El exchange explicó el proceso que permitió a los atacantes infiltrarse en sus sistemas y llevarse 6340 millones de dólares en criptomonedas. La investigación todavía no se cerró y el FBI apunta a un grupo de ciberdelincuentes de Corea del Norte.
Hackeo a Binance: una falsa entrevista laboral y la descarga de un archivo dieron inicio al robo cripto más grande de la historia. (Image: AdobeStock/ChatGPT)
Binance reveló nuevos detalles sobre el hackeo del 29 de octubre, en el que fueron sustraídas criptomonedas por aproximadamente US$6340 millones. El exchange más grande del mundo publicó hoy en X los primeros resultados de una investigación preliminar en la que se afirma que los atacantes lograron ingresar a sus sistemas mediante una falsa entrevista laboral, un programa malicioso y una herramienta interna de inteligencia artificial. La empresa también informó que el FBI atribuye el ataque a Corea del Norte.
El informe reconstruye cómo los delincuentes comprometieron las computadoras de varios empleados hasta conseguir acceso al sistema encargado de autorizar las transferencias de las billeteras digitales.
En cuanto a las pérdidas, la compañía informó que consiguió congelar o interceptar aproximadamente US$2850 millones en criptomonedas. Además, aseguró que al 31 de octubre ya había repuesto el 98% de los activos afectados y que reservó fondos por un monto superior al necesario para cubrir la totalidad del robo, por lo que sus usuarios no deberán afrontar las pérdidas.
Cómo empezó el hackeo a Binance: falsas entrevistas laborales y una herramienta de IA
La reconstrucción del ataque comienza en junio de 2026, cuando un ingeniero del equipo encargado de la infraestructura de billeteras descargó una versión modificada de Homebrew, una herramienta utilizada para instalar programas. El empleado intentaba incorporar un asistente de programación con inteligencia artificial que había encontrado mediante un buscador de Internet.
El equipo de seguridad detectó la actividad sospechosa, reemplazó la computadora y renovó las credenciales relacionadas con el incidente. Sin embargo, los atacantes consiguieron información sobre las responsabilidades del ingeniero y sus compañeros de trabajo, un dato que posteriormente resultaría relevante para la investigación.
En septiembre se produjo una nueva maniobra, esta vez dirigida contra otro desarrollador de Binance. Los delincuentes lo contactaron mediante una plataforma legítima de búsqueda de empleo y se hicieron pasar por representantes de una empresa ficticia. El proceso incluyó una entrevista por videollamada con una supuesta persona de Recursos Humanos y otra conversación con alguien que afirmaba ser el director ejecutivo de la compañía.
Para hacer más creíble el engaño, uno de los falsos reclutadores le compartió sus perfiles de redes sociales con foto y videos personales. Durante la segunda entrevista, realizada mediante una aplicación de mensajería, le pidieron al ingeniero que descargara en su computadora laboral un ejercicio de programación como parte del supuesto proceso de selección.
El archivo contenía software malicioso que se ejecutó durante su instalación y permitió iniciar actividades no autorizadas. Los atacantes lograron ocultar el programa, reemplazar componentes legítimos y comunicarse con un servidor externo bajo su control. Binance explicó que sus herramientas de protección no detectaron inicialmente esta amenaza, que aprovechaba una vulnerabilidad desconocida hasta ese momento.
El 20 de octubre, los hackers dieron el siguiente paso en el ataque. Desde la computadora que habían infectado mediante la falsa entrevista laboral, usaron una herramienta interna de inteligencia artificial de Binance para conseguir acceso a otros dos empleados que trabajaban con las billeteras digitales de la empresa.
Así descubrieron que uno de esos ingenieros tenía guardada en su equipo una credencial que permitía instalar y ejecutar programas dentro de los sistemas de Binance. Con ese permiso, los delincuentes pudieron avanzar hacia la infraestructura que controlaba las transferencias de criptomonedas, que terminarían usando para ejecutar el robo nueve días después.
La operación llegó a su etapa decisiva el 29 de octubre, cuando los atacantes ingresaron a la computadora de uno de los ingenieros, usaron las credenciales robadas al otro empleado y desplegaron un componente que ejecutó el programa malicioso con el que iniciaron el robo.
Cómo ejecutaron el robo de criptomonedas y por qué Binance no pudo detenerlo inmediatamente
Una vez dentro de los sistemas, los delincuentes consiguieron correr un servicio interno encargado de firmar transacciones de las billeteras digitales. Esto les permitió ordenar movimientos de criptomonedas por fuera del procedimiento habitual de retiros de los clientes.
Así, en solo cuatro minutos, cinco billeteras de Binance enviaron 233,46 millones de XRP a una dirección controlada por los atacantes. También se registraron transferencias de aproximadamente 970.500 SOL y 44,2 millones de OP desde billeteras de las redes Solana y Optimism, respectivamente, además del envío de 18.270 BTC.
La empresa recibió una alerta interna por el volumen de las operaciones y comenzó a investigar. Como parte de su respuesta, suspendió los retiros, coordinó acciones con otras organizaciones para congelar activos y buscó anular los permisos utilizados por los delincuentes.
Sin embargo, los atacantes habían incorporado otro mecanismo que complicó la situación. Aprovecharon EIP-7702, una función de Ethereum que permite delegar operaciones de una billetera a un contrato inteligente para otorgar permisos a un programa controlado por ellos. De esta manera, algunas transferencias podían continuar aunque Binance hubiera desactivado su infraestructura habitual de retiros.
Para bloquearlas, el equipo de seguridad tuvo que desarrollar un procedimiento especial que llevó más tiempo del previsto. Mientras trabajaban para recuperar el control, los delincuentes todavía podían mover criptomonedas mediante las autorizaciones que habían activado en la red Ethereum.
Tras el incidente, el exchange reconstruyó los sistemas afectados, reemplazó dispositivos comprometidos, anuló credenciales y reforzó los controles sobre los servicios de billeteras. También incorporó mejoras en sus herramientas de inteligencia artificial destinadas a detectar comportamientos sospechosos y anunció que contratará especialistas externos para revisar sus conclusiones.
El informe señala que, a lo largo de 2026, el equipo de seguridad de Binance había detectado y evitado 57 intentos de ataques informáticos presuntamente relacionados con Corea del Norte. Entre las tácticas identificadas figuraban ofertas laborales fraudulentas, programas modificados y falsas aplicaciones de videoconferencias.
La investigación todavía continúa y sus resultados serán sometidos a una revisión independiente. Binance también anticipó que mantendrá reservados algunos detalles técnicos para evitar que otros grupos puedan aprovecharlos en futuros ataques.
