Les primeres conclusions de la investigació interna oberta per Binance per aclarir el 'hackeo' que va provocar un perjudici de 6.300 milions de dòlars (5.650 milions d’euros) a la plataforma de criptomonedes apunten que els responsables de l’atac van preparar durant mesos una operació complexa en què van combinar diverses tècniques i van arribar fins i tot a organitzar falses entrevistes de feina.
De conformitat amb la cronologia difosa per la companyia, l’incident es va iniciar al juny, quan un enginyer de l’àrea d’infraestructura de moneders va descarregar una instal·lació manipulada mentre buscava una eina de programació d’IA. L’equip de seguretat va detectar l’anomalia, va substituir el dispositiu afectat i va rotar les credencials, però el lloc de l’enginyer i el dels seus companys va quedar exposat davant l’atacant.
Al setembre, un segon enginyer va ser contactat a través d’una plataforma oficial de recerca de feina per un suposat director de projecte, que va concertar dues entrevistes: una per videoconferència amb un fals responsable de Recursos Humans i una altra per xat amb un suposat conseller delegat d’una companyia fictícia. En acabar aquesta última, se li va demanar que descarregués al seu ordinador de treball una "tasca", un repositori que, durant la instal·lació, va executar codi maliciós.
El 'malware' va substituir un component legítim d’una eina de desenvolupament per una variant maliciosa capaç d’executar ordres, connectar-se amb un servidor controlat per l’atacant i eliminar rastres de la seva activitat. Les solucions de protecció instal·lades als equips no van identificar aquest malware de dia zero.
El 20 d’octubre, l’atacant va aprofitar l’equip compromès i una eina interna d’IA per prendre el control de les màquines d’un enginyer de DevOps i d’un altre enginyer de software, i hi va trobar en una d’elles un testimoni amb privilegis per desplegar contenidors.
El 29 d’octubre, entre les 17.15 i les 19.56 hores, l’atacant va accedir a l’ordinador del segon enginyer, va utilitzar les credencials sostretes, va posar en marxa un contenidor i va activar un script maliciós amb el qual va executar l’atac sobre les operacions de signatura de moneders.
Binance, que afirma haver detectat i bloquejat 57 intents de ciberatac presumptament relacionats amb Corea del Nord en el que va de 2026, ha reconstruït el sistema de moneders i l’eina d’IA afectats, substituït els dispositius compromesos, revocat credencials i tokens, i reforçat tant l’anàlisi de seguretat com la detecció d’anomalies i els controls de risc.
La companyia ha assenyalat que mantindrà en reserva part de les contramesures implantades per no oferir pistes a possibles atacants i que la investigació continua oberta.