Presuntos hackers norcoreanos vaciaron $6,300 millones de Binance la semana pasada en el mayor robo de criptomonedas registrado, y las técnicas detrás del ataque reflejan un manual amplio y en evolución: infiltrarse en empresas con identidades falsas, envenenar bibliotecas de código de uso generalizado, comprometer la infraestructura de wallets y, cada vez más, emplear inteligencia artificial para hacer cada paso más convincente.

La magnitud de la amenaza es considerable. Una estimación atribuye el 60% de todas las pérdidas cripto del año pasado a grupos vinculados a la República Popular Democrática de Corea (RPDC). Estos actores utilizan varios vectores de ataque a la vez, lo que dificulta atraparlos en el acto.

La semana pasada, bastaron solo 20 minutos para que los presuntos atacantes norcoreanos vaciaran $6,300 millones de Binance, el mayor hackeo cripto registrado. Según el exchange, comprometieron la computadora de trabajo de un ingeniero de Binance mediante una entrevista laboral falsa, usaron una herramienta interna de IA para obtener control de las computadoras de otros ingenieros y luego emplearon credenciales robadas para secuestrar un servicio interno de firma de wallets.

— Binance (@binance) November 3, 2026

Históricamente, se ha sabido que los hackers norcoreanos consiguen ser contratados en empresas cripto con identidades falsas, atacan a través de infraestructura de terceros y envenenan bibliotecas de código de uso generalizado. Más recientemente, han empezado a usar IA para hacer todo esto más convincente. Estos son los métodos que se les conoce en los ataques cripto.

Empleados falsos

Jimmy Su, director de seguridad de Binance, dijo a Decrypt en agosto de 2025 que el exchange descarta a diario currículums sospechosos de ser norcoreanos, y que "casi todos los grandes hackeos de la RPDC" en ese momento habían involucrado a un empleado falso que ayudaba a facilitar el ataque.

Su señaló que había señales reveladoras en los currículums que indicaban que el solicitante era de Corea del Norte, pero el exchange no quiso revelar los detalles de esas banderas rojas. A veces, los actores maliciosos llegan a la etapa de entrevista, donde usan deepfakes para cambiar su rostro y su voz.

"La única buena detección real es que casi siempre tienen una conexión a internet lenta", dijo a Decrypt. "Lo que ocurre es que la traducción y el cambiador de voz funcionan durante la llamada… por eso siempre hay retraso".

Los que sí logran ser contratados tienden a ser sospechosamente buenos en el trabajo. Su dijo que los trabajadores norcoreanos suelen estar entre los de mejor desempeño de una empresa, probablemente porque varias personas pueden compartir un mismo rol en distintas zonas horarias.

La amenaza no ha disminuido. Binance dijo que su equipo de seguridad detectó y previno 57 casos sospechosos de ciberamenazas vinculadas a Corea del Norte en 2026, con técnicas que van desde entrevistas laborales fraudulentas hasta aplicaciones falsas de videoconferencia.

Entrevistas laborales falsas

Los atacantes también invierten la estafa y se hacen pasar por reclutadores para dirigirse a personas que ya trabajan en empresas cripto de alto perfil. A menudo, el atacante alega que hay un problema de video o audio durante la entrevista y envía a la víctima un enlace para actualizar Zoom, que infecta su dispositivo con malware.

"El grupo de la RPDC [también] intentará agendar llamadas con los empleados que tienen contacto externo", dijo Su a Decrypt. "Ya sea como un proyecto DeFi o una firma de inversión. Lo peor es que los reclutan para un puesto de alto nivel, pagando el doble o el triple, solo para conseguir una entrevista con ellos".

Así comenzó el ataque a Binance, según el exchange. En septiembre, un ingeniero de software de Binance fue contactado a través de una plataforma legítima de búsqueda de empleo por alguien que se hacía pasar por un director de proyecto, quien organizó dos entrevistas. En la primera, una supuesta representante de recursos humanos generó confianza en una videollamada en vivo compartiendo una cuenta de redes sociales llena de fotos y videos personales, un enfoque que Binance calificó de "más avanzado y engañoso que lo visto anteriormente".

En la segunda entrevista, realizada en una aplicación de chat, se le dijo al ingeniero que descargara una "tarea" en su computadora de trabajo. El repositorio de código contenía malware previamente desconocido que se ejecutó durante la instalación, reemplazó una herramienta de desarrollo legítima por una versión maliciosa y se conectó a un servidor controlado por el atacante, eludiendo las herramientas de seguridad de Binance.

Métodos similares se han usado a mayor escala en otros lugares. Un grupo vinculado a Corea del Norte infectó al menos 30,000 dispositivos en más de 100 países entre aproximadamente diciembre de 2025 y julio de 2026, sustrajo fondos o credenciales de más de 7,000 wallets cripto y movió alrededor de $10.71 millones a Corea del Norte.

Ese grupo, conocido como WaterPlum o Contagious Interview, se hacía pasar por empresas de IA, cripto o NFT y planteaba a los candidatos una entrevista técnica o tarea de programación que requería descargar archivos llenos de malware. Algunos usaban software de intercambio de rostros con IA durante las entrevistas antes de cortar su propio video y pedirle al candidato que hiciera lo mismo, alegando una mala conexión.

Envenenamiento de bibliotecas

Su también dijo a Decrypt que los hackers norcoreanos envenenan bibliotecas de código públicas, y lo ubicó como el segundo método de ataque más común, detrás de los empleados falsos.

Los paquetes de Node Package Manager (NPM) son colecciones de código abierto reutilizable que los desarrolladores usan con frecuencia. Los atacantes pueden clonar estos paquetes e introducir una pequeña línea de código malicioso manteniendo la función original intacta. Esto significa que una víctima podría usar una biblioteca de código envenenada sin darse cuenta, con el código malicioso incrustándose más profundamente con el tiempo a medida que se construye más software sobre él.

En septiembre de 2025, la empresa de seguridad de software ReversingLabs encontró dos paquetes NPM que usaban contratos inteligentes de Ethereum para descargar malware, algo que la firma dijo no haber visto antes. Los paquetes estaban vinculados a una red más amplia de repositorios de GitHub, en su mayoría presentados como bots de trading cripto, con miles de commits y estrellas que ReversingLabs cree que eran en su mayoría falsificados.

La táctica formó parte de una "campaña sofisticada" de actores maliciosos que intentaban hackear usuarios mediante bibliotecas de código público relacionadas con blockchain envenenadas, un vector de ataque que Binance ha atribuido previamente a hackers norcoreanos. Para contrarrestar la amenaza, dijo Su, Binance hace que los empleados revisen las bibliotecas NPM con lupa.

Las herramientas de desarrollo adulteradas también desempeñaron un papel en el hackeo de Binance. En junio, un miembro del equipo de DevOps de wallets de Binance descargó una instalación adulterada de Homebrew, un instalador de software popular, al intentar instalar una herramienta de codificación con IA que había encontrado a través de un buscador, según el exchange. Su equipo de seguridad detectó el problema, reemplazó el dispositivo y rotó sus credenciales, pero el incidente expuso al ingeniero y a sus colegas del equipo de infraestructura de wallets ante los atacantes.

Ataques a la infraestructura

Antes de Binance, el nada envidiable récord del mayor hackeo cripto pertenecía a Bybit, que perdió $1,400 millones en febrero de 2025, menos de un cuarto del monto sustraído de Binance. Empresas de ciberseguridad revelaron que los hackers norcoreanos ejecutaron el ataque plantando código malicioso en la infraestructura de Safe, un proveedor de wallets cripto utilizado por el exchange.

Las empresas de seguridad dijeron que código JavaScript malicioso fue inyectado directamente en la infraestructura en línea de Safe, aunque no quedó claro cómo lograron hacerlo los atacantes. La infraestructura de Bybit "no fue comprometida", dijo el exchange a Decrypt; el hackeo se produjo puramente porque se explotó a un tercero.

El ataque a Binance, en cambio, apuntó a los sistemas propios del exchange. El 29 de octubre, el atacante usó credenciales robadas para desplegar un contenedor, un entorno de software aislado usado para ejecutar servicios dentro de la propia infraestructura de una empresa, y obtener acceso no autorizado a un servicio interno de firma de wallets, lo que le permitió iniciar transacciones fuera del proceso normal de retiros de Binance. En Ethereum, usó el servicio de firma para explotar el EIP-7702, un mecanismo que permite a una cuenta delegar derechos de ejecución a un contrato inteligente, dando a un contrato controlado por el atacante control parcial sobre una hot wallet de Binance, la wallet conectada a internet de la que dependen los exchanges para procesar los retiros de los clientes.

Esas autorizaciones on-chain siguieron funcionando incluso después de que Binance suspendió los retiros. Debido a que la hot wallet usaba computación multipartita, un enfoque que divide el control de la clave entre varias partes para que ningún participante tenga la clave completa, no había una única clave privada que Binance pudiera usar para revocarlas rápidamente, dijo el exchange.

Estafas potenciadas por IA

Cada uno de los vectores de ataque mencionados puede potenciarse con herramientas de inteligencia artificial.

A principios de este año, Google advirtió sobre una campaña de malware con IA dirigida a empresas cripto proveniente de Corea del Norte. Su, de Binance, también ha señalado que las herramientas de IA pueden usarse para aumentar la eficacia de los ataques.

La preocupación por los hackeos potenciados por IA ha aumentado en los últimos meses, con el cofundador de Ethereum, Vitalik Buterin, diciendo en octubre que es "plausible" que la IA pueda romper el cifrado en los próximos dos años. Esto se produjo en medio de una explosión de las matemáticas impulsadas por IA, con OpenAI afirmando haber resuelto en cuestión de días un problema matemático de 90 años, y expertos instaron a la industria a prepararse para ataques con IA contra el cifrado.

No hay informes confirmados de hackers norcoreanos usando IA para romper el cifrado. Pero, dado lo rápido que han adoptado la IA en otros ámbitos, la industria podría tener que prepararse para eso a continuación.