Binance: el hackeo de US$6.340M empezó con una entrevista

El mayor robo de criptoactivos de la historia empezó con una entrevista de trabajo

Binance confirmó que los atacantes que vaciaron sus wallets apuntaron a US$6.340 millones en criptomonedas, la cifra más alta jamás objetivo de un robo de este tipo. La compañía logró congelar o interceptar US$2.85 mil millones y afirma haber reservado fondos por más del 100% de las pérdidas. Para cualquier founder, la lección no es sobre cripto: es que el eslabón más débil de tu infraestructura sigue siendo una persona con acceso privilegiado.

El FBI y la firma de seguridad TRM atribuyeron el ataque a actores norcoreanos. Binance publicó un informe preliminar en el que describe una campaña «sofisticada y de múltiples etapas», con meses de preparación previa y una combinación de técnicas que rara vez aparecen juntas en un mismo incidente.

¿Cómo lograron los hackers entrar a Binance?

Según la investigación de la compañía, el primer incidente relacionado ocurrió en junio, cuando un ingeniero del equipo de Wallet DevOps descargó una versión manipulada de Homebrew mientras buscaba una herramienta de programación con IA. El equipo de seguridad detectó la anomalía, reemplazó el dispositivo y rotó las credenciales asociadas. Pero para entonces los atacantes ya habían obtenido información sobre el rol del ingeniero y de sus colegas en el equipo de infraestructura de wallets.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

El segundo movimiento llegó en septiembre. Un atacante que se presentó como director de proyecto contactó a otro ingeniero a través de una plataforma legítima de búsqueda de empleo. El perfil del ingeniero mencionaba su paso por Binance, lo que lo convertía en un objetivo de alto valor.

El guion fue detallado:

Una primera entrevista por videollamada con alguien que se hizo pasar por representante de recursos humanos, que compartió una cuenta de redes sociales con fotos y videos personales para construir confianza.
Una segunda entrevista por una aplicación de chat popular, con alguien que decía ser el CEO de una empresa ficticia.
Al final de esa segunda ronda, la instrucción de descargar una «prueba técnica» en el computador de trabajo.

El repositorio contenía código malicioso que se ejecutó durante la instalación. Según BleepingComputer, el malware reemplazó un componente legítimo de la instalación de Homebrew en macOS por una versión maliciosa llamada pyenv_, borró el ejecutable original, modificó el enlace simbólico y usó el archivo falso para abrir una shell con la que recibía comandos de un servidor externo. Binance reconoció que ese malware no fue detectado por sus herramientas de seguridad de endpoint en ese momento.

¿Qué papel jugó la IA interna de Binance?

Este es el punto que más debería interesar a cualquier equipo técnico. El 20 de octubre, los atacantes usaron el computador comprometido del ingeniero reclutado con la entrevista falsa y una herramienta interna de IA de Binance para tomar control de otros dos empleados que trabajaban en la infraestructura de wallets.

En ese proceso descubrieron que uno de ellos tenía en su máquina un token de permiso para despliegue de contenedores. Con credenciales robadas y esos permisos de despliegue, llegaron hasta el servicio de firma de transacciones de las wallets.

Vale una precisión importante: aunque en un inicio se sospechó que la IA había sido el vector principal del ataque, el relato de Binance apunta a lo contrario. El ingreso fue ingeniería social clásica y malware; la IA interna solo amplificó el alcance una vez dentro. Es decir, la IA no abrió la puerta: ayudó a moverse por la casa.

Las cuatro horas del 29 de octubre

El robo se ejecutó el 29 de octubre. Entre las 20:05 y las 20:09 UTC, cinco hot wallets de Binance transfirieron 233,46 millones de XRP a direcciones controladas por los atacantes. Los movimientos incluyeron además aproximadamente 970.500 SOL, 44,2 millones de OP y 18.270 BTC.

Los atacantes también explotaron el mecanismo de autorización EIP-7702 de Ethereum, que permitió a un contrato inteligente malicioso obtener derechos parciales de ejecución sobre una hot wallet sin exponer su clave privada. La última transferencia no autorizada, de 2.961,9 ETH, se finalizó a las 23:56 UTC; el código de delegación malicioso se limpió a las 00:10 UTC del 30 de octubre.

Binance explicó que su respuesta se complicó por la arquitectura de wallet de computación multipartita (MPC): no existía una única clave privada que se pudiera revocar de inmediato para cortar las autorizaciones maliciosas. Es un trade-off de diseño que muchos equipos no consideran hasta que lo necesitan.

¿Quién está detrás y qué dice Corea del Norte?

El FBI atribuyó el ataque a TraderTraitor, una unidad vinculada al Lazarus Group, el aparato de ciberoperaciones de la inteligencia militar norcoreana. El grupo ya había sido señalado por el hackeo a Bybit en 2025, que con US$1.500 millones fue el récord anterior, según reportó la BBC.

Pionyang niega la autoría. Kim Yo Jong, hermana del líder Kim Jong Un, calificó las acusaciones como «retórica absurda» y un intento de dañar la reputación internacional del país.

El contexto de escala ayuda a entender por qué esto no es un incidente aislado. Según NPR, un informe del Panel de Expertos del Consejo de Seguridad de la ONU sostiene que el robo cibernético representa cerca de la mitad de los ingresos en divisas de Corea del Norte y financia alrededor del 40% de su programa de armas de destrucción masiva. La agencia de espionaje de Corea del Sur estima que, a 2024, el país contaba con más de 8.400 agentes entrenados en ciberguerra.

Binance, por su parte, afirmó haber detectado y bloqueado 57 casos sospechosos vinculados a Corea del Norte durante 2026, incluyendo entrevistas de trabajo falsas, malware disfrazado de herramientas de desarrollo y esquemas de robo de credenciales.

¿Qué significa esto para tu startup?

No necesitas ser un exchange para estar expuesto. El ataque funcionó porque tres cosas se alinearon: un candidato dispuesto a ejecutar código en su equipo corporativo, un token de despliegue sin los límites adecuados y una herramienta interna de IA con más permisos de los que debía tener.

Acciones concretas que puedes implementar esta semana:

Trata el proceso de contratación como superficie de ataque. Ninguna prueba técnica debería ejecutarse en un equipo corporativo. Entrega una máquina virtual desechable, sin credenciales de producción y sin acceso a la red interna. Si el candidato insiste en correr el código en su laptop de trabajo, es una señal de alarma.
Audita tus tokens de despliegue. El punto de quiebre fue un token de permiso de despliegue de contenedores guardado en una máquina de escritorio. Acorta su vigencia, átalos a un pipeline y no los dejes vivir en laptops.
Asume que tu antivirus va a fallar. El malware usado no fue detectado por las herramientas de endpoint de Binance. Complementa con monitoreo de comportamiento y alertas sobre procesos anómalos, no solo con firmas conocidas.
Verifica tus dependencias. Homebrew, npm y pip son vectores reales. Usa lockfiles, revisa hashes y limita quién puede instalar paquetes en entornos con acceso a producción.
Escribe el runbook antes del incidente. Binance tardó alrededor de cuatro horas en contener el ataque, y su arquitectura MPC le impidió revocar autorizaciones de inmediato. Define hoy quién puede cortar el acceso, cómo y en cuánto tiempo.

Si tu startup maneja tesorería en criptoactivos, suma un control más: multifirma con umbrales bajos para movimientos grandes y un límite de retiro diario que obligue a un segundo humano a aprobar.

Conclusión

El hackeo a Binance no fue un fallo de un antivirus ni de un firewall. Fue una cadena de decisiones humanas y de permisos demasiado amplios, ejecutada con paciencia durante meses. La parte tranquilizadora es que la industria reaccionó: Ari Redbord, responsable de política global de TRM Labs, señaló a NPR que las firmas de cripto lograron congelar más del 40% de los activos robados, algo impensable hace unos años.

La parte incómoda es la otra mitad de su frase: los atacantes ahora intentarán lavar el resto. Para un founder, la conclusión práctica es simple: cada permiso que otorgas es una puerta, y cada puerta que no cierras es una que alguien va a probar.