Binance ha revelado los detalles de un ciberataque de magnitud histórica que supuso la extracción de 6.300 millones de dólares (aproximadamente 5.650 millones de euros) de sus monederos, una operación que la empresa atribuye a un equipo de hackers que trabajó durante meses en la preparación del golpe. Según la información proporcionada por la plataforma de criptomonedas, el ataque no fue un incidente aislado, sino la culminación de una campaña de ingeniería social y explotación de vulnerabilidades que comenzó en junio de 2026. La investigación interna de Binance ha permitido reconstruir una cronología detallada que muestra cómo los perpetradores utilizaron técnicas sofisticadas, incluyendo entrevistas de trabajo falsas y malware de día cero, para comprometer el acceso a los sistemas críticos de la empresa.
El origen del incidente se remonta a junio, cuando un ingeniero del equipo de infraestructura de monederos descargó accidentalmente una instalación manipulada mientras buscaba una herramienta de programación de inteligencia artificial. Aunque el equipo de seguridad detectó la anomalía, sustituyó el dispositivo y rotó las credenciales, el atacante logró exponer el rol del ingeniero y el de sus compañeros. En septiembre, la operación escaló mediante un segundo ingeniero que fue contactado en una plataforma oficial de búsqueda de empleo por un supuesto director de proyecto. Este individuo organizó dos entrevistas: una por videoconferencia con un falso responsable de Recursos Humanos y otra por chat con un supuesto consejero delegado de una empresa ficticia. Durante la segunda entrevista, el ingeniero fue engañado para que descargara una "tarea" en su ordenador, un repositorio que ejecutaba código malicioso. Este malware sustituyó un componente legítimo de una herramienta de desarrollo por una versión maliciosa, permitiendo al atacante ejecutar comandos, borrar rastros y evadir las herramientas de protección de los equipos, que no detectaron esta variante de malware de día cero.
El 20 de octubre, el atacante utilizó el equipo comprometido y una herramienta interna de IA para tomar el control de las máquinas de dos ingenieros: uno de DevOps y otro de software. En ese momento, localizó un token con permisos de despliegue de contenedores. El día de los hechos, el 29 de octubre, entre las 17:15 y las 19:56 horas, el atacante accedió al ordenador del segundo ingeniero, empleó las credenciales robadas del primero y desplegó un contenedor para activar un script malicioso que ejecutó el ataque sobre las operaciones de firma de monederos. Binance ha confirmado que ha frenado 57 intentos de ciberataque presuntamente vinculados a Corea del Norte en lo que va de 2026, aunque la empresa ha indicado que mantendrá en reserva parte de las medidas adoptadas para no facilitar información a posibles atacantes.
El impacto financiero y operativo ha sido significativo. Binance ha reconstruido el sistema de monederos y la herramienta de IA afectados, ha sustituido los dispositivos, revocado credenciales y tokens, y ha reforzado el análisis de seguridad y los controles de riesgo. La compañía ha indicado que 2.850 millones de dólares de los 6.340 millones extraídos han sido congelados o interceptados, aunque el resto sigue siendo una preocupación para la industria. La empresa ha emitido un comunicado de disculpas, reconociendo que "esto no debería haber ocurrido" y lamentando la preocupación y la incertidumbre causadas a sus usuarios, socios e industria.
La atribución del ataque ha generado un intenso debate geopolítico. El FBI ha acusado a Corea del Norte de ser responsable del hackeo, citando a la agencia como evidencia de la implicación de Pyongyang. Sin embargo, la hermana de Kim Jong-un, Kim Yo-jong, ha respondido con una fuerte retórica de defensa nacional. Según reportes de The Guardian, Kim Yo-jong calificó las acusaciones de EE. UU. como "rhetórica absurda" y una "provocación política grave" contra la República Popular Democrática de Corea (RPDC). KCNA, la agencia de noticias estatal de Corea del Norte, atribuyó la acusación a la hostilidad de Washington hacia Pyongyang, argumentando que EE. UU. intenta "marcar a la RPDC como un estado ciberdelincuente" y que la afirmación de EE. UU. es "nada nuevo". Esta disputa refleja la tensión creciente entre las potencias en el ámbito cibernético, donde la distinción entre la ciberseguridad defensiva y la ofensiva ofensiva se ha vuelto cada vez más difusa.
En conclusión, el caso de Binance no solo representa una pérdida financiera masiva, sino también una revelación sobre las capacidades de ingeniería social de los actores estatales en la era de la inteligencia artificial. La combinación de malware de día cero y deepfakes en entrevistas de trabajo marca un nuevo paradigma en las amenazas cibernéticas. Mientras Binance continúa su investigación y refuerza sus defensas, la comunidad global observa con atención cómo se desarrollará la relación entre EE. UU. y Corea del Norte en este contexto, dado que la acusación de ciberataque podría tener implicaciones diplomáticas y de seguridad más amplias de lo que se anticipa inicialmente.