Una entrevista de trabajo falsa, meses de preparación y el rol de Corea del Norte: Binance reveló cómo fue hackeada

Cinco días después de sufrir uno de los mayores robos de activos digitales de la historia, Binance difundió los resultados preliminares de su investigación y reconstruyó cómo se produjo el ataque que terminó con la sustracción de aproximadamente USD 6.340 millones. El informe reveló una operación planificada durante varios meses, en la que los responsables combinaron distintas técnicas de intrusión, engaño y manipulación de los sistemas internos de la compañía.

HACÉ CLICK AQUÍ PARA UNIRTE AL CANAL DE WHATSAPP DE DIARIO PANORAMA Y ESTAR SIEMPRE INFORMADO

La plataforma describió el episodio como "un incidente de seguridad grave y altamente sofisticado". Según explicó, no se trató de una única vulnerabilidad ni de un simple caso de phishing, sino de una operación que incluyó entrevistas laborales falsas, descargas de software malicioso, herramientas internas de inteligencia artificial comprometidas y accesos no autorizados a los dispositivos de varios empleados.

En cuanto a los responsables, Binance señaló que la información más reciente publicada por el Federal Bureau of Investigation (FBI) atribuyó el ataque a Corea del Norte. El organismo estadounidense identificó la operación bajo el nombre de TraderTraitor, una denominación utilizada para actividades cibernéticas vinculadas con ese país.

Cómo ocurrió el ataque

De acuerdo con la investigación preliminar, los atacantes consiguieron acceder sin autorización a un servicio interno utilizado para firmar transacciones de las billeteras digitales. Desde allí lograron intervenir el mecanismo de autorización de movimientos de fondos y realizar transferencias hacia direcciones controladas por los ciberdelincuentes.

El ataque afectó a cinco billeteras calientes (hot wallets), es decir, aquellas que permanecen conectadas a internet para facilitar las operaciones de la plataforma. Cuando Binance detectó transferencias de gran volumen, activó una investigación y puso en marcha medidas de contención, entre ellas la suspensión de los retiros, la coordinación con otras empresas para congelar activos y la revocación de permisos comprometidos.

Sin embargo, la compañía advirtió que detener los retiros habituales no era suficiente para frenar las operaciones maliciosas. Las autorizaciones de las transferencias habían quedado registradas en la cadena de bloques y funcionaban de manera independiente de la infraestructura normal de retiros. Por ese motivo, tuvo que ejecutar transacciones adicionales y aplicar un procedimiento especial para revocar los permisos utilizados por los atacantes.

Las gestiones permitieron congelar o interceptar activos digitales por aproximadamente USD 2.850 millones, una cifra que todavía está sujeta a conciliaciones y variaciones en los precios del mercado.

Una cronología que comenzó en junio

La investigación estableció que la operación tuvo sus primeros movimientos en junio de 2026, cuando el denominado "Ingeniero A", integrante del equipo de desarrollo y operaciones de billeteras, descargó un instalador modificado de una herramienta de programación con inteligencia artificial que había encontrado en internet.

El equipo de seguridad de Binance detectó una actividad sospechosa, reemplazó la computadora del empleado y renovó sus credenciales. Sin embargo, los atacantes ya habían obtenido información sobre las funciones que desempeñaba el trabajador y sobre otros integrantes del equipo encargado de la infraestructura de las billeteras.

La compañía también informó que, desde el comienzo de 2026, había detectado y frenado 57 intentos sospechosos de ataques informáticos vinculados con grupos de Corea del Norte. Entre las modalidades identificadas figuraban falsas ofertas laborales, programas que simulaban ser herramientas de desarrollo y mensajes diseñados para obtener credenciales de acceso.

En septiembre aparecieron nuevas maniobras de ingeniería social. Un supuesto director de proyectos contactó al "Ingeniero B" a través de una plataforma de búsqueda laboral. El perfil del empleado mencionaba que trabajaba en Binance, un dato que habría sido aprovechado para convertirlo en objetivo de la operación.

El contacto organizó una primera entrevista por videollamada con una persona que se presentó como integrante del área de Recursos Humanos. Para generar confianza, el falso reclutador incluso compartió sus redes sociales, donde exhibía fotografías y videos personales. Luego se realizó una segunda entrevista con alguien que decía ser el director ejecutivo de una empresa ficticia.

Hacia el final de ese encuentro, el empleado recibió una supuesta prueba técnica que debía descargar en su computadora laboral. El archivo contenía código malicioso que se ejecutó durante la instalación y permitió a los atacantes establecer una comunicación con un servidor externo bajo su control.

El programa utilizaba técnicas de ocultamiento para evitar ser detectado por los sistemas de seguridad. Incluso reemplazaba componentes de herramientas legítimas de desarrollo por versiones manipuladas, lo que dificultó la identificación de la actividad sospechosa.

El 20 de octubre, los atacantes aprovecharon la computadora comprometida del Ingeniero B y una herramienta interna de inteligencia artificial para acceder a los dispositivos del Ingeniero A y del Ingeniero C. De esa manera, consiguieron información sobre los permisos y las credenciales que permitían operar dentro de la infraestructura de las billeteras.

La etapa final se concretó entre el 29 y el 30 de octubre, según el huso horario utilizado. Los responsables ingresaron al equipo del Ingeniero C, utilizaron credenciales obtenidas previamente y ejecutaron un programa malicioso que permitió intervenir el sistema de autorización de transacciones. Así consiguieron poner en marcha las transferencias millonarias desde las billeteras de la plataforma.

Binance aseguró que los usuarios no asumirán las pérdidas

Tras detectar el robo, la compañía activó un operativo para contener sus consecuencias y recuperar los activos. En su informe, aseguró que absorberá el impacto financiero del incidente y que los usuarios no deberán hacerse cargo de las pérdidas.

Según los datos difundidos por la empresa, al 31 de octubre ya había repuesto el 98% de los activos afectados. El porcentaje restante correspondía a monedas digitales con menor liquidez, cuya adquisición todavía estaba en proceso. Los usuarios pueden verificar la situación a través de la página de Prueba de Reservas de la plataforma.

Además, Binance informó que había reconstruido los sistemas de billeteras comprometidos, reemplazado los dispositivos afectados, desactivado las credenciales de los empleados involucrados y reforzado los controles de acceso. También amplió sus herramientas de detección de comportamientos anómalos mediante inteligencia artificial.

La investigación continúa y será sometida a nuevas revisiones por parte de especialistas independientes en ciberseguridad. La empresa también anunció que profundizará su colaboración con organismos gubernamentales, firmas de análisis de cadenas de bloques y otras compañías del sector para rastrear y bloquear los fondos sustraídos.

En el cierre de su informe, Binance advirtió que algunos detalles técnicos de las medidas de seguridad implementadas permanecerán confidenciales para evitar que otros grupos de ciberdelincuentes puedan utilizarlos para planificar nuevos ataques.