El robo de $6.34 mil millones a Binance comenzó con una entrevista de trabajo ficticia y se desarrolló durante cinco meses antes de que se moviera una sola moneda, según el primer relato público del exchange sobre el ataque del 29 de octubre, difundido el martes.

Un informe inicial del incidente, publicado en X y presentado junto con una conferencia de prensa a cargo del co-CEO Richard Teng y el director de seguridad Jimmy Su, describe una campaña que combinó una descarga de software envenenada, un proceso de reclutamiento montado, malware que evadió la detección de endpoints y una herramienta interna de IA que los atacantes usaron contra los propios ingenieros de wallets de la compañía.

Binance afirmó que ha congelado o interceptado alrededor de $2.85 mil millones de los activos robados y repuesto el 98% de los tokens afectados con fondos propios, comprando el resto en el mercado abierto. La cifra, de confirmarse por completo, convertiría este episodio en el mayor robo registrado hasta ahora en la industria de las criptomonedas, superando los aproximadamente $1.5 mil millones sustraídos de Bybit en febrero de 2025 —un ataque que los investigadores también vincularon con actores norcoreanos.

"Este no fue un solo error ni una sola brecha: fue una campaña de meses", escribió Teng en X. "Publicamos el informe completo porque las lecciones van mucho más allá de Binance".

El FBI atribuyó el ataque a Corea del Norte, un hallazgo que el informe de Binance cita sin emitir su propia atribución. Pionyang rechazó la acusación el lunes, y Kim Yo Jong, hermana del líder Kim Jong Un, calificó el señalamiento de "grave provocación política" a través de medios estatales. Paneles de las Naciones Unidas y empresas de análisis de blockchain han vinculado durante años a unidades de hackers norcoreanas con miles de millones de dólares en criptomonedas robadas de exchanges y protocolos de todo el mundo.

Cinco Meses de Preparación

Según Binance, el primer punto de apoyo de los atacantes llegó en junio, cuando un ingeniero de DevOps de wallets descargó un instalador de Homebrew alterado mientras buscaba una popular herramienta de programación con IA. El equipo de seguridad detectó la anomalía, reemplazó el dispositivo y rotó las credenciales, pero el episodio expuso el rol del ingeniero y los nombres de colegas del equipo de infraestructura de wallets.

En septiembre, un segundo ingeniero fue contactado en una plataforma laboral legítima por alguien que se hacía pasar por un director de proyecto. Siguió una entrevista por video con una supuesta representante de recursos humanos, durante la cual el entrevistador compartió una cuenta personal de redes sociales para generar confianza. Una segunda entrevista con un presunto CEO terminó con una "tarea": un repositorio de código que le indicaron instalar en su máquina de trabajo.

El repositorio reemplazó un componente legítimo de pyenv con una versión maliciosa y abrió un canal hacia un servidor controlado por los atacantes. Binance señaló que el malware de día cero no fue detectado por sus herramientas de endpoint en ese momento.

El 20 de octubre, los atacantes usaron esa máquina y una herramienta interna de IA para llegar a dos ingenieros de wallets más, uno de los cuales tenía un token de despliegue de contenedores. El 29 de octubre, entre las 17:15 y las 19:56 UTC, iniciaron sesión en la computadora de un tercer ingeniero, desplegaron un contenedor con las credenciales robadas e iniciaron el drenaje de fondos. Binance afirmó que bloqueó otros 57 intentos sospechosos vinculados a Corea del Norte este año mediante señuelos similares. Las autoridades de EE.UU. llevan años advirtiendo sobre campañas de reclutadores falsos orientadas a instalar malware dentro de empresas tecnológicas y de cripto a través de sus propios empleados.

Cuatro Horas para Contener

El dinero se movió rápido. Entre las 20:05 y las 20:09 UTC, cinco hot wallets enviaron 233.46 millones de XRP a una dirección de los atacantes. Wallets en Solana y Optimism les siguieron con unos 970,500 SOL y 44.2 millones de OP, y luego una hot wallet de Binance envió 18,270 BTC.

El atacante también usó el servicio de firma comprometido para invocar el estándar EIP-7702 de Ethereum, introducido en la actualización Pectra de la red en 2025, que permite a una cuenta delegar derechos de ejecución a un contrato inteligente sin exponer su clave, y otorgó a un contrato controlado por los atacantes el control parcial de una hot wallet de Binance.

Suspender los retiros no detuvo ese último canal. Los atacantes habían enviado 50 transacciones de firma para establecer delegaciones en cadena que operaban fuera de la infraestructura de retiros de Binance. Como la wallet usaba computación multipartita, no existía una única clave para revocarlas, y el equipo tuvo que idear un procedimiento en el momento. La última transferencia no autorizada, de 2,961.9 ETH, se liquidó a las 23:56 UTC, y Binance eliminó la delegación a las 00:10 UTC del 30 de octubre.

El informe reconoce el retraso. "Estos desafíos extendieron el tiempo necesario para contener por completo los movimientos no autorizados de activos", señala, y agrega que la compañía está revisando la cobertura de su política de firmas y los controles de las hot wallets.

Salidas de Capital y Luego Señales de Estabilización

Los clientes retiraron $10.97 mil millones en las 46 horas posteriores a la reapertura de retiros el domingo, con salidas netas de $5.28 mil millones, según datos que Teng compartió el martes. Para las 03:00 UTC, los depósitos por hora superaron los retiros, un cambio que Teng calificó como señal de estabilización. El martes, Binance reabrió los retiros para decenas de activos más en nueve redes.

La brecha de seguridad también se ha convertido en un tema de discusión en Washington. El presidente de la CFTC, Michael Selig, afirmó que el hackeo "demuestra exactamente nuestro punto" sobre la necesidad de una vía de registro federal para exchanges extraterritoriales, y el martes la agencia autorizó los perpetuos sobre acciones para plataformas reguladas en EE.UU., ampliando el impulso de onshoring que comenzó con el perp de bitcoin de Kalshi en mayo.

Binance afirmó que ha reconstruido el sistema de wallets y la herramienta interna de IA en nuevos entornos, reemplazó los dispositivos afectados, revocó las credenciales de los ingenieros y amplió la detección de anomalías de comportamiento. Está encargando una revisión independiente, aumentando el gasto en seguridad de endpoints y de entornos de desarrollo, y planea crear un fondo de investigación sobre seguridad de IA junto a empresas externas. Qué tan rápido se recompran los tokens robados restantes, si los activos congelados pueden recuperarse y qué concluye la revisión independiente son los puntos clave a seguir. Algunos detalles técnicos, señala el informe, permanecerán en privado.

Este artículo apareció originalmente en Bitcoin Magazine y fue escrito por Micah Zimmerman.