Binance: el robo de 6 340 millones empezó con un reclutador falso
Binance reconstruye en su informe una intrusión de cinco meses: un instalador alterado, una oferta de empleo falsa y una herramienta interna de IA.
El informe inicial de Binance sobre el robo del 29 de octubre describe una cadena de cinco meses y no un solo fallo: un instalador alterado en junio, una entrevista de trabajo falsa en septiembre y el control de equipos internos con ayuda de una herramienta de IA de la propia empresa. Son conclusiones de Binance. La revisión independiente que promete todavía no existe.
Todo empieza en junio. Un ingeniero de DevOps de wallets descargó una versión manipulada de Homebrew, un instalador de programas, mientras buscaba una herramienta de programación con IA. La empresa cambió su equipo y rotó credenciales, pero en octubre el atacante usó un token de despliegue de contenedores tomado de esa computadora. Binance no explica cómo seguía válido.
En septiembre, otro ingeniero recibió por una plataforma de empleo la oferta de un supuesto director de proyecto de una empresa que no existía. Hubo una videoentrevista con una supuesta persona de recursos humanos, que compartió un perfil social lleno de fotos y videos personales para generar confianza. La segunda fue por una app de mensajería, con alguien que se presentó como el director general. Cerró la charla con una petición: bajar una "tarea" de programación a su equipo de trabajo.
Ese código instaló un malware que se comunicaba con un servidor externo. Las herramientas de protección del equipo no lo detectaron, dice Binance.
El 20 de octubre, con esa computadora y la herramienta interna de IA, el atacante tomó el control de otros dos ingenieros de wallets. De la herramienta no se sabe cuál es ni cómo se abusó de ella.
Ya el 29 de octubre, con las credenciales robadas, levantó un contenedor y corrió un script. A las 20:05 UTC, más o menos, empezaron las transferencias. Binance lista lo que salió:
- 233.46 millones de XRP, desde cinco wallets calientes (las conectadas a internet para operar).
- 18 270 BTC, sin hora precisa en el informe.
- Unos 970 500 SOL, en Solana, y 44.2 millones de OP, en Optimism.
- 2 961.9 ETH, en la última transferencia, terminada a las 23:56 UTC.
Con 50 transacciones de firma, el atacante delegó parte de los permisos de una wallet caliente a un contrato inteligente suyo. Como esa wallet usa firma por múltiples partes, ninguna llave podía revocarlo sola. Binance eliminó la delegación el 30 de octubre a las 00:10 UTC, poco más de cuatro horas después del primer envío.
La empresa cifra el golpe en unos 6 340 millones de dólares. Dice que 2 850 millones están congelados o interceptados, sujetos a conciliación, y que al 31 de octubre había repuesto 98 % de los activos afectados, algo que remite a su página de Prueba de Reservas. Falta el valor en dólares de cada activo, así que esas cifras no se pueden reconstruir con las cantidades que publica.
Binance cita el comunicado del FBI que responsabiliza a Corea del Norte y dice haber frenado 57 amenazas sospechosas de vincularse con ese país en 2026. "Esto no debió ocurrir", escribe la empresa.
El método no depende de nada propio de Binance: basta con que un empleado ejecute, en su equipo de trabajo, el código que le manda un supuesto reclutador.
