Binance atribuye el robo de USD 6.300 millones a una operación con ingeniería social y Corea del Norte

Cinco días después de sufrir el mayor hackeo de su historia, Binance divulgó su primer informe sobre las causas y los responsables del robo de USD 6.300 millones en criptomonedas. La plataforma aseguró que el incidente fue “un incidente de seguridad grave y altamente sofisticado”, resultado de varias etapas y de distintas técnicas combinadas, entre ellas la ingeniería social usada en fraudes digitales cotidianos. Según el documento, un primer intento fallido aportó información a los atacantes sobre la seguridad de la empresa y el golpe final incluyó la creación de una empresa falsa que engañó a un programador con una supuesta búsqueda laboral y que logró hacer que instale un archivo malicioso.

En cuanto a los autores del ataque, Binance señaló que “la información más reciente publicada por el Federal Bureau of Investigation (FBI) indica que la República Popular Democrática de Corea es responsable de este incidente”.

La compañía sostuvo que no se trató de una intrusión aislada ni de un simple caso de phishing: “No fue una única brecha aislada ni un simple incidente de phishing”. El informe describe una operación compleja, en varias fases, que combinó entrevistas de trabajo falsas, descargas de software malicioso, herramientas internas de IA comprometidas, compromiso de endpoints y un método avanzado de autorización de transacciones.

Binance reiteró que asumirá el costo financiero del robo y que ese impacto no recaerá sobre los usuarios. Al 31 de octubre de 2026, indicó que “el 98% de los activos en tokens afectados han sido repuestos y pueden verificarse en la página de Prueba de Reservas. Estamos en proceso de adquirir los activos restantes, que tienen menor liquidez”, dijo. Además, afirmó que USD 2.850 millones en activos digitales “han sido congelados o interceptados, sujeto a conciliación y a la volatilidad de los precios de mercado”.

La empresa añadió que la investigación sigue en curso, que sumará revisiones con investigadores independientes y que en el informe inicial omitió algunos detalles técnicos para evitar que otros ciberdelincuentes los utilicen para planificar ataques.

Cómo ocurrió el ataque

De acuerdo con Binance, el ataque empezó cuando un intruso obtuvo “un acceso no autorizado a un servicio interno de firma de wallets” y lo utilizó para iniciar movimientos por fuera del circuito habitual de retiros. Como resultado, hubo un primer traslado desde cinco hot wallets de Binance hacia direcciones controladas por los hackers.

La plataforma detectó una alerta por transferencias de gran volumen mientras los fondos salían desde las redes y abrió una investigación. En respuesta, activó “múltiples medidas de contención”, entre ellas la suspensión de retiros, la coordinación con socios para congelar tokens y acciones para revocar permisos indebidos. Según la compañía, esas gestiones permitieron bloquear USD 2.850 millones en activos.

Binance advirtió, sin embargo, que frenar los retiros no alcanzaba porque las autorizaciones maliciosas quedaron registradas en la cadena y operaban “de forma independiente de la infraestructura normal de retiros de Binance”. Para anularlas, tuvo que ejecutar transacciones adicionales y un procedimiento, debido a que su billetera funciona con computación multipartita, sin una única clave privada disponible.

Cronología: de la infiltración al robo

Según la reconstrucción de la empresa, en junio de este año el “Ingeniero A”, un empleado del equipo de billeteras al que no identifica, descargó un programa modificado después de buscar una herramienta de inteligencia artificial. El equipo de seguridad detectó el hecho, cambió su computadora y renovó sus accesos. Aun así, en ese momento el atacante obtuvo información sobre las funciones de ese ingeniero de Binance y de otros compañeros.

A lo largo de 2026, Binance dijo que ya había detectado y frenado 57 casos sospechosos relacionados con grupos vinculados a Corea del Norte. Entre las tácticas identificadas figuraron falsas ofertas de empleo, programas que aparentaban ser útiles y mensajes de videollamadas y otras maniobras de ingeniería social orientadas a obtener credenciales o instalar software malicioso.

En septiembre, de acuerdo con la compañía, un empleado identificado como “Ingeniero B” recibió una falsa propuesta laboral. Después de dos entrevistas, descargó en su computadora corporativa una supuesta prueba técnica que contenía código malicioso. Binance afirmó que ese programa sustituyó una herramienta legítima de desarrollo y permitió a los atacantes ejecutar comandos y comunicarse con un servidor bajo su control.

Los intrusos vulneraron el servicio interno de firma digital y retiraron fondos de cinco billeteras calientes.

El 20 de octubre, los responsables habrían utilizado una herramienta interna de inteligencia artificial desde ese equipo comprometido para llegar a otros trabajadores del área de wallets. Allí detectaron un token con permisos para desplegar contenedores, según la reconstrucción de la empresa.

Los atacantes usaron credenciales robadas para activar el script

Entre las 17:15 y las 19:56 UTC del 29 de octubre, los responsables ingresaron al equipo de un tercer ingeniero, usaron las credenciales del empleado de Wallet DevOps y desplegaron un contenedor con un script malicioso. Binance sostuvo que esa operación permitió el acceso al sistema de firma de las billeteras.

La empresa informó que reconstruyó los sistemas involucrados, reemplazó los dispositivos comprometidos y anuló las credenciales y tokens relacionados. También anunció una revisión de ciberseguridad independiente y nuevas inversiones en protección de endpoints, detección con inteligencia artificial y monitoreo de operaciones inusuales.