Las primeras conclusiones de la investigación interna abierta por Binance para esclarecer el 'hackeo' que provocó un perjuicio de 6.300 millones de dólares (5.650 millones de euros) a la plataforma de criptomonedas apuntan a que los responsables del ataque prepararon durante meses una operación compleja en la que combinaron varias técnicas y llegaron incluso a organizar falsas entrevistas de trabajo.
De acuerdo con la cronología difundida por la compañía, el incidente se inició en junio, cuando un ingeniero del área de infraestructura de monederos descargó una instalación manipulada mientras buscaba una herramienta de programación de IA. El equipo de seguridad detectó la anomalía, reemplazó el dispositivo afectado y rotó las credenciales, pero el puesto del ingeniero y el de sus compañeros quedó expuesto ante el atacante.
En septiembre, un segundo ingeniero fue contactado a través de una plataforma oficial de búsqueda de empleo por un supuesto director de proyecto, que concertó dos entrevistas: una por videoconferencia con un falso responsable de Recursos Humanos y otra por chat con un supuesto consejero delegado de una compañía ficticia. Al término de esta última, se le solicitó que descargara en su ordenador de trabajo una “tarea”, un repositorio que, durante la instalación, ejecutó código malicioso.
El 'malware' reemplazó un componente legítimo de una herramienta de desarrollo por una variante maliciosa capaz de ejecutar comandos, conectarse con un servidor controlado por el atacante y eliminar rastros de su actividad. Las soluciones de protección instaladas en los equipos no identificaron este malware de día cero.
El 20 de octubre, el atacante aprovechó el equipo comprometido y una herramienta interna de IA para tomar el control de las máquinas de un ingeniero de DevOps y de otro ingeniero de software, y encontró en una de ellas un token con privilegios para desplegar contenedores.
El 29 de octubre, entre las 17.15 y las 19.56 horas, el atacante accedió al ordenador del segundo ingeniero, utilizó las credenciales sustraídas, puso en marcha un contenedor y activó un script malicioso con el que ejecutó el ataque sobre las operaciones de firma de monederos.
Binance, que afirma haber detectado y bloqueado 57 intentos de ciberataque presuntamente relacionados con Corea del Norte en lo que va de 2026, ha reconstruido el sistema de monederos y la herramienta de IA afectados, sustituido los dispositivos comprometidos, revocado credenciales y tokens, y reforzado tanto el análisis de seguridad como la detección de anomalías y los controles de riesgo.
La compañía ha señalado que mantendrá en reserva parte de las contramedidas implantadas para no ofrecer pistas a potenciales atacantes y que la investigación continúa abierta.