Escucha este artículo
Audio generado con IA de Google
/
La semana pasada Binance fue víctima de un ataque cibernético. Los atacantes lograron extraer de la principal plataforma de intercambio de criptomonedas más de USD 6.300 millones, por lo que este hecho se considera el mayor robo de criptomonedas de la historia.
Desde entonces, Binance adelanta una investigación para reconstruir paso a paso cómo ocurrió el ciberataque. Los hallazgos preliminares apuntan a una operación sofisticada, ejecutada a través de una campaña que se desarrolló en múltiples etapas.
“No fue una única brecha aislada ni un simple incidente de phishing. Los atacantes combinaron una variedad de técnicas, incluyendo ingeniería social mediante entrevistas de trabajo falsas, descargas de software malicioso, herramientas internas de IA comprometidas, compromiso de endpoints y un método avanzado de autorización de transacciones”, detalla la plataforma.
La línea de tiempo
En junio de este año, un ingeniero (a quien llamaremos Ingeniero A) del equipo Wallet DevOps descargó un programa con el que buscaba instalar una herramienta de programación. Sin embargo, el software contenía código malicioso (un mal llamado “virus”).
Aunque el equipo de seguridad informática de Binance detectó esta amenaza, reemplazó el dispositivo afectado y renovó todas las credenciales relacionadas como medida preventiva, los atacantes ya habían logrado algo valioso: conocer el rol de ese ingeniero, así como el de otros integrantes del equipo que trabaja en la infraestructura de las billeteras.
Este no fue un hecho aislado, a lo largo de 2026 el equipo de seguridad de Binance llegó a detectar y prevenir 57 amenazas cibernéticas, todas vinculadas a Corea del Norte.
En otras palabras, este no fue un ataque que se gestó de la noche a la mañana, sino es más bien el resultado de una amenaza persistente contra la industria de las criptomonedas y respaldada por el régimen del mencionado país asiático.
Los meses pasaron y, en septiembre, se registró otra avanzada en el marco de este plan cibercriminal. Un ingeniero de software de Binance (a quien llamaremos Ingeniero B) fue contactado a través de una plataforma legítima de búsqueda de empleo por una persona que se hacía pasar por un director de proyecto.
El ingeniero tenía un perfil en esa plataforma en el que mencionaba su experiencia laboral en Binance. A partir de allí, un integrante de la organización criminal se hizo pasar como reclutador de una empresa ficticia, contactó al empleado de la plataforma y le organizó una supuesta entrevista de trabajo. Posteriormente coordinó una segunda ronda, esta vez con una persona que afirmaba ser el CEO de la compañía.
Estas entrevistas de trabajo fueron claves. En la primera ronda, el supuesto representante de recursos humanos realizó una videollamada con el ingeniero de software. En ella, el delincuente compartió una cuenta de redes sociales con fotografías y videos personales, con el propósito de generar confianza y hacer más creíble la falsa oferta laboral.
En la segunda entrevista, que se realizó mediante una aplicación popular de mensajería instantánea, se le indicó al ingeniero que debía descargar una “tarea”. Esta contenía un repositorio de código malicioso, el cual se ejecutó durante el proceso de configuración, realizando una serie de acciones no autorizadas.
En otras palabras, con esta estrategia los atacantes lograron reemplazar una parte legítima de un programa de desarrollo por una versión manipulada, la cual permitió a los criminales controlar algunas funciones del computador infectado, así como comunicarse con sus propios servidores.
Todo esto reforzado por técnicas de ofuscación y evasión, es decir, modificaron el código malicioso para hacerlo más difícil de identificar haciéndolo parecer como un componente legítimo para que otras herramientas de seguridad no detectaran su presencia.
El 20 de octubre, el grupo de cibercriminales aprovechó el acceso que tenía a la computadora infectada del Ingeniero B para una herramienta interna, basada en inteligencia artificial, y así obtener el control de los sistemas que controlaba el Ingeniero A, así como otro ingeniero de software de billeteras (a quien llamaremos ingeniero C).
No pasó mucho tiempo para que el grupo de cibercriminales descubriera que el Ingeniero A tenía en su computadora una llave con los permisos para instalar y poner en funcionamiento programas dentro de la infraestructura tecnológica de Binance.
El 29 de octubre, hacia las cinco de la tarde, el atacante inició sesión en la computadora del Ingeniero C, usó las credenciales robadas del Ingeniero A y desplegó una serie de códigos para iniciar el ataque que terminó en el robo de criptomonedas por más de USD 6.300 millones.
Hacia las 6 de la tarde, cinco hot wallets (billeteras calientes) de Binance enviaron 233.46 millones de XRP a una dirección controlada por el atacante.
Para quienes no están inmersos en el mundo cripto, una ‘hot wallet’ es una especie de monedero virtual que se usa para guardar las criptomonedas. Reciben el nombre de “caliente” porque están conectadas a internet, lo que las diferencia de las ‘cold wallets’, que están desconectadas de la red.
Durante los minutos siguientes, el saqueo continuó: las hot wallets de Binance en Solana y Optimism enviaron aproximadamente 970,500 SOL y 44.2 millones de OP a direcciones controladas por el atacante.
Posteriormente, una hot wallet de Binance envió 18,270 BTC a una dirección controlada por el atacante.
Luego, el atacante utilizó el servicio de firma para explotar el mecanismo de autorización EIP-7702 de Ethereum.
Para entender mejor esto, el mecanismo EIP-7702 permite que una billetera de criptomonedas autorice a un programa externo realizar determinadas operaciones en su nombre, sin tener que entregar su clave privada. En este caso, los atacantes aprovecharon esa función.
¿Qué pasará con el dinero?
Binance ha informado que asumirá la responsabilidad por los fondos robados, por lo que ya ha reservado el 100 % de los fondos necesarios para cubrir la pérdida.
“Al 31 de octubre de 2026, el 98 % de los activos en tokens afectados han sido repuestos y pueden verificarse en nuestra página de Prueba de Reservas”; informó.
La plataforma también señaló que se encuentra en el proceso de adquirir los activos restantes.
Parte de su respuesta al incidente ha incluido el trabajo en conjunto con las fuerzas del orden, firmas de inteligencia en blockchain (el libro contable mediante el cual operan las cripto), emisores de activos y socios de la industria. Con ellos se busca rastrear y congelar los activos afectados. En otras palabras, Binance ha juntado un ejército de colaboradores para intentar recuperar lo robado.
Este esfuerzo ya ha dado frutos, pues aproximadamente USD 3.000 millones han sido congelados, lo que impide a los atacantes mover estos activos, transferirlos o convertirlos en dinero.
También se han reforzado los controles de seguridad en toda la infraestructura afectada. En suma, es como si Binance estuviera convirtiendo su plataforma en una ciudad amurallada en medio de una guerra: levanta nuevas barreras, blinda sus puntos vulnerables y, al mismo tiempo, sale a perseguir a quienes la atacaron para intentar recuperar los activos robados.
Binance contraataca
Esto es lo que ha hecho Binance tras el incidente:
- Reconstruyó el sistema de wallets afectado en un nuevo entorno.
- Reconstruyó la herramienta interna de IA afectada y sus controles de acceso.
- Reemplazó los dispositivos afectados.
- Desactivó las credenciales y tokens relacionados con los ingenieros afectados.
- Completó análisis de seguridad reforzados en todos los dispositivos de los empleados.
- Mejoró la detección de anomalías de comportamiento basada en IA.
- Fortaleció los controles de riesgo de los servicios de wallet.
- Trabaja con autoridades, firmas de inteligencia blockchain y socios de la industria para rastrear y congelar los activos afectados.
La plataforma también ha informado que trabaja en una revisión independiente de ciberseguridad. Para esto ha involucrado a expertos externos con el objetivo de realizar un análisis integral del incidente, así como validar sus hallazgos y dar recomendaciones adicionales.
También se ha incrementado la inversión en seguridad y prevención de incidentes cibernéticos mediante el uso de herramientas basadas en inteligencia artificial.
Por último, se ha creado un fondo de investigación de seguridad e iniciativas para la industria.
“Estamos trabajando en la creación de un fondo de investigación de seguridad y en iniciativas específicas con empresas líderes de IA, participantes de la industria y firmas de seguridad enfocadas en la seguridad de IA dentro de entornos blockchain”; concluyó.
Los crackers
Aunque popularmente se les conoce como hackers, el término cracker es el correcto para referirse a quienes emplean sus conocimientos técnicos e informáticos para vulnerar sistemas, cometer delitos o realizar actividades maliciosas.
¿Qué mente criminal está detrás de este ataque? ¿A quién identificar y perseguir? Al igual que ocurre con un crimen en el mundo físico, en el que los investigadores analizan las huellas para dar con los responsables, en el mundo digital también quedan rastros. Su análisis puede aportar pistas para identificar a los atacantes y establecer si pertenecen a alguna agrupación de ciberdelincuentes.
En su más reciente reporte, Binance confirma lo que ya otras firmas habían señalado: los ataques se gestaron en Corea del Norte.
El foco se puso sobre TraderTraitor, una unidad de crackers de élite perteneciente al mencionado país asiático. Su objetivo es ampliamente conocido: robar activos digitales como bitcoin y ether.
Entre sus técnicas tradicionales figura el envío de correos electrónicos de phishing, así como la infección de sus víctimas mediante archivos de código malicioso, como troyanos.
Según la firma especializada en seguridad en la nube Wiz, desde que TraderTraitor salió a la luz pública en 2022, el grupo ha sido vinculado con varios ciberataques. Entre ellos figuran el ataque a la cadena de suministro de JumpCloud, en julio de 2023, y el robo de criptomonedas a Bybit (USD 1.500 millones, hasta entonces considerado como el mayor ataque en la historia de este tipo).
“El beneficio económico es su principal objetivo. El régimen norcoreano, sometido a fuertes sanciones, utiliza estas operaciones cibernéticas para robar criptomonedas y generar ingresos que financien programas estatales. Las campañas de TraderTraitor se dirigen específicamente a organizaciones de blockchain y criptomonedas con el objetivo de robar activos digitales. Los fondos robados (a menudo en bitcoin, ether u otras criptomonedas) se blanquean y se convierten para apoyar las prioridades de Corea del Norte”, detalla WIZ.
Una de las firmas que atribuye con un alto grado de confianza la responsabilidad del ataque a Binance al grupo TraderTraitor es TRM Labs, especializada en inteligencia y seguridad en blockchain. La empresa sostiene que su señalamiento se basa en información sólida, recopilada tanto dentro como fuera de la cadena de bloques.
Otras empresas, como Elliptic, también han identificado pistas que apuntan a esta organización criminal, como similitudes entre los movimientos de los activos robados a Binance y las operaciones anteriores atribuidas a TraderTraitor. En otras palabras: tiene plumas de pato y camina como pato ¿Qué es?
Kaspersky, otra firma de seguridad informática, considera que detrás de este ataque estaría Lazarus, lo que no necesariamente riñe con las sospechas contra TraderTraitor, pues la primera funciona como la organización sombrilla bajo la cual opera la segunda.
“Este grupo es conocido por realizar ciberataques con motivaciones financieras, incluidas operaciones dirigidas contra el sector de las criptomonedas, y cuenta con una amplia experiencia en este ámbito. En 2016, Lazarus fue acusado de atacar al banco central de Bangladesh en un intento de robo de USD 1.000 millones. No se trató de un caso aislado: durante la presente década, el grupo ha mantenido su actividad contra las plataformas de intercambio de criptomonedas”, explica Georgy Kucherin, investigador senior de seguridad del Equipo Global de Investigación y Análisis (GReAT) de Kaspersky.
¿Qué lecciones deja?
Kucherin resalta que estos incidentes demuestran que las plataformas de intercambio de criptomonedas no son inmunes a los ciberataques y pueden verse comprometidas mediante diferentes métodos.
La primera lección es que prácticamente no hay ningún sector de la economía ni ámbito de la sociedad que esté a salvo de un ataque informático. La diferencia está en que no todos enfrentan el mismo nivel de exposición ni las mismas consecuencias potenciales en caso de sufrir uno.
La segunda lección es prestarle atención al factor humano. Esta sigue siendo una de las principales vulnerabilidades de las que se aprovechan los atacantes. Empleados de organizaciones, con privilegios en los sistemas de las empresas, pueden ser engañados para instalar archivos de códigos maliciosos que infectan los equipos y los convierten en la puerta de entrada para los atacantes. Capacitar al talento humano en seguridad informática es clave para evitar este tipo de incidentes.
La tercera lección está en la gestión del riesgo. Aunque ninguna organización está exenta de sufrir un ciberataque, sí puede anticiparse a esa posibilidad y prepararse para responder. Para ello, es fundamental contar con protocolos de actuación y mecanismos de protección que permitan contener los daños. En el caso de Binance, parte de esa estrategia se refleja en el uso de billeteras frías para proteger los activos y en la existencia de un fondo de reserva para responder ante posibles pérdidas de sus usuarios.
También podría resaltarse la transparencia con la que Binance ha manejado la situación, al mantener informados a sus usuarios sobre el desarrollo del incidente, las medidas adoptadas para contenerlo y las acciones encaminadas a recuperar los activos robados.
¿Qué hacer?
Con el ánimo de contener el daño, ESET publicó la siguiente lista de lo que debería hacer un cliente de Binance:
- Seguir únicamente los canales oficiales de Binance. Consulta el sitio web, la aplicación y los perfiles verificados del exchange para obtener información sobre el incidente.
- Desconfiar de mensajes sobre reembolsos. Evita acceder a enlaces enviados por correo electrónico, SMS o aplicaciones de mensajería sin antes verificar su autenticidad.
- No compartir contraseñas, códigos de autenticación ni frases semilla. Esta información es confidencial y no debe proporcionarse a terceros, incluso si la solicitud parece provenir del soporte del exchange.
- Revisar la configuración de seguridad de la cuenta. Verifica si la autenticación en dos factores está activada y revisa la lista de direcciones autorizadas para retiros.
💰📈💱 ¿Ya se enteró de las últimas noticias económicas? Lo invitamos a verlas en El Espectador.
Conoce más
