Binance, uno de los exchanges de criptomonedas más importantes del mundo, reportó los resultados iniciales de su investigación sobre el ciberataque del 29 de octubre de 2026. El incidente derivó en la sustracción de aproximadamente u$s6.340 millones en activos digitales.
Origen y desarrollo del ataque
Según la empresa, el punto de partida del acceso no autorizado se registró en junio de 2026. Un ingeniero del área de infraestructura de billeteras descargó por error una versión manipulada del gestor de paquetes Homebrew, obtenida a través de un anuncio engañoso. Binance indicó que su equipo de ciberseguridad identificó la anomalía y procedió a renovar las credenciales comprometidas. Sin embargo, los atacantes consiguieron información sobre roles y responsabilidades clave dentro de la organización.
La firma detalló que en septiembre, los ciberdelincuentes avanzaron con un esquema de ingeniería social. Contactaron a otro desarrollador mediante una plataforma de empleo real, fingiendo ser parte de una empresa ficticia. El proceso incluyó dos etapas de entrevista: una videollamada con una supuesta representante de Recursos Humanos y una conversación posterior con un falso CEO. Hacia el final del proceso, el supuesto empleador pidió al candidato instalar un archivo ejecutable bajo el pretexto de realizar una prueba técnica. Dicho archivo contenía un software malicioso que eludió los mecanismos de protección y comprometió el equipo de trabajo del empleado.
El 20 de octubre, los atacantes accedieron a una herramienta interna de inteligencia artificial utilizando la computadora ya infectada del segundo desarrollador. De esa manera, obtuvieron un token de permisos almacenado en el equipo del ingeniero previamente afectado. Este acceso permitió desplegar componentes maliciosos dentro de la infraestructura interna de Binance.
Despliegue y respuesta al incidente
El análisis inicial de Binance señala que el 29 de octubre, los ciberdelincuentes activaron un script malicioso que tomó el control del sistema interno de firma de billeteras. Durante un periodo de cuatro minutos, transfirieron fondos en Bitcoin, XRP, Solana y Optimism hacia carteras externas.
Para evadir la detección inmediata, los atacantes emplearon la función EIP-7702 de la red Ethereum. Esto les permitió delegar permisos a un contrato inteligente bajo su control, manteniendo la capacidad de extraer fondos aun cuando Binance desactivó sus canales convencionales de retiro.
En respuesta, la plataforma aplicó protocolos especiales de seguridad, reconstruyó los sistemas comprometidos y aumentó los controles mediante sistemas de inteligencia artificial. Binance remarcó que los usuarios no serán afectados, ya que la compañía aseguró haber repuesto casi la totalidad de los fondos sustraídos. Además, la empresa logró congelar o interceptar alrededor de u$s2.850 millones, según su informe.
Binance también precisó que en lo que va de 2026, ya neutralizó al menos 57 intentos adicionales de ataques atribuidos a grupos vinculados a Corea del Norte.
Atribución y situación actual
El Buró Federal de Investigaciones (FBI) y Binance responsabilizaron por el ataque a una organización de hackers supuestamente vinculada a Corea del Norte. La investigación continúa en curso, mientras autoridades estadounidenses colaboran con la plataforma para identificar a los responsables del mayor robo registrado en la historia reciente de los activos digitales.
También lee
