Binance dijo que su equipo de seguridad detectó y detuvo 57 presuntos casos de ciberamenazas vinculados a Corea del Norte en 2026 antes de que un solo ataque tuviera éxito — uno que usó una entrevista laboral falsa y finalmente drenó las billeteras calientes del exchange, las billeteras conectadas a internet de las que dependen los exchanges para procesar los retiros de los usuarios.

En su informe inicial sobre la brecha, publicado en X, Binance dijo que aproximadamente 6.340 millones de dólares en activos digitales fueron afectados y que unos 2.850 millones de dólares han sido congelados o interceptados. El exchange dijo que absorberá las pérdidas en lugar de trasladarlas a los usuarios, y que el 98% de los activos tokenizados afectados ha sido repuesto — una cifra que, según dijo, puede verificarse en su página de Proof of Reserves.

Como referencia, el mayor robo cripto registrado hasta entonces fue la brecha de febrero de 2025 al exchange Bybit, que involucró alrededor de 1.500 millones de dólares y fue atribuida por Bybit a hackers vinculados a Corea del Norte.

Citando la información más reciente de la Oficina Federal de Investigaciones (FBI), Binance atribuyó el incidente a Corea del Norte.

Un año de intentos dirigidos

Según el exchange, los 57 casos reflejan la amenaza persistente de actores patrocinados por Estados que apuntan a la industria cripto. Las técnicas observadas incluyeron entrevistas laborales fraudulentas, software malicioso disfrazado de herramientas populares de desarrollo, paquetes de software y extensiones de navegador comprometidos, aplicaciones falsas de videoconferencia y campañas de ingeniería social diseñadas para robar credenciales o desplegar malware de acceso remoto.

Ese manual basado en reclutamiento coincide con las advertencias públicas que agencias estadounidenses han emitido en los últimos años, en las que advierten que operativos vinculados a Corea del Norte se hacen pasar por reclutadores o empleadores para infectar las computadoras de sus objetivos con malware.

Binance describió la brecha como una campaña de múltiples etapas, más que una brecha aislada única o un simple intento de phishing. Rastreó la primera señal de alerta hasta junio, cuando un ingeniero de DevOps de billeteras descargó una instalación de Homebrew adulterada mientras buscaba una herramienta de codificación con IA. Binance dijo que detectó la anomalía, reemplazó el dispositivo y rotó las credenciales relacionadas — pero el rol del ingeniero y sus colegas del equipo de billeteras ya habían sido expuestos al atacante.

Cómo funcionó la entrevista

En septiembre, un segundo ingeniero cuyo perfil en una plataforma de empleo mencionaba su experiencia en Binance fue contactado por alguien que se hacía pasar por un director de proyecto. Siguió una entrevista por video de primera ronda con una supuesta representante de recursos humanos, que compartió una cuenta de redes sociales con fotos y videos personales para generar confianza. Binance describió esto como más engañoso que los enfoques anteriores de ingeniería social.

La segunda ronda se realizó en una popular aplicación de chat con alguien que afirmaba ser el CEO de una empresa ficticia. Hacia el final, se le pidió al ingeniero descargar una "asignación" en su computadora de trabajo. El código dentro de ella se ejecutó durante la instalación y abrió un canal hacia un servidor controlado por el atacante. Binance dijo que el malware de día cero no fue detectado por sus herramientas de seguridad de endpoints en ese momento.

El atacante luego usó la computadora comprometida y una herramienta interna de IA para tomar control sobre otros dos ingenieros de billeteras. Binance dijo que un token de permiso de despliegue de contenedores encontrado en la máquina de uno de los ingenieros fue usado el día del ataque para desplegar un contenedor y activar el script malicioso.

Por qué la contención tomó tiempo

Binance dijo que los atacantes usaron el servicio de firma para explotar el mecanismo de autorización EIP-7702 de Ethereum — una función de cuentas introducida en la actualización Pectra de Ethereum en 2025 que permite que cuentas estándar de usuario operen con funcionalidad de contratos inteligentes — que siguió moviendo activos incluso después de que los retiros fueran suspendidos. Debido a que la billetera caliente usaba computación multipartita (MPC), no había una única clave privada para revocar las autorizaciones maliciosas, por lo que el equipo construyó un procedimiento especializado que tomó tiempo adicional.

El exchange dijo que desde entonces ha reconstruido el sistema de billeteras afectado y la herramienta interna de IA, reemplazado los dispositivos afectados, dado de baja las credenciales relacionadas y fortalecido su detección de anomalías. También planea una revisión de seguridad independiente, y algunos detalles técnicos permanecerán confidenciales.

Binance describió su informe como inicial, lo que significa que sus hallazgos aún están sujetos a revisión independiente — dejando el resultado de la revisión planificada y cualquier cifra actualizada de pérdidas o recuperaciones como los detalles por seguir a partir de ahora.