Una entrevista falsa de trabajo comprometió el sistema informático antes de extraer 6,300 millones de dólares

La plataforma anunció que el ataque comenzó cuatro meses antes del robo y que los delincuentes lograron comprometer las computadoras de empleados encargados de desarrollar sus billeteras digitales. De acuerdo con la investigación inicial de Binance y difundida por Reuters, la primera infiltración ocurrió en junio, cuando un empleado descargó una herramienta de IA que había sido manipulada.

En septiembre otro ingeniero participó en un proceso de contratación e incluso sostuvo una videollamada con el supuesto director ejecutivo de una empresa ficticia y al hacer esto descargó diversos códigos maliciosos que permitieron a los atacantes comprometer su computadora y el 20 de octubre utilizar una herramienta de IA para acceder a los sistemas de dos de los desarrolladores. Nueve días después emplearon uno de los equipos comprometidos y credenciales robadas para ejecutar el ataque.

¿Cómo lograron los hackers acceder a las billeteras de Binance?

El incidente no comenzó con una vulneración directa de las criptomonedas, sino con el acceso a las herramientas de trabajo de los desarrolladores donde los atacantes aprovecharon programas aparentemente legítimos para introducir software malicioso, obtener información de los empleados y avanzar hacia los sistemas internos de la plataforma.

Una vez dentro utilizaron una computadora comprometida y las credenciales de otro trabajador para ejecutar una secuencia de instrucciones que permitieron realizar operaciones no autorizadas. Asimismo, para el proceso de infiltración, una herramienta de IA fue parte del proceso, aunque hasta el momento de redactar esta nota no se ha reportado que una inteligencia artificial autónoma haya decidido sustraer los fondos.

Sin embargo, esto coincide con las advertencias que especialistas habían realizado después del ataque donde los grupos dedicados al robo de criptomonedas suelen comprometer primero los dispositivos de desarrolladores para estudiar los mecanismos internos de autorización de transacciones.

Incluso se dejan ver las limitaciones de las medidas de seguridad aplicadas después de detectar una primera infección. Aunque Binance reemplazó el equipo afectado en junio, la operación continuó mediante nuevos intentos de acceso hasta que terminó en el robo de octubre.

Corea del Norte rechaza acusaciones de Estados Unidos

Por su parte, el FBI atribuyó el ataque a TraderTraitor, un grupo de hackers vinculados con Corea del Norte que también ha sido relacionado con otros robos de criptomonedas pero el gobierno de ese país negó las acusaciones y Kim Yo Jong, hermana del líder Kim Jung Un calificó los señalamientos de Estados Unidos como una provocación política .

Aun así, el ataque contra Binance tiene similitudes con el robo de 1,500 millones de dólares que sufrió Bybit en febrero de 2025, también atribuido por las autoridades estadounidenses a actores vinculados con Corea del Norte.

Sin embargo, la reconstrucción técnica de Binance y la identificación de los responsables son aspectos distintos de la investigación, pues la empresa ha explicado cómo se comprometieron sus sistemas, mientras que la atribución del ataque continúa siendo objeto de controversia política.

Binance aseguró que cubrirá las pérdidas relacionadas con el incidente y que está reforzando sus mecanismos de seguridad e incluso anunció mayores inversiones en herramientas de detección de amenazas mediante IA, así como iniciativas de investigación en colaboración con compañías especializadas y después del ataque, la plataforma informó que había destinado más de 6,340 millones de dólares de recursos corporativos para respaldar los activos afectados y que trabajaba con otras empresas del sector para congelar y recuperar parte de las criptomonedas sustraídas.

La compañía también dijo que el incidente afectó una billetera conectada a internet, conocida como hot wallet, y sostuvo que los fondos de sus clientes estaban protegidos.

Sin embargo, congelar criptomonedas no significa necesariamente recuperarlas porque los activos bloqueados pueden permanecer inmovilizados mientras las autoridades y las empresas involucradas investigan su procedencia y determinan los mecanismos para devolverlos.

Después del ataque, Binance afirmó que los usuarios deben revisar sus movimientos y dispositivos autorizados directamente desde la aplicación o el sitio oficial de la plataforma, por lo que, también es recomendable utilizar una contraseña exclusiva, activar la autenticación de dos factores y proteger el correo electrónico vinculado con la cuenta, ya que puede utilizarse para autorizar cambios o recuperar accesos.

Los usuarios deben desconfiar de mensajes que ofrezcan compensaciones por el hackeo, soliciten códigos de verificación o pidan transferir criptomonedas a una supuesta billetera segura.

Estas medidas ayudan a proteger las cuentas individuales, pero no sustituyen los controles internos que deben aplicar las plataformas para impedir que una computadora comprometida permita ejecutar transacciones no autorizadas.