Binance publicó este martes su primer informe sobre el hackeo de 6.300 millones de dólares, y la reconstrucción confirma que los atacantes no llegaron a las hot wallets con una clave robada, sino tras meses de preparación. El punto de entrada fue una entrevista de trabajo falsa, que les abrió el ordenador de un ingeniero y, desde ahí, la infraestructura que firma las transacciones de la exchange.
La investigación interna concluye que los hackers combinaron ingeniería social, malware y herramientas internas de IA comprometidas para acceder a ese sistema de firma y autorizar transacciones no autorizadas, en una operación que podría ser el mayor robo financiero de la historia.
Cinco meses de trabajo previo
La cadena arrancó en junio, cuando un empleado del equipo de desarrollo de wallets descargó una herramienta manipulada, una versión falsa de Homebrew. Binance lo detectó, sustituyó el equipo y cambió las credenciales, pero el rol de ese empleado y el de otros miembros del equipo de wallets ya habían quedado expuestos.
Con ese mapa en la mano, los atacantes fueron en septiembre a por un segundo ingeniero que buscaba empleo. Un supuesto director de proyecto lo contactó a través de una plataforma de empleo legítima y le organizó una primera entrevista con una persona de RR.HH. y una segunda con alguien que se presentaba como CEO de una empresa ficticia. En esa segunda ronda le pidieron descargar en su ordenador de trabajo una prueba de código que llevaba malware.
La IA interna, convertida en llave
El 20 de octubre, el atacante usó el ordenador comprometido y una herramienta interna de IA para tomar el control del equipo de un desarrollador de wallets y del de un segundo desarrollador del mismo equipo. Nueve días después, desde el ordenador del segundo desarrollador y con credenciales robadas al primero, ejecutó un script malicioso que lanzó el ataque.
El informe añade un agravante técnico, porque los atacantes explotaron el mecanismo EIP-7702 de Ethereum, que permite a las wallets delegar permisos de transacción en smart contracts, y así siguieron moviendo fondos incluso después de que Binance suspendiera los retiros.
El FBI apunta a Corea del Norte
El FBI atribuye el ataque al grupo norcoreano TraderTraitor, una acusación que Pionyang rechaza. La hermana de Kim Jong-un calificó de «grave provocación política» los señalamientos del FBI.
El patrón encaja con campañas previas atribuidas a grupos vinculados al régimen, que llevan años usando ofertas de empleo falsas en el sector cripto para colar malware en los equipos de desarrolladores con acceso a infraestructura sensible.
La respuesta de Binance
En el informe, la exchange admite que el ataque «no debió haber ocurrido» y pide disculpas a usuarios, socios y al resto de la industria. Asegura haber reconstruido los sistemas de wallets afectados, sustituido los dispositivos comprometidos, revocado las credenciales expuestas y ampliado su monitorización de seguridad basada en IA.
Binance anunció además más inversión en detección con IA, un fondo de investigación en seguridad e iniciativas conjuntas con grandes empresas de IA. El caso deja una lección incómoda para todo el sector: el eslabón más débil de una exchange con miles de millones en custodia puede ser un ingeniero que busca trabajo.
