Binance ha atribuido el robo de 6.340 millones de dólares a hackers coreanos, un incidente que la empresa ha descrito como el mayor robo de criptomonedas hasta la fecha. Según un informe de seguridad publicado el martes, el ataque no fue un incidente aislado de phishing, sino el resultado de meses de trabajo coordinado por el grupo conocido como TraderTraitor, vinculado a la República Popular Democrática de Corea (RPDC). La compañía afirma que los atacantes explotaron vulnerabilidades internas y herramientas de inteligencia artificial para comprometer la red de la empresa en solo 20 minutos, robando fondos de más de 10 cadenas de bloques.
El proceso de intrusión comenzó en junio de 2026, cuando un ingeniero de Binance, identificado como 'Ingeniero A', descargó una instalación de Homebrew manipulada tras buscarla en línea. Aunque el equipo de seguridad de Binance detectó esta primera infección y reemplazó el dispositivo, el malware logró evadir las herramientas de protección de puntos finales. En septiembre, el ataque se expandió mediante un ingeniero nuevo, 'Ingeniero B', que fue engañado por un reclutador falso en una plataforma de búsqueda de empleo legítima. Este ingeniero fue contactado mediante llamadas y entrevistas virtuales donde se le mostraron cuentas de redes sociales y fotos personales para generar confianza. Finalmente, se le instó a descargar un 'tarea' que contenía un repositorio de código malicioso. El malware, que utilizaba técnicas de ofuscación sofisticadas, reemplazó un componente legítimo de una herramienta de desarrollo con una versión maliciosa para ejecutar comandos y establecer comunicación con un servidor externo controlado por los atacantes. Esta acción eliminó trazas del compromiso y ocultó la actividad maliciosa.
La fase final del ataque ocurrió el 29 de octubre. Los hackers utilizaron el acceso que habían ganado para controlar la billetera del Ingeniero A y de otro ingeniero, 'Ingeniero C'. El día del robo, los atacantes iniciaron sesión en la computadora de un tercer empleado y explotaron el acceso no autorizado a un servicio interno de firma de billeteras. Esto les permitió iniciar transacciones fuera del proceso de retiro normal, moviendo miles de millones de dólares a través de la red. Según Rafe Pilling, director sénior de inteligencia de amenazas en Sophos, el grupo TraderTraitor destaca por su planificación detallada y su capacidad para comprender cómo operan los servicios de sus víctimas. "El compromiso inicial es solo un pie en la tierra", explica Pilling, "el ataque real está cuidadosamente diseñado alrededor de cómo la víctima mueve el dinero".
Binance ha señalado que, aunque más de 6.000 millones de dólares fueron robados, casi la mitad de estos fondos fueron congelados por partes de la industria criptográfica, impidiendo que los hackers accedieran a ellos. Sin embargo, los fondos restantes siguen bajo el control de los hackers coreanos, quienes están intentando blanquear el dinero para que pueda ser retirado y convertido en efectivo. Este proceso de lavado de activos podría tomar meses. Según datos de TRM Labs, los hackers vinculados a Corea del Norte han robado aproximadamente 12.000 millones de dólares en criptomonedas desde 2017, con más de la mitad de esa cantidad robada este año. La empresa ha establecido fondos para cubrir las pérdidas y ha reconstruido o reemplazado los sistemas internos afectados.
El FBI vinculó rápidamente el ataque a TraderTraitor el 31 de octubre, confirmando la atribución a la RPDC. Binance ha admitido que su equipo de seguridad detectó y previno 57 casos sospechosos de amenazas cibernéticas vinculadas a Corea del Norte durante todo 2026. La complejidad del lavado de activos ha sido descrita por la empresa Elliptic como "altamente compleja" y probablemente automatizada. En sus primeros tres días y medio, los atacantes utilizaron aproximadamente 12.000 billeteras en 11 cadenas de bloques, realizando más de 40.000 transacciones. Si el dinero es blanqueado con éxito, existe la posibilidad de que se convierta en efectivo para fortalecer el programa de armas nucleares y los sistemas de misiles balísticos de Corea del Norte, según un informe del Multilateral Sanctions Monitoring Team. Este incidente subraya la creciente sofisticación de los ciberataques estatales y la necesidad de mejorar las defensas en la industria criptográfica global.