Los hackers que se robaron alrededor de 6.300 millones de dólares en criptomonedas de Binance, en el que fue el mayor ataque de este tipo contra una plataforma del mundo cripto, utilizaron una falsa entrevista de trabajo y software oculto en un anuncio para comprometer los equipos de dos ingenieros de la compañía y, posteriormente, usar la computadora de un tercero para sustraer el botín.
Así lo detallaron desde Binance en su informe inicial sobre cómo los atacantes llevaron a cabo lo que podría ser el mayor robo financiero de la historia. Según la investigación interna, la operación de ciberataque de varias etapas comenzó en junio y desencadenó una serie de brechas de seguridad, las cuales culminaron en el robo perpetrado el jueves.
La propia firma reconoció que si bien actuaron rápidamente para asegurar su sistema y bloquear las extracciones de dinero tras detectar el ataque a última hora del jueves, los hackers continuaron llevándose criptomonedas durante casi cuatro horas desde que comenzó el robo.
Fue, en palabras de Binance, “un incidente de seguridad grave y altamente sofisticado” en el que se mezclaron distintas estrategias, que incluyeron hasta la ingeniería social propia de los fraudes digitales cotidianos.
“No fue una única brecha aislada ni un simple incidente de phishing. Los atacantes combinaron una variedad de técnicas, incluyendo ingeniería social mediante entrevistas de trabajo falsas, descargas de software malicioso, herramientas internas de IA comprometidas, compromiso de endpoints y un método avanzado de autorización de transacciones”, dijeron en su informe desde la plataforma de criptomonedas más grande del mundo.
Cómo se pergeñó el hackeo a Binance
La reconstrucción del ataque registró los primeros movimientos en junio de 2026, cuando un ingeniero del equipo encargado de la infraestructura de billeteras descargó una versión modificada de Homebrew, una herramienta utilizada para instalar programas.
El empleado intentaba incorporar un asistente de programación con inteligencia artificial que había encontrado mediante un buscador de internet. Según publicó la agencia Reuters, la versión maliciosa de la herramienta se encontraba en un anuncio, por lo que se ubicó por encima de los demás resultados de búsqueda.
El equipo de seguridad detectó la actividad sospechosa, reemplazó la computadora y renovó las credenciales relacionadas con el incidente. Sin embargo, los atacantes consiguieron información sobre las responsabilidades del ingeniero y sus compañeros de trabajo, un dato que posteriormente resultaría relevante para la operación delictiva.
En septiembre se produjo una nueva maniobra, esta vez dirigida contra otro desarrollador de Binance. Los delincuentes lo contactaron mediante una plataforma legítima de búsqueda de empleo y se hicieron pasar por representantes de una empresa ficticia. El proceso incluyó una entrevista por videollamada con una supuesta persona de Recursos Humanos y otra conversación con alguien que afirmaba ser el director ejecutivo de la compañía.
Para hacer más creíble el engaño, uno de los falsos reclutadores le compartió al desarrollador sus perfiles de redes sociales con fotos y videos personales. Durante la segunda entrevista, realizada mediante una aplicación de mensajería, le pidieron al ingeniero que descargara en su computadora laboral un ejercicio de programación como parte del supuesto proceso de selección.
Ese archivo contenía software malicioso que se ejecutó durante su instalación y permitió iniciar actividades no autorizadas. De esta manera, los atacantes lograron ocultar el programa, reemplazar componentes legítimos y comunicarse con un servidor externo bajo su control. Binance explicó que sus herramientas de protección no detectaron inicialmente esta amenaza, que aprovechaba una vulnerabilidad desconocida hasta ese momento.
El 20 de octubre, los hackers utilizaron esa computadora infectada para obtener acceso a otros dos empleados que trabajaban con billeteras digitales de la empresa. Así descubrieron que uno de esos ingenieros tenía guardada en su equipo una credencial que permitía instalar y ejecutar programas dentro de los sistemas de Binance.
Con ese permiso, los delincuentes pudieron avanzar hacia la infraestructura que controlaba las transferencias de criptomonedas, el entorno mediante el cual terminaron ejecutando el robo nueves días después.
La operación llegó a su etapa decisiva el 29 de octubre, cuando los atacantes ingresaron a la computadora de uno de los ingenieros, usaron las credenciales robadas al otro empleado y desplegaron un componente que ejecutó el programa malicioso con el que iniciaron el robo.
Una vez dentro de los sistemas, los delincuentes consiguieron correr un servicio interno encargado de firmar transacciones de las billeteras digitales. Esto les permitió ordenar movimientos de criptomonedas por fuera del procedimiento habitual de retiros de los clientes.
Así, en solo cuatro minutos, cinco billeteras de Binance comenzaron a registrar los envíos de millones de dólares en diferentes criptomonedas hacia una dirección controlada por los atacantes. Fueron transferidos 233,46 millones de XRP, 970.500 SOL y 44,2 millones de OP desde billeteras de las redes Solana y Optimism, respectivamente, y 18.270 BTC.
La empresa recibió una alerta interna por el volumen de las operaciones y comenzó a investigar. Como parte de su respuesta, suspendió los retiros, coordinó acciones con otras organizaciones para congelar movimientos y buscó anular los permisos utilizados por los delincuentes. La compañía informó que esas gestiones permitieron bloquear USD 2.850 millones en activos.
Sin embargo, los atacantes habían preparado un mecanismo para eludir esos bloqueos. Aprovecharon EIP-7702, una función de Ethereum que permite delegar operaciones de una billetera a un contrato inteligente para otorgar permisos a un programa controlado por ellos. De esta manera, algunas transferencias podían continuar aunque Binance hubiera desactivado su infraestructura habitual de retiros.
Para bloquearlas, el equipo de seguridad tuvo que desarrollar un procedimiento especial que llevó más tiempo del previsto y le dio a los delincuentes margen para seguir moviendo criptomonedas a través de la red de Ethereum.
Tras el incidente, el exchange reconstruyó los sistemas afectados, reemplazó dispositivos comprometidos, anuló credenciales y reforzó los controles sobre los servicios de billeteras. También incorporó mejoras en sus herramientas de inteligencia artificial destinadas a detectar comportamientos sospechosos y anunció que contratará especialistas externos para revisar sus conclusiones, como así también el reembolso de los fondos que fueron sustraídos a sus clientes.
La investigación todavía continúa y sus resultados serán sometidos a una revisión independiente. Además, Binance anticipó que mantendrá reservados algunos detalles técnicos para evitar que otros grupos puedan aprovecharlos en futuros ataques.
La sospecha sobre Corea del Norte
El FBI ha señalado a un grupo de piratas informáticos norcoreanos como responsable, una acusación que Corea del Norte ha rechazado. Durante los últimos años se han registrado distintos ataques de piratas informáticos norcoreanos, que cada vez se han vuelto más ambiciosos.
Expertos en ciberseguridad llevan años advirtiendo sobre la vulnerabilidad de los activos digitales, y también han puesto el foco sobre las falsas entrevistas de trabajo como método habitual para atacar directamente a empleados de las empresas del sector.
Binance indicó que, en lo que va de 2026, detectó y frustró 57 ciberamenazas presuntamente vinculadas a Corea del Norte.
