Binance: US$6.300M robados con una falsa entrevista

¿Cómo robaron US$6.300M a Binance con una falsa entrevista de trabajo?

El martes, Binance confirmó que un esquema de ingeniería social de varios meses terminó con US$6.300M saliendo de sus billeteras: el mayor robo de criptomonedas de la historia. El punto de entrada no fue una clave privada filtrada ni un fallo de día cero, sino un ingeniero del equipo de billeteras que descargó una "prueba técnica" para un puesto que no existía.

La cifra equivale a unas cuatro veces los US$1.500M que el FBI atribuye a TraderTraitor, la unidad norcoreana vinculada a Lazarus Group, en el robo a Bybit de febrero de 2025, según la comparación publicada por FinanceFeeds. Y el propio exchange reconoció 57 casos de amenazas sospechosas vinculadas a Corea del Norte solo en 2026, de acuerdo con Decrypt.

La cadena de fallos: de un Homebrew alterado a la firma de billeteras

Ninguna de las piezas del ataque era exótica por separado. La combinación sí.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Junio: un integrante del equipo de DevOps de billeteras descargó una instalación manipulada de Homebrew, el instalador de software más usado en macOS, mientras buscaba una herramienta de IA para programar en un buscador. Binance detectó el problema, reemplazó el portátil y rotó credenciales, pero el episodio ya había expuesto al ingeniero y a sus colegas del equipo de infraestructura de billeteras, según el reporte que recoge NBC News.
Septiembre: un segundo ingeniero, en búsqueda de empleo, fue contactado en una plataforma legítima de búsqueda de trabajo por alguien que se presentó como director de proyecto de una empresa ficticia. Hubo dos entrevistas: en la primera, un supuesto responsable de RR. HH. construyó confianza en videollamada mostrando una cuenta social llena de fotos y videos personales, un método que Binance calificó como "más avanzado y engañoso" que lo visto antes. En la segunda, por chat, le pidieron descargar una "tarea" que contenía malware hasta entonces desconocido y que evadió las herramientas de seguridad de la compañía.
20 de octubre: desde esa base, los atacantes usaron una herramienta interna de IA del exchange para tomar control de los ordenadores de dos ingenieros del equipo de billeteras.
29 de octubre: con credenciales robadas a uno de ellos, desplegaron un contenedor y accedieron al servicio interno de firma de billeteras, lo que permitió iniciar transacciones fuera del flujo normal de retiros. En Ethereum usaron EIP-7702, un mecanismo que permite delegar derechos de ejecución a un contrato inteligente. El vaciado tomó unos 20 minutos y tocó diez blockchains distintas, según Decrypt y BleepingComputer.

Binance reconoció que el ataque "no debería haber ocurrido" y que reforzó su seguridad después de la sustracción. Su portavoz Ross O'Leary remitió al comunicado público y declinó responder, on the record, las preguntas de TechCrunch sobre cómo impide que se ejecute código no autorizado en los portátiles de sus empleados y si terceros habían auditado su red antes del incidente.

¿Por qué años de advertencias no alcanzaron?

La industria sabía. Desde hace años, investigadores advierten que Corea del Norte se hace pasar por fondos de venture capital, inversores y reclutadores con expedientes de identidades estadounidenses robadas para conseguir acceso a sistemas corporativos, según el reporte de TechCrunch. Jimmy Su, director de seguridad de Binance, declaró a Decrypt en agosto de 2025 que el exchange descarta currículums sospechosos de origen norcoreano todos los días y que "casi todos los grandes hackeos de la RPDC" habían involucrado a un falso empleado. Su pista más confiable: la conexión de internet lenta en las videollamadas, por el traductor y el cambiador de voz operando en tiempo real.

La escala tampoco era secreta. Elliptic había vinculado más de US$2.000M en cripto robado a Corea del Norte solo en 2025, en más de treinta hackeos, según Help Net Security. Decrypt cita una estimación según la cual los grupos vinculados a la RPDC concentraron el 60% de todas las pérdidas por hackeos del año pasado. Un grupo conocido como WaterPlum o Contagious Interview infectó al menos 30.000 dispositivos en más de 100 países entre diciembre de 2025 y julio de 2026, alcanzó más de 7.000 billeteras y movió unos US$10,71 millones a Corea del Norte, según el mismo medio.

Hay además antecedentes directos. El robo de US$1.500M a Bybit en febrero de 2025 no vino de un fallo de Bybit, sino de la infraestructura de Safe, su proveedor externo de billeteras, según Decrypt. En mayo de 2024, DMM Bitcoin perdió US$308M después de que un empleado de la empresa de billeteras Ginco ejecutara código Python malicioso disfrazado de prueba de preempleo, según BleepingComputer.

El patrón se repite en todos los casos: el eslabón débil no es la criptografía, es una persona con prisa resolviendo un test o instalando una herramienta.

¿Qué se pudo congelar del botín y qué no?

El FBI publicó 628 direcciones vinculadas al robo —608 de Ethereum, 19 de Bitcoin y una de Solana— y pidió a exchanges, operadores de nodos y servicios DeFi bloquear transacciones. Tether y Circle congelaron cerca de US$3.000M el primer día, según Help Net Security. TRM Labs calculó que más de 420.000 ETH y 18.270 BTC, unos US$2.400M, quedaron fuera del alcance de cualquier emisor, de acuerdo con FinanceFeeds.

Binance dijo que repone cerca del 95% de los activos robados con fondos propios (antes iba por el 90%), que absorbe el impacto y no lo traslada a usuarios, y reanudó retiros por fases desde el 1 de noviembre; a la fecha habilita 28 monedas fiat. También apareció un riesgo nuevo: estafadores que circulan capturas falsas sobre una supuesta compensación de US$150 para afectados, según Help Net Security.

¿Qué significa esto para tu startup?

La reacción natural de un founder es pensar "no somos Binance". Es exactamente el razonamiento equivocado. Este ataque no necesitó el balance de un exchange: necesitó un portátil de desarrollo, un proceso de contratación público y un empleado dispuesto a instalar algo para conseguir un trabajo. Cualquier startup que publique vacantes, use GitHub, NPM o Homebrew y tenga un solo ingeniero con acceso a producción reúne las condiciones.

Los datos lo respaldan: cerca de la mitad de las intrusiones en empresas tecnológicas de Estados Unidos del año pasado se atribuyeron a norcoreanos que se hacían pasar por trabajadores de TI remotos y reclutadores falsos, según TechCrunch. El vector no es un ataque dirigido a grandes corporaciones; es un filtro automatizado sobre miles de candidatos, y tu startup puede estar en la lista sin saberlo.

Acciones concretas para tu equipo

Trata todo archivo de un proceso de selección como código no confiable. Las pruebas técnicas se abren en una máquina virtual desechable o en un entorno aislado, nunca en el portátil corporativo con acceso a repositorios y credenciales.
Implementa allowlisting de ejecutables. Si un binario no está firmado y aprobado, no corre. El malware de este caso no era indetectable: era no autorizado y el sistema lo permitió igual.
Verifica la identidad de quien te recluta. Dominio de correo corporativo real, historial verificable de la empresa, cámara encendida sin interrupciones. Una "falla de conexión" que obliga a seguir por chat es una señal de alerta clásica.
Rota credenciales ante cualquier incidente, incluso uno "resuelto". Binance reemplazó el portátil comprometido en junio, pero no neutralizó el acceso que el atacante ya había ganado. La credencial robada fue el puente hacia el siguiente ingeniero.
Segmenta el acceso a lo crítico. Que un ingeniero de producto no pueda alcanzar el sistema de firma de transacciones sin un segundo factor humano es la diferencia entre un susto y una pérdida de US$6.300M.
Simula el escenario, no solo el phishing genérico. Un ejercicio de red team con un falso reclutador y una prueba técnica infectada detecta el eslabón que los simulacros de correo corporativo no tocan.

Conclusión

El robo de US$6.300M a Binance será recordado por el monto, pero su valor práctico está en el método: dos entrevistas, una tarea de código y una herramienta de desarrollo descargada desde un buscador. Ninguna de esas piezas requiere un ejército de hackers; requiere paciencia y un proceso de contratación sin controles técnicos.

La pregunta incómoda que dejó el caso no es cómo se cuela un atacante de un Estado en un exchange, sino por qué una red corporativa permitió ejecutar código que nadie había autorizado. Para un founder con equipo chico y mucha urgencia, esa respuesta cuesta menos que una tarde de configuración y vale más que cualquier póliza.