunas medidas de seguridad permanecerán confidenciales para que los atacantes no puedan identificar puntos débiles. Con el aspecto financiero de la brecha largely resuelto, la planeada auditoría independiente de ciberseguridad se erige como el próximo punto de control público sobre las preguntas operativas que planteó Yang.

Este artículo se basa en el informe original de Blockonomi.