El 29 de octubre, durante unas cuatro horas, salieron de las billeteras de Binance unos 6.300 millones de dólares en criptomonedas repartidos en diez blockchains distintas. Es, por amplio margen, el mayor robo en la historia del sector: cuadruplica el golpe de unos 1.500 millones de dólares que sufrió el exchange Bybit en febrero de 2025. Pero lo más inquietante no es la cifra, sino cómo empezó todo: con una búsqueda en internet y una oferta de empleo que parecía real.
Binance, la mayor plataforma de intercambio de criptomonedas del mundo, publicó a comienzos de noviembre un análisis detallado del ataque. El relato describe una campaña paciente, de casi cinco meses, en la que los atacantes nunca rompieron la criptografía de la empresa: se limitaron a engañar a las personas que tenían acceso a ella.
Junio: un anuncio envenenado
La primera pieza cayó en junio. Un ingeniero de la plataforma buscaba en internet una popular herramienta de programación con inteligencia artificial y terminó instalando una versión manipulada a través de Homebrew, un gestor de paquetes muy usado por desarrolladores en macOS. Según una fuente citada por la agencia Reuters, la versión maliciosa aparecía por encima de la legítima en los resultados de búsqueda, en forma de anuncio pagado.
Los equipos de seguridad de Binance detectaron el problema, reemplazaron el equipo y cambiaron las credenciales. Pero para entonces los atacantes ya habían reunido información sobre ese ingeniero y sus colegas. Binance no identificó qué herramienta de IA era la que el empleado intentaba instalar.
Septiembre: dos rondas de entrevistas para un trabajo que no existía
En septiembre, otro ingeniero recibió un mensaje en una plataforma de búsqueda de empleo legítima. Quien escribía se presentaba como director de proyecto de una empresa ficticia. Después apareció una supuesta representante de recursos humanos que compartió cuentas de redes sociales para ganarse su confianza, y luego hubo una segunda entrevista por una aplicación de chat con alguien que decía ser el director ejecutivo de esa compañía.
Como parte del proceso, le pidieron descargar un ejercicio técnico: un repositorio de código. Dentro había malware que reemplazó un componente de pyenv, una herramienta legítima para gestionar versiones de Python, por una versión alterada. Binance reconoció que su software de protección de equipos no lo detectó al principio y que el código usaba técnicas sofisticadas de ofuscación y evasión.
El método no es nuevo. Los falsos procesos de selección dirigidos a desarrolladores y empleados de empresas cripto son una firma conocida de los grupos de hackers norcoreanos, que llevan años usando ofertas de trabajo como cebo en LinkedIn y otras plataformas.
Octubre: la IA interna como puerta de servicio
El 20 de octubre, los atacantes usaron la computadora comprometida y una herramienta de inteligencia artificial interna de Binance para tomar el control de los equipos de otros dos ingenieros, incluido el que había sido atacado en junio. En una de esas máquinas encontraron un token con permisos para desplegar contenedores, es decir, para poner en marcha software dentro de la infraestructura de la empresa.
Binance no explicó qué hace exactamente esa herramienta de IA ni cómo fue aprovechada, pero sí dijo que la reconstruyó desde cero tras el ataque. El detalle es relevante más allá de este caso: muchas empresas están conectando asistentes de IA con acceso a sus sistemas internos para agilizar el trabajo de sus equipos técnicos, y este robo muestra que ese acceso también puede convertirse en un atajo para un intruso.
Cuatro horas para vaciar diez blockchains
El 29 de octubre, los atacantes desplegaron un contenedor con un script que se comunicó con el servicio interno que firma las transacciones de la plataforma y empezó a ordenar transferencias no autorizadas. El primer movimiento fue enorme: más de 233 millones de unidades de XRP salieron de cinco billeteras en apenas cuatro minutos. Una alerta interna por transferencias de gran volumen activó la respuesta de la empresa, pero los envíos continuaron hasta casi la medianoche, por la red de Bitcoin, Ethereum, Solana, Tron y otras seis cadenas.
Binance asegura que las claves privadas de sus billeteras nunca fueron robadas: el atacante no las necesitó porque logró que el propio sistema de la empresa firmara las órdenes. Según su director ejecutivo, Richard Teng, el intruso además usó un mecanismo de autodestrucción que borró sus herramientas y rastros.
Una carrera contra los congelamientos
La reacción fue rápida. Emisores de monedas estables como Tether y Circle, además de Ripple, congelaron fondos vinculados al ataque, y en total cerca de 3.000 millones de dólares quedaron bloqueados. Los atacantes respondieron convirtiendo en unos 20 minutos 325 millones de dólares en monedas estables a ether, un activo que ninguna empresa puede congelar de forma centralizada. La firma de análisis Elliptic rastreaba a comienzos de noviembre unos 3.240 millones de dólares en direcciones vinculadas al robo, principalmente en ether y bitcoin.
Binance suspendió temporalmente depósitos y retiros y prometió cubrir todas las pérdidas con su fondo de seguro para usuarios y recursos propios. El 4 de noviembre informó que ya había repuesto el 98 % de los activos afectados.
La huella de Corea del Norte
El 31 de octubre, el FBI atribuyó el ataque a Corea del Norte y lo vinculó con TraderTraitor, el mismo grupo al que responsabilizó del robo a Bybit. El gobierno norcoreano negó cualquier participación y calificó la acusación de absurda. Binance, por su parte, asegura haber frenado este año 57 amenazas sospechosas de estar vinculadas con ese país.
Para Pyongyang, los robos de criptomonedas se han convertido en una fuente central de ingresos frente a las sanciones internacionales. Y el caso Binance deja una lección incómoda para toda la industria tecnológica: los sistemas más protegidos siguen dependiendo de personas que buscan herramientas en internet, que responden a reclutadores y que confían en asistentes automatizados con demasiados permisos.
