Binance afirma que una falsa entrevista de trabajo y la descarga de software malicioso ayudaron a los atacantes a acceder a sus sistemas antes de que se sustrajeran 6.340 millones de dólares de las billeteras del exchange. En una actualización de seguridad publicada el martes, la empresa dijo que el robo se produjo el 29 de octubre y que los atacantes movieron los fondos en unos 20 minutos.

Según la investigación inicial de Binance, los atacantes utilizaron el acceso a los ordenadores de los ingenieros para desplazarse por la red de la empresa y explotar una herramienta interna de IA. Finalmente, accedieron a un servicio de firma de billeteras, lo que les permitió iniciar transacciones al margen del proceso habitual de retirada de Binance.

La empresa rastreó la actividad sospechosa hasta junio, cuando un ingeniero al que identificó como Ingeniero A descargó de internet una instalación manipulada de Homebrew. Binance dijo que detectó y resolvió ese incidente, pero que más tarde los atacantes consiguieron información sobre el empleado.

A principios de septiembre, se contactó con otro ingeniero, el Ingeniero B, a través de una plataforma de búsqueda de empleo y se le invitó a una entrevista por video con alguien que se hizo pasar por reclutador. Durante una entrevista posterior por chat, le pidieron que descargara en un ordenador de trabajo una tarea que contenía un repositorio de código malicioso, según Binance. El malware estaba diseñado para hacerse pasar por una herramienta de desarrollo legítima y comunicarse con un servidor controlado por los atacantes.

Binance afirma que, hacia finales de octubre, los atacantes utilizaron el acceso al ordenador del Ingeniero B para tomar el control de las billeteras asociadas al Ingeniero A y a otro ingeniero de software. El día del robo, también utilizaron datos de inicio de sesión sustraídos para acceder al ordenador de un miembro del personal antes de atacar el servicio de firma de billeteras.

El exchange dijo que había reservado fondos para cubrir las pérdidas y reconstruido o sustituido los sistemas internos afectados por el ataque. Se disculpó por las interrupciones y la incertidumbre, y recalcó que el incidente implicó algo más que una sola brecha o un sencillo intento de phishing.

Binance dijo que varias partes del sector congelaron casi la mitad de las criptomonedas robadas cuando fue posible. Los fondos restantes se están moviendo mediante un complejo proceso de blanqueo. Tom Robinson, de Elliptic, dijo que durante los primeros tres días y medio la actividad utilizó unas 12.000 billeteras en 11 cadenas de bloques y generó más de 40.000 transacciones.

Binance no identificó directamente a los atacantes, pero señaló que el FBI atribuyó el hackeo a Corea del Norte el 31 de octubre. Varias empresas de rastreo también lo vincularon con Hackers norcoreanos, incluido el grupo TraderTraitor. Rafe Pilling, de la empresa de seguridad Sophos, dijo que el método descrito era coherente con las tácticas del grupo, que consisten en comprometer a ingenieros y averiguar cómo gestionan las transacciones los sistemas de la víctima.

Binance dijo que, durante 2026, su equipo de seguridad detectó e impidió 57 presuntos ciberataques vinculados a Corea del Norte. La investigación del robo sigue en curso.

Fuentes: WIRED.