Binance ha explicado cómo un grupo de atacantes vinculado a Corea del Norte logró robar unos 6.340 millones de dólares en criptomonedas el 29 de octubre de 2026. La operación arrancó meses antes con una falsa oferta de empleo y terminó explotando un mecanismo de autorización de Ethereum para vaciar una de sus wallets calientes sin que el exchange pudiera revocar el acceso de inmediato.
El FBI atribuye el asalto al clúster TraderTraitor, vinculado a Corea del Norte, según un informe técnico sobre el incidente. De los fondos sustraídos, Binance ha logrado congelar o interceptar unos 2.850 millones de dólares, pendientes de conciliación y sujetos a la volatilidad del mercado. El exchange ha asumido el impacto económico de forma íntegra y asegura que el 31 de octubre ya había repuesto el 98% de los tokens afectados. Te contamos, paso a paso, cómo entraron hasta el corazón de su infraestructura.
¿Cómo colaron una oferta de empleo falsa entre los ingenieros de Binance?
Todo arrancó en junio, meses antes del golpe final. Un ingeniero del equipo de Wallet DevOps descargó un instalador de Homebrew manipulado mientras intentaba instalar una herramienta de programación con inteligencia artificial. Binance sustituyó el equipo y rotó las credenciales en cuanto detectó el problema, pero sus investigadores creen que ese primer contacto ya había dejado expuestos al ingeniero y a varios compañeros de su entorno.
El segundo golpe llegó en septiembre a través de una plataforma de reclutamiento legítima. Un supuesto director de proyecto contactó con otro ingeniero y organizó entrevistas con una falsa representante de recursos humanos y un falso consejero delegado. El primer entrevistador usó videollamada y un perfil social con fotografías personales para resultar creíble. En la segunda entrevista, el ingeniero descargó un repositorio con una prueba técnica en su equipo de trabajo: el código sustituyó el componente legítimo pyenv por un ejecutable alterado, creó un enlace simbólico que apuntaba al archivo malicioso y lanzó una shell zsh.
¿Qué pasó el 29 de octubre y cómo sigue el rastro del dinero robado?
El 20 de octubre, los atacantes dieron el salto definitivo: desde el equipo ya comprometido, y apoyándose en una herramienta interna de inteligencia artificial, llegaron a los ordenadores de otros dos ingenieros. En uno de ellos encontraron un token de permisos para desplegar contenedores, la llave que les faltaba para alcanzar la infraestructura privilegiada del exchange.
El golpe se ejecutó el 29 de octubre, entre las 17:15 y las 19:56 UTC. Los intrusos accedieron al ordenador de otro ingeniero, usaron las credenciales robadas, desplegaron un contenedor y lanzaron el script malicioso que desencadenó las transferencias no autorizadas. Entre los activos movidos figuran 233,46 millones de XRP, unos 970.500 SOL, 44,2 millones de OP y 18.270 BTC.
Puedes ver el mensaje que ha publicado Binance en su perfil en la red social X (@binance):
