Rafe Peeling, director sénior de Investigación de amenazas de Sophos, explica que los primeros reportes coinciden con los métodos de TraderTraitor, un grupo patrocinado por el Estado norcoreano y asociado con Lazarus, una organización de ciberdelincuentes que las autoridades estadounidenses vinculan con ataques contra instituciones financieras y empresas de criptomonedas.
“Este incidente todavía se encuentra en una fase inicial de incertidumbre, y Binance necesitará tiempo para investigar cómo ocurrió el ataque”, refiere.
La sospecha sobre el grupo norcoreano no proviene únicamente de Sophos, TRM Labs atribuye el ataque de TraderTraitor con un alto grado de confianza, a partir del análisis de movimientos de criptomonedas y otros indicios técnicos. Chainalysis también identificó conexiones con operaciones anteriores relacionadas con actores norcoreanos.
Sin embargo, Binance todavía no confirma la identidad de los responsables y mantiene abierta una investigación en colaboración con las autoridades y empresas especializadas.
¿Cómo lograron robar 6,300 millones de dólares a Binance?
De acuerdo con Pilling, estos grupos suelen comenzar sus ataques mediante el acceso a la computadora de un desarrollador de software o ingeniero. Después estudian los sistemas de la empresa, identifican los mecanismos de autorización de operaciones y preparan una ofensiva que les permite transferir grandes cantidades de criptomonedas en poco tiempo.
“Estos atacantes son expertos en identificar y comprender los procesos técnicos y de negocio necesarios para realizar transferencias autorizadas, lo que les permite diseñar ataques personalizados para cada víctima”, explica el especialista.
La sofisticación de estas operaciones radica en que los delincuentes no necesitan vulnerar directamente todas las billeteras digitales. En algunos casos, basta con comprometer los sistemas o dispositivos que intervienen en la aprobación de movimientos financieros.
Sophos también advierte que TraderTraitor ha desarrollado aplicaciones falsas para infiltrarse en organizaciones. Estas herramientas pueden servir como puerta de entrada a los sistemas corporativos y facilitar el acceso a información o permisos necesarios para ejecutar un ataque.
En el caso de Binance, la compañía afirma que hasta ahora no encontró evidencia de una filtración de las claves privadas de sus billeteras.
