El hackeo de Binance, cifrado en 6.340 millones de dólares, empezó con una entrevista de trabajo falsa. La compañía publicó este martes su primer informe sobre el asalto del 29 de octubre y describe cinco meses de preparación, un instalador manipulado y un ingeniero que abrió la puerta sin saberlo.
El documento lo presentaron el co-CEO Richard Teng y el responsable de seguridad, Jimmy Su. Binance asegura que ha congelado o interceptado unos 2.850 millones de dólares y que ha repuesto con fondos propios el 98% de los tokens afectados; el resto lo ha comprado en el mercado abierto. Dicho de otro modo: la compañía ha puesto dinero de su bolsillo para que los saldos de sus clientes volvieran a cuadrar.
Teng escribió en X que no hubo un solo error ni una sola brecha, sino una campaña de meses. Y añadió que publicaban el informe completo porque las lecciones van mucho más allá de Binance. La frase tiene sentido: casi todo el ataque ocurrió en videollamadas y en ordenadores de empleados, no en la blockchain.
El FBI atribuye el asalto a Corea del Norte. El informe de Binance cita esa conclusión, pero no la asume como propia. Pyongyang lo rechazó el lunes por boca de Kim Yo Jong, hermana del líder Kim Jong Un, que calificó la acusación de ‘grave provocación política’ ante los medios estatales. El patrón se repite en casi todos los grandes robos de criptomonedas de los últimos años, con el grupo Lazarus como protagonista recurrente.
El origen: una oferta de trabajo y un instalador envenenado
El primer punto de apoyo llegó en junio. Un ingeniero del equipo de carteras buscó una herramienta de programación con IA y descargó un instalador de Homebrew alterado; Homebrew es el gestor de paquetes que muchos desarrolladores usan en Mac para instalar software. Seguridad detectó la anomalía, cambió el dispositivo y renovó credenciales. Pero el episodio dejó al descubierto el papel de ese ingeniero y los nombres de sus compañeros en la infraestructura de carteras.
En septiembre, el segundo empleado recibió el contacto en una plataforma de empleo legítima. Al otro lado había alguien que se presentaba como director de proyecto. Hubo una videollamada con una supuesta responsable de recursos humanos que compartió su cuenta personal de redes sociales para ganar confianza. Y una segunda entrevista con un falso consejero delegado que terminó con una ‘tarea’: un repositorio de código que el ingeniero debía instalar en su ordenador de trabajo.
Tres ordenadores, dos videollamadas y un repositorio: el asalto a Binance no se libró en la blockchain, sino en la bandeja de entrada.
El repositorio sustituyó un componente legítimo de pyenv, la herramienta que permite manejar varias versiones de Python en un mismo equipo, por una versión maliciosa y abrió un canal hacia un servidor controlado por los atacantes. Binance reconoce que su software de detección no lo marcó porque era un cero días: una vulnerabilidad desconocida hasta ese momento.
El 20 de octubre los atacantes usaron ese ordenador y una herramienta de IA interna de la propia compañía para llegar a dos ingenieros más. Uno tenía un token de despliegue de contenedores, la llave que permite publicar software en la infraestructura. Nueve días después, el 29 de octubre, entraron en el equipo de un tercer ingeniero, desplegaron un contenedor con las credenciales robadas y empezaron a vaciar carteras.
Binance dice que este año ha bloqueado otros 57 intentos sospechosos vinculados a Corea del Norte con señuelos parecidos.
Cuatro horas para cortar el grifo y 10.970 millones retirados
El dinero salió rápido. Entre las 20:05 y las 20:09 UTC del 29 de octubre, cinco carteras calientes enviaron 233,46 millones de XRP a una dirección de los atacantes. Luego llegaron unos 970.500 SOL y 44,2 millones de OP desde Solana y Optimism. Y una cartera caliente envió 18.270 BTC. La cartera caliente es la cuenta conectada a internet que mueve los fondos del día a día del exchange; si cae, cae mucho de golpe.
El último canal fue el más difícil de cortar. Los atacantes usaron el servicio de firma comprometido para invocar la propuesta EIP-7702 de Ethereum, un estándar que permite a una cuenta delegar derechos de ejecución en un contrato sin exponer su clave privada. Enviaron 50 transacciones de firma y dieron a un contrato propio capacidad parcial sobre una cartera de Binance. Suspender las retiradas no bloqueaba esa vía y, como la cartera usaba computación multiparte (varias partes custodian trozos de la clave), no había una sola llave que revocar: el equipo improvisó un procedimiento. La última transferencia no autorizada, 2.961,9 ETH, se liquidó a las 23:56 UTC; la delegación quedó anulada a las 00:10 UTC del 30 de octubre.
El informe admite el hueco. ‘Estos desafíos alargaron el tiempo necesario para contener por completo los movimientos no autorizados’, señala, y añade que revisa su política de firmas y el control de las carteras calientes.
El golpe se notó en los depósitos. Binance reabrió las retiradas el domingo y en las 46 horas siguientes los clientes sacaron 10.970 millones de dólares, con salidas netas de 5.280 millones, según los datos que compartió Teng este martes. A las 03:00 UTC los depósitos por hora ya superaban a las retiradas, y la plataforma ha vuelto a habilitar decenas de activos en nueve redes.
Lo que este robo dice de la seguridad de los exchanges
Casi ningún gran robo de criptomonedas de los últimos años ha empezado con un fallo matemático del protocolo. Han empezado con una persona: un empleado que abre un archivo, un proveedor al que le roban las credenciales o un candidato al que le prometen un puesto. Aquí el eslabón fue un proceso de selección simulado durante semanas, con videollamadas, cuentas personales y una tarea inofensiva en apariencia. Es la versión cripto del fraude del directivo, ese en el que alguien se hace pasar por un jefe para que un empleado mueva dinero.
Hay dos lecturas y conviene sostener las dos a la vez. La primera: Binance reaccionó con rapidez, congeló 2.850 millones y repuso casi todo con fondos propios, algo que no todos los exchanges podrían permitirse. La segunda: el dinero tardó horas en dejar de salir, el diseño de firmas de la cartera complicó la revocación y los atacantes usaron herramientas de la propia casa, incluida una IA interna. La concentración también es un riesgo en sí misma: cuando la mayor plataforma del sector recibe un golpe así, el susto recorre todo el mercado, incluidos los usuarios europeos que nunca han comprado cripto fuera de un banco.
En Washington el episodio ya tiene lectura política. El presidente de la CFTC, Michael Selig, dijo que el hackeo ‘prueba exactamente nuestro punto’ sobre la necesidad de una vía de registro federal para los exchanges extraterritoriales, y el mismo martes la agencia autorizó futuros perpetuos sobre acciones para plataformas reguladas en Estados Unidos.
Binance dice que ha reconstruido el sistema de carteras y la herramienta de IA en entornos nuevos, ha sustituido dispositivos, ha revocado credenciales y ha ampliado la detección de comportamientos anómalos. También ha encargado una revisión independiente y prepara un fondo de investigación sobre seguridad en IA con firmas externas. Algunos detalles técnicos se quedarán en privado. La pregunta abierta es cuánto de todo esto sirve para que el próximo ataque se detecte antes: la primera señal llegó en junio, cuatro meses antes del drenaje.
