Binance dice que el robo de US$6.340 millones empezó con una falsa entrevista laboral

Binance, la plataforma de intercambio de criptomonedas, publicó el martes 3 de noviembre en su cuenta de X un primer informe sobre el robo de unos US$6.340 millones que sufrió el 29 de octubre, el mayor registrado en el mundo cripto. Según el documento, que la empresa presenta como preliminar porque la investigación sigue abierta, la puerta de entrada fue una oferta de trabajo falsa a uno de sus ingenieros, que terminó descargando en su computadora laboral una supuesta prueba de programación con software malicioso. El FBI atribuyó el ataque el 31 de octubre a TraderTraitor, una unidad de hackers norcoreanos asociada al grupo Lazarus. Corea del Norte rechazó la acusación.

La compañía sostiene que no se trató de una falla única sino de una campaña planificada en varias fases, que comenzó en junio y culminó con la salida de fondos de sus hot wallets, las billeteras conectadas a internet que usa para operar. "No fue una brecha aislada ni un simple incidente de phishing", afirmó Binance en el informe, según la traducción de la agencia EFE.

Cómo empezó, según Binance

De acuerdo con el informe, citado por WIRED, SecurityWeek, Help Net Security y The Verge, el primer movimiento de los atacantes ocurrió en junio. Un ingeniero del equipo que administra la infraestructura de billeteras, identificado en el documento como "Ingeniero A", buscaba una herramienta de inteligencia artificial para programar y bajó una versión adulterada de Homebrew, un gestor de paquetes para computadoras Mac. The Verge informó que el instalador le llegó a través de un anuncio malicioso en Google. El área de seguridad detectó el problema, le cambió el equipo y le renovó las credenciales, pero para entonces los atacantes ya sabían cuál era su función y quiénes eran sus compañeros.

Algunas notas, como las de EFE y Perfil, ubican el inicio del ataque en septiembre. El informe de Binance, según los medios técnicos que lo analizaron, describe ese episodio de junio como el primer paso, aunque la entrevista de septiembre fue el acceso decisivo.

En septiembre, otro ingeniero de software ("Ingeniero B") fue contactado en una plataforma legítima de búsqueda de empleo por alguien que se presentó como director de proyectos. Según SecurityWeek, pasó por dos entrevistas: la primera, por videollamada, con una supuesta responsable de recursos humanos que le mostró perfiles en redes sociales con fotos personales para ganar su confianza; la segunda, por chat, con el presunto director ejecutivo de una empresa que no existía. Al final del proceso le pidieron que descargara en su computadora de trabajo una tarea de programación que escondía un repositorio malicioso.

Ese código reemplazó un componente legítimo de la herramienta pyenv por otro alterado y se conectó con un servidor de los atacantes. Binance lo calificó como un malware de "día cero", es decir, desconocido hasta entonces. "El malware de día cero no fue detectado por las herramientas de protección de endpoints en ese momento", indicó la empresa, según SecurityWeek, The Verge y Help Net Security.

De la computadora infectada a las billeteras

Con esa máquina comprometida y una herramienta interna de IA de la propia Binance, los atacantes tomaron el 20 de octubre el control de las computadoras del Ingeniero A y de un tercer ingeniero del área de billeteras ("Ingeniero C"), según SecurityWeek, Help Net Security y The Verge. El informe no explica de qué manera se usó la herramienta de IA, algo que The Verge y SecurityWeek señalaron en sus coberturas.

El 29 de octubre, con credenciales robadas al Ingeniero A, que tenía un permiso para desplegar contenedores, entraron a la computadora del Ingeniero C, ejecutaron un script y accedieron al servicio interno que firma las operaciones de las billeteras. Desde ahí movieron fondos por fuera del circuito habitual de retiros. Además, abusaron de EIP-7702, un mecanismo de la red Ethereum, para darle a un contrato propio permisos parciales de ejecución sobre una de las billeteras.

Según EFE, SecurityWeek, The Verge y Help Net Security, frenar los retiros no alcanzó para cortar la salida de fondos: esas autorizaciones quedaron registradas directamente en la cadena de bloques, fuera de la infraestructura habitual de la empresa, y la billetera funcionaba con un esquema de firma compartida (MPC) sin una clave única que permitiera revocarlas de inmediato. SecurityWeek ubicó la última transferencia no autorizada a las 23:56 (hora UTC) del 29 de octubre.

La duración del robo no está cerrada: WIRED y DW lo describieron como una operación de unos 20 minutos, mientras que The Verge informó que hubo movimientos hasta casi dos horas después de las primeras transferencias.

Cronología del ataque

Qué se llevaron

Según EFE, Clarín y Perfil, los activos sustraídos incluyeron bitcoin (BTC), XRP, Solana (SOL) y activos de la red Ethereum. SecurityWeek detalló XRP, SOL, OP y BTC, además del abuso del mecanismo de Ethereum. El desglose por moneda no fue informado.

La firma de análisis Elliptic, citada por WIRED y SecurityWeek, rastreó un circuito de lavado automatizado: unas 12.000 billeteras en 11 cadenas de bloques y más de 40.000 transacciones en tres días y medio. SecurityWeek informó, con datos de Elliptic, que al 3 de noviembre quedaban unos US$3.180 millones en direcciones vinculadas al robo.

Qué pasa con los fondos de los usuarios

Binance asegura que los clientes no absorben la pérdida. Richard Teng, co-CEO de la empresa, escribió en X: "En este momento, el 98% de los tokens afectados fue repuesto; estamos completando el 2% restante. Los retiros se reanudaron en general", según la traducción de The Verge. La compañía indicó que reservó más del 100% de lo necesario para cubrir el faltante.

La cifra de fondos frenados varía según la fuente y el momento: Binance habla de US$2.850 millones congelados o interceptados, Help Net Security mencionó que Tether, Circle y otros socios bloquearon cerca de US$3.000 millones el primer día y WIRED se refirió a "casi la mitad" del total. Esta nota toma la cifra informada por la empresa.

Teng también anunció una prueba de reservas con tecnología de conocimiento cero sobre la situación al 31 de octubre, que muestra un respaldo de al menos uno a uno para los diez tokens principales, según SecurityWeek y Help Net Security.

La atribución a Corea del Norte

El FBI señaló el 31 de octubre a TraderTraitor, el mismo grupo al que se le atribuyó el robo a Bybit. La BBC indicó que también se lo conoce como Lazarus Group; otras fuentes lo describen como una unidad dentro de ese ecosistema. Binance se remitió a la atribución del FBI sin acusar directamente al grupo, y señaló: "A lo largo de 2026, el equipo de seguridad de Binance detectó y previno 57 casos de ciberamenazas presuntamente vinculadas a Corea del Norte", según Clarín. La BBC informó que el FBI y el Servicio Secreto de Estados Unidos colaboran en el rastreo de los fondos.

Corea del Norte negó cualquier participación. La dirigente Kim Yo Jong calificó la acusación como una "grave provocación política", según SecurityWeek, Clarín y Perfil, mientras que EFE recogió que Pyongyang la consideró "absurda".

Las falsas ofertas de empleo son un método documentado de los hackers asociados a Lazarus, conocido como "Operation Dream Job" y descripto por empresas de seguridad como ESET y Check Point, según Help Net Security. The Verge recordó que el robo a la red Ronin, vinculada al juego Axie Infinity, también partió de una oferta laboral falsa en LinkedIn.

La comparación con Bybit

Hasta ahora, el mayor robo cripto registrado era el que sufrió la plataforma Bybit en febrero de 2025, por unos US$1.500 millones, también atribuido a Corea del Norte. El caso de Binance multiplica esa cifra por más de cuatro.

WIRED citó datos de TRM Labs según los cuales los hackers norcoreanos robaron unos US$12.000 millones en criptomonedas desde 2017, más de la mitad durante este año. Un panel multilateral de sanciones, también citado por WIRED, advirtió que esos fondos pueden financiar los programas nuclear y de misiles del país.

Las voces

En el informe, Binance pidió disculpas: "Esto no debería haber ocurrido y pedimos disculpas por la preocupación, las interrupciones y la incertidumbre causadas", según la traducción de EFE. Teng agregó que "aunque Binance está en el centro de esta historia, este es un problema de toda la industria", de acuerdo con Help Net Security.

Changpeng Zhao, cofundador de la empresa, escribió en X que "algunos detalles son vergonzosos" y que "un hackeo de esta escala significa que hubo fallas de seguridad graves. Ninguna plataforma es inhackeable, pero eso no puede ser una excusa", según Help Net Security.

Rafe Pilling, investigador de Sophos, explicó a WIRED: "La intrusión inicial es solo un punto de partida. El ataque real se diseña meticulosamente en función de cómo la víctima gestiona su dinero". El analista de vulnerabilidades Will Dormann cuestionó la terminología del informe en Mastodon: "No existe tal cosa como un 'malware 0-day'", según Help Net Security.

Como medidas, Binance informó que reconstruyó o reemplazó los sistemas y la herramienta de IA involucrados, cambió los equipos afectados, dio de baja credenciales y tokens de acceso, encargó una revisión independiente, sumará inversión en detección con IA, creará un fondo de investigación en seguridad de IA aplicada a blockchain y escaneará todos los dispositivos de sus empleados.

Lo que falta saber

• De qué forma los atacantes usaron la herramienta interna de IA para tomar las otras computadoras.
• Cuánto se robó de cada criptomoneda.
• Cuánto se recuperará en forma definitiva y cuánto ya fue lavado.
• Cuánto duró exactamente la salida de fondos.
• Si Binance contaba con un seguro para este tipo de incidentes.
• Qué concluirán el informe final y la revisión independiente.

Versiones que no coinciden

• Inicio del ataque: EFE y Perfil lo ubican en septiembre con la entrevista; WIRED, SecurityWeek, Help Net Security y The Verge, en junio con Homebrew. Se usó la versión del informe según las fuentes técnicas.
• Fondos congelados: US$2.850 millones (Binance, EFE, Clarín, Perfil, SecurityWeek, The Verge), cerca de US$3.000 millones el primer día (Help Net Security) y 'casi la mitad' (WIRED). Se usó la cifra de Binance.
• Duración del robo: '20 minutos' (WIRED, DW) contra movimientos hasta casi dos horas después (The Verge). No se toma como dato cerrado.
• Monto: US$6.340 millones contra US$6.300 millones en BBC, CNBC y algunos titulares, por redondeo.
• Fondos aún en manos de los atacantes: US$3.180 millones (Elliptic, 3/11) contra US$3.330 millones (título de FinanceFeeds del 31/10); la resta 6.340 - 2.850 da 3.490 millones. Son cifras de momentos y fuentes distintos.
• Cantidad de blockchains usadas para el lavado: 'más de 10' (WIRED) contra 11 (Elliptic).
• Toma de los equipos A y C: 20/10 (SecurityWeek, Help Net Security, The Verge) contra 'a fines de octubre' (WIRED); son compatibles.
• Denominación del grupo: el FBI habla de TraderTraitor; la BBC dice que también se lo conoce como Lazarus Group y otras fuentes lo tratan como subgrupo.
• Respuesta norcoreana: EFE la recoge como 'absurda'; BBC y SecurityWeek la atribuyen a Kim Yo Jong ('grave provocación política').