Ilya Lichtenstein afirma que las tácticas utilizadas en el hackeo de la hot wallet de Binance el 29 de octubre de 2026 se asemejaban a las asociadas con hackers norcoreanos. Su evaluación acompaña el propio relato de Binance sobre una intrusión que combinó esquemas de reclutamiento falso, descargas maliciosas y herramientas internas de IA comprometidas, en un ataque que involucró 6.340 millones de dólares en activos.

El presidente de EE. UU., Donald Trump, dijo que los investigadores estaban examinando una posible conexión norcoreana. Ni su declaración ni la evaluación de Lichtenstein establecen la participación de Corea del Norte. Según CNBC, el co-CEO de Binance, Richard Teng, se abstuvo de culpar directamente a Corea del Norte, pero confirmó que el FBI había vinculado la brecha a hackers norcoreanos asociados con el grupo TraderTraitor.

Lichtenstein sugirió que el phishing a empleados podría servir como punto de entrada a los exchanges de criptomonedas, en lugar de atacar directamente sus sitios web. La sugerencia no fue una confirmación de la vía utilizada en este incidente. La observación apunta a dónde se concentra la seguridad de los exchanges: los dispositivos del personal, las herramientas internas y los sistemas que mueven fondos.

Meses de infiltración precedieron a la brecha de la hot wallet

El relato de Binance describe una intrusión por etapas que involucró a ingenieros y a los sistemas que autorizan transacciones de wallet. Teng dijo que los atacantes pasaron meses ganando acceso, rechazando la idea de que la laptop de un solo empleado constituyera un punto único de falla.

Un informe de seguridad de Binance rastreó los preparativos hasta junio, cuando un ingeniero descargó una instalación de Homebrew alterada mientras buscaba una herramienta de codificación con IA. El exchange detectó actividad sospechosa, reemplazó el dispositivo y rotó las credenciales, pero dijo que el rol del ingeniero y sus colegas ya habían sido expuestos. Homebrew es un gestor de paquetes ampliamente utilizado, y el episodio muestra cómo una instalación rutinaria se convierte en punto de entrada una vez que su fuente es alterada.

En septiembre, atacantes que se hacían pasar por reclutadores sometieron a otro ingeniero a entrevistas y un ejercicio de codificación con malware oculto, dijo Teng. Luego se movieron a través de herramientas internas de IA hasta llegar al sistema que autoriza las transacciones de wallet. Esa secuencia —contratación fingida, malware oculto, movimiento lateral a través de herramientas internas hacia el sistema que autoriza las transacciones de wallet— coincide con el patrón que describió Lichtenstein.

Teng dijo que Binance había repuesto el 98% de los activos afectados y estaba comprando las tenencias restantes, menos líquidas. Los clientes retiraron 3.600 millones de dólares cuando el exchange reabrió el 1 de noviembre. Binance se comprometió a cubrir las pérdidas de los clientes y reconstruyó el sistema de wallet afectado y la herramienta interna de IA. Las cifras transmiten la escala de la recuperación: reponer un faltante multimillonario, absorber fuertes retiros en la reapertura y reconstruir la infraestructura comprometida.

Lichtenstein enfatizó que las primeras 48 horas posteriores a un ataque son críticas para rastrear los fondos robados. La inteligencia artificial puede acelerar las transferencias después de un robo, lo que añade urgencia al seguimiento temprano.

Cómo evoluciona el examen de los investigadores sobre la posible conexión norcoreana, y cuándo completa Binance la compra de las tenencias restantes menos líquidas, son los próximos desarrollos a seguir.

Este artículo fue producido con la asistencia de inteligencia artificial y revisado por el equipo editorial.