El hackeo a Binance se fraguó durante meses, con entrevistas de trabajo falsas a sus ingenieros incluidas
Los primeros indicios de la investigación iniciada por Binance para conocer los detalles del 'hackeo' que supuso un impacto de 6.300 millones de dólares (5.650 millones de euros) a la plataforma de criptomonedas revelan que los perpetradores del ataque trabajaron durante meses en la operación que incluyó diversas técnicas y hasta entrevistas de trabajo falsas.
Según la cronología facilitada por la compañía, el origen se remonta a junio, cuando un ingeniero del equipo de infraestructura de monederos descargó una instalación manipulada al buscar una herramienta de programación de IA. Ante esto, el equipo de seguridad detectó la anomalía, sustituyó el dispositivo y rotó las credenciales, aunque el rol del ingeniero y el de sus compañeros quedó expuesto al atacante, ha informado Europa Press.
En septiembre, un segundo ingeniero fue contactado en una plataforma oficial de búsqueda de empleo por un supuesto director de proyecto, que organizó dos entrevistas: una por videoconferencia con un falso responsable de Recursos Humanos y otra por chat con un supuesto consejero delegado de una empresa ficticia. Al final de esta última se le pidió descargar una “tarea” en su ordenador de trabajo, un repositorio que ejecutaba código malicioso durante la instalación.
El 'malware' sustituyó un componente legítimo de una herramienta de desarrollo por una versión maliciosa para ejecutar comandos y conectar con un servidor controlado por el atacante, además de borrar rastros. Las herramientas de protección de los equipos no detectaron este malware de día cero.
Binance asegura haber frenado 57 intentos de Corea del Norte
Así, el 20 de octubre, el atacante utilizó el equipo comprometido y una herramienta interna de IA para tomar el control de las máquinas de un ingeniero de DevOps y de otro ingeniero de software, y localizó en uno de ellos un token con permisos de despliegue de contenedores.
El día de los hechos –29 de octubre–, entre las 17.15 y las 19.56 horas, el atacante accedió al ordenador del segundo ingeniero, empleó las credenciales robadas, desplegó un contenedor y activó un script malicioso para ejecutar el ataque sobre las operaciones de firma de monederos.
Binance, que asegura haber detectado y frustrado 57 intentos de ciberataque presuntamente vinculados a Corea del Norte en lo que va de 2026, ha reconstruido el sistema de monederos y la herramienta de IA afectados, sustituido los dispositivos, revocado credenciales y tokens, y reforzado el análisis de seguridad, la detección de anomalías y los controles de riesgo.
La empresa ha indicado que mantendrá en reserva parte de las medidas adoptadas para no facilitar información a posibles atacantes y que la investigación continúa abierta.