Hackers vinculados a Corea del Norte mantuvieron acceso a los sistemas de Binance durante aproximadamente ocho semanas antes de ejecutar el exploit de $6.300 millones del exchange el 29 de octubre, según la organización de ciberseguridad sin fines de lucro Security Alliance (SEAL). Sin embargo, Binance afirma que la campaña de ataque más amplia comenzó en junio, y que los hackers no obtuvieron acceso a dispositivos adicionales de la infraestructura de wallets hasta el 20 de octubre.

En un informe del jueves, SEAL escribió que el grupo de hackers comprometió en septiembre el dispositivo de un ingeniero de software de Binance mediante un esquema de reclutamiento falso, y agregó que los actores de amenazas pueden moverse por sistemas comprometidos con un "alto grado de sigilo durante períodos prolongados de tiempo" tras la intrusión inicial. La estimación de ocho semanas de SEAL se refiere a la ventana de intrusión de septiembre a octubre, y no al inicio de la campaña más amplia descrita por Binance.

Cointelegraph contactó a Binance para obtener claridad sobre el cronograma. Un portavoz indicó que los compromisos iniciales de dispositivos ocurrieron en junio y septiembre, pero que los atacantes no obtuvieron el acceso necesario para llegar a las operaciones de wallets hasta el 20 de octubre.

"Como se describió en nuestro anuncio, los compromisos iniciales de dispositivos ocurrieron en junio y septiembre, pero los atacantes no obtuvieron el acceso necesario para llegar a las operaciones de wallets hasta el 20 de octubre, cuando utilizaron ese punto de apoyo para moverse lateralmente y obtener acceso a dispositivos y credenciales adicionales", afirmó el portavoz.

SEAL identificó al menos cuatro "empresas de fachada" asociadas a las campañas de reclutamiento falsas de TraderTraitor en 2026, entre ellas citalab.net, citalab.com, bitfit.io y oddium.io — dominios que presentaban estas organizaciones como empleadores legítimos ante sus objetivos.

Binance rastreó la campaña de ataque hasta junio, cuando el dispositivo de otro empleado fue comprometido después de descargar una instalación de Homebrew alterada (un gestor de paquetes de código abierto utilizado para instalar software en macOS y Linux) mientras intentaba instalar una herramienta de programación con IA, según se informó anteriormente. El exchange detectó el incidente, reemplazó el dispositivo y rotó las credenciales relacionadas. Sin embargo, los atacantes ya habían obtenido información sobre los empleados que trabajaban en la infraestructura de wallets de Binance, según una publicación del martes en X.

El 20 de octubre, los atacantes utilizaron la computadora comprometida del ingeniero atacado en septiembre, junto con una herramienta interna de IA, para tomar el control de los dispositivos de dos ingenieros de la infraestructura de wallets, según Binance. Posteriormente descubrieron un token de permiso de despliegue, que fue utilizado durante el exploit del 29 de octubre.

El análisis de SEAL apuntó a patrones similares de intrusión en múltiples etapas en otros hacks de cripto de alto perfil. Se estimó que los atacantes tuvieron alrededor de seis semanas de acceso antes del hack de Bitget de $388 millones, seis semanas de acceso a LayerZero antes de la vulnerabilidad que llevó al exploit de Kelp DAO de $293 millones, y alrededor de tres semanas antes de ejecutar el exploit de AFX de $24 millones. En conjunto, estos casos muestran que los tiempos prolongados de permanencia entre el acceso inicial y la ejecución son una característica recurrente de las grandes intrusiones cripto, y no una anomalía exclusiva de Binance.

La Oficina Federal de Investigaciones de EE.UU. atribuyó el ataque a TraderTraitor de Corea del Norte en un informe del sábado. Kim Yo Jong, hermana del líder norcoreano Kim Jong Un, rechazó las acusaciones, dejando la responsabilidad del exploit públicamente disputada entre Washington y Pyongyang. Con los dos gobiernos ofreciendo versiones completamente opuestas, nuevas revelaciones de Binance, SEAL o agencias estadounidenses podrían aportar más detalles sobre cómo se desarrolló la intrusión entre junio y octubre.

Relacionado: El hack de Binance puede ser un 'revés temporal' para las cripto, según Pandl de Grayscale