APUNTE.COM.DO.- Cinco días después del mayor hackeo de su historia, Binance difundió su primera investigación sobre las causas y los responsables del robo de USD 6.300 millones en criptomonedas. El informe preliminar de la plataforma de intercambio más grande del mundo describe un plan de múltiples etapas en el que se combinaron diversas técnicas.
Binance reconoció que enfrentó “un incidente de seguridad grave y altamente sofisticado” en el que se mezclaron estrategias variadas, incluida la ingeniería social característica de los fraudes digitales comunes. Un primer ataque fallido había revelado a los hackers información sobre la seguridad de la empresa. El golpe definitivo consistió en la creación de una compañía ficticia que engañó a un programador de Binance con una supuesta oferta laboral y logró que instalara un archivo malicioso.
Respecto a los responsables, Binance indicó que “la información más reciente publicada por el Federal Bureau of Investigation (FBI) indica que la República Popular Democrática de Corea es responsable de este incidente”.
El informe sostiene que la operación fue compleja y se desarrolló en varias fases: “No fue una única brecha aislada ni un simple incidente de phishing”. Los atacantes combinaron ingeniería social mediante entrevistas de trabajo falsas, descargas de software malicioso, herramientas internas de IA comprometidas, compromiso de endpoints y un método avanzado de autorización de transacciones.
La empresa reiteró que asumirá el impacto financiero del robo, que en ningún caso recaerá sobre los usuarios. Al 31 de octubre de 2026, “el 98% de los activos en tokens afectados han sido repuestos y pueden verificarse en la página de Prueba de Reservas. Estamos en proceso de adquirir los activos restantes, que tienen menor liquidez”, señaló. Del monto total sustraído, USD 2.850 millones en activos digitales “han sido congelados o interceptados, sujeto a conciliación y a la volatilidad de los precios de mercado”.
La compañía aclaró que la investigación continúa y que incorporará nuevas revisiones con investigadores independientes. También precisó que en el informe inicial omitió algunos detalles técnicos para evitar que otros ciberdelincuentes los aprovechen para planificar ataques.
Según el reporte, el ataque comenzó cuando un intruso obtuvo “un acceso no autorizado a un servicio interno de firma de wallets” y lo utilizó para iniciar movimientos al margen del circuito habitual de retiros. Así se produjo un primer traslado desde cinco hot wallets de Binance hacia direcciones de los hackers.
La plataforma detectó una alerta por transferencias de gran volumen e inició una investigación mientras los fondos salían de las redes. Como respuesta, activó “múltiples medidas de contención”, entre ellas la suspensión de retiros, la coordinación con socios para congelar tokens y acciones para revocar permisos indebidos. Esas gestiones permitieron bloquear USD 2.850 millones en activos.
No obstante, advirtió que la suspensión de retiros no era suficiente: las autorizaciones maliciosas de las transferencias estaban registradas en la cadena y operaban “de forma independiente de la infraestructura normal de retiros de Binance”. Para anularlas, debió ejecutar transacciones adicionales y un procedimiento, ya que su billetera funcionaba con computación multipartita, sin una única clave privada disponible.
Binance relató que en junio de este año el “Ingeniero A”, un empleado del equipo de billeteras al que no identifica, descargó un programa modificado tras buscar una herramienta de inteligencia artificial. El equipo de seguridad detectó la situación, cambió su computadora y renovó sus accesos. Sin embargo, en ese momento el atacante obtuvo información sobre las funciones de ese ingeniero y de otros compañeros.
A lo largo de 2026, Binance ya había detectado y frenado 57 casos sospechosos relacionados con grupos vinculados a Corea del Norte. Las maniobras incluyeron falsas ofertas de empleo, programas que parecían útiles y mensajes de videollamadas, así como operaciones de ingeniería social destinadas a obtener credenciales o instalar programas maliciosos.
De acuerdo con Binance, en septiembre un empleado identificado como “Ingeniero B” recibió una falsa propuesta laboral. Tras dos entrevistas, descargó en su computadora corporativa una supuesta prueba técnica que incluía código malicioso. La compañía señaló que el programa reemplazó una herramienta legítima de desarrollo y permitió a los atacantes ejecutar comandos y comunicarse con un servidor bajo su control.
Los intrusos vulneraron el servicio interno de firma digital y retiraron fondos de cinco billeteras calientes. El 20 de octubre, habrían usado una herramienta interna de inteligencia artificial desde ese equipo comprometido para alcanzar a otros trabajadores del área de wallets. Allí detectaron un token con permisos para desplegar contenedores, según la reconstrucción de la empresa.
El 29 de octubre, entre las 17:15 y las 19:56 UTC, los responsables ingresaron al equipo de un tercer ingeniero, utilizaron las credenciales del empleado de Wallet DevOps y desplegaron un contenedor con un script malicioso. Binance afirmó que esa operación permitió el acceso al sistema de firma de las billeteras.
La compañía informó que reconstruyó los sistemas involucrados, reemplazó los dispositivos comprometidos y anuló las credenciales y tokens relacionados. También anunció una revisión de ciberseguridad.
