Una prueba de programación de un posible empleador parecía una parte ordinaria de una entrevista de trabajo. En realidad, era un paso de un ciberataque de varios meses que terminó con el robo de $6.3 mil millones de Binance, y plantea nuevas preguntas sobre cómo los exchanges de criptomonedas se defienden de amenazas dirigidas a sus propios empleados.

Según un análisis publicado por Binance el martes, el robo formó parte de una campaña coordinada que explotó tanto vulnerabilidades humanas como sistemas de seguridad internos. Los hallazgos del exchange detallan cómo los hackers penetraron gradualmente en la infraestructura de billeteras de la empresa antes del robo del 29 de octubre.

Cómo los hackers infiltraron Binance

La campaña comenzó en junio, cuando un ingeniero descargó un paquete de software adulterado mientras configuraba una herramienta de programación con IA, según el informe de seguridad de Binance. Aunque el exchange detectó el malware y reemplazó el dispositivo afectado, los atacantes ya habían recopilado información sobre el equipo de billeteras de Binance. El episodio muestra cómo una infección puede seguir siendo relevante incluso después de ser detectada: reemplazar el dispositivo eliminó el malware, pero no el reconocimiento que los atacantes ya habían completado.

En septiembre, atacantes que se hacían pasar por reclutadores tomaron como objetivo a otro ingeniero de software y lo engañaron para que descargara un archivo malicioso disfrazado de prueba de programación. El malware comprometió la computadora de trabajo del ingeniero y eludió las protecciones de seguridad del exchange.

El 20 de octubre, los atacantes utilizaron la máquina comprometida y una herramienta interna de IA para acceder a los sistemas de dos ingenieros adicionales, obteniendo credenciales de despliegue que les permitieron instalar software malicioso dentro de la infraestructura de billeteras de Binance el 29 de octubre.

Los intrusos llegaron entonces al servicio interno de firma de billeteras del exchange, que autoriza las transacciones de criptomonedas, lo que les permitió mover fondos fuera del proceso normal de retiro. El acceso a ese nivel significó que los fondos podían moverse con los controles habituales de retiro del exchange fuera de la ecuación, la misma dinámica que luego permitió que las transferencias continuaran incluso después de que Binance suspendió los retiros.

"Esto no fue un solo error ni una sola brecha: fue una campaña de varios meses", dijo el co-CEO de Binance, Richard Teng, en una publicación del martes en X.

Fuente: Richard Teng en X

EIP-7702 explotado para mantener las transferencias en movimiento

Binance dijo que los atacantes también explotaron el mecanismo EIP-7702 de Ethereum, que permite a las billeteras delegar permisos de transacción a contratos inteligentes. Eso permitió que las transferencias no autorizadas continuaran incluso después de que el exchange suspendió los retiros. Su sistema de billeteras de computación multipartita (MPC), que distribuye el control de la firma de transacciones, complicó los esfuerzos por revocar esos permisos. En conjunto, ambos diseños significaron que detener las transferencias no autorizadas requería revertir permisos en todo el sistema de billeteras, en lugar de cortar un único punto de control.

La brecha afectó aproximadamente $6.3 mil millones en activos digitales, y Binance reportó que $2.85 mil millones habían sido congelados o interceptados, según su contabilidad más reciente. El exchange dijo que absorbería las pérdidas en lugar de trasladarlas a los clientes y que había repuesto el 98% de los activos de tokens afectados al 31 de octubre. Estas cifras representan la última instantánea del exchange y no una resolución final, por lo que las actualizaciones posteriores sobre los activos más allá de los $2.85 mil millones congelados o interceptados, y sobre si el reembolso supera el 98%, definirán cómo se lee la contabilidad final de la brecha.

El ataque, el mayor hackeo de criptomonedas de la historia, ha sido atribuido a hackers norcoreanos por la Oficina Federal de Investigaciones (FBI). El martes, Kim Yo Jong, hermana del líder norcoreano Kim Jong Un, negó la participación de su país, afirmando que la atribución del FBI tenía motivaciones políticas y buscaba dañar la posición internacional de Corea del Norte. Las declaraciones dejan ambas versiones en desacuerdo públicamente, con la atribución del FBI y la negación de Pyongyang sin conciliar.

Binance reporta 57 amenazas cibernéticas bloqueadas este año

Aparte, la cofundadora de Binance, Yi He, dijo el martes que el equipo de seguridad del exchange había detectado y prevenido 57 amenazas cibernéticas sospechosas de estar vinculadas a Corea del Norte en 2026, incluidas entrevistas de trabajo fraudulentas, paquetes de software maliciosos e intentos de ingeniería social dirigidos a robar credenciales o instalar malware. El recuento de 2026 indica que los métodos en el centro de la brecha, los acercamientos de reclutadores falsos, los paquetes adulterados y los intentos de robo de credenciales, eran patrones recurrentes en los datos de amenazas de Binance y no eventos aislados.

"Interceptamos muchas de ellas, pero el costo de no detener aunque sea una fue grave, y esto nunca debería haber ocurrido", dijo.

Este artículo fue reportado originalmente por Cointelegraph.