Binance reconoció que el hackeo de 6340 millones de dólares fue por una entrevista falsa
:quality(75):max_bytes(102400)/https://assets.iprofesional.com/author/66195f0c185a3.png)
:quality(75):max_bytes(102400)/https://assets.iprofesional.com/assets/jpg/2026/11/629030.jpg)
La plataforma de criptomonedas Binance sufrió el mayor robo informático de la historia digital por una suma de 6340 millones de dólares. El incidente ocurrió el 29 de octubre de 2026 tras una operación de ingeniería social que combinó un proceso de selección falso con la instalación de malware en la computadora corporativa de un desarrollador. Los atacantes tomaron el control de las credenciales internas, manipularon herramientas de inteligencia artificial y vaciaron billeteras calientes en diez redes blockchain.
¿Cómo se inició el ataque contra el personal técnico de Binance?
El ciberataque comenzó en septiembre de 2026, cuando una célula de piratas informáticos desplegó un proceso de selección falso para captar a un desarrollador de la compañía. La maniobra formó parte de una campaña de ingeniería social de largo alcance planeada con meses de anticipación.
Los atacantes contaban con información previa del personal técnico. En junio de 2026, los sistemas de seguridad de la empresa detectaron una descarga anómala del gestor Homebrew en la computadora del denominado Ingeniero A. Aunque aislaron ese equipo y rotaron credenciales, los ciberdelincuentes lograron mapear la estructura jerárquica del equipo de billeteras.
Con esa cartografía interna, contactaron al Ingeniero B mediante una plataforma profesional de empleo. Crearon la identidad ficticia de un director de proyecto y coordinaron una primera entrevista por videollamada con una supuesta representante de recursos humanos.
Durante esa charla, la entrevistadora compartió una cuenta de red social repleta de fotografías y videos personales para generar confianza en la víctima. Tras esa instancia, pactaron una segunda reunión por medio de una aplicación de mensajería con quien dijo ser el CEO de la empresa ficticia. Al finalizar la conversación, le indicaron al empleado la descarga de un supuesto ejercicio técnico.
El nivel de elaboración del engaño sorprendió a los peritos forenses. Los atacantes dedicaron semanas a construir perfiles falsos verosímiles en redes profesionales. Mantuvieron conversaciones técnicas fluidas y respondieron dudas avanzadas de arquitectura de software para evitar cualquier sospecha durante las instancias de evaluación.
¿Cuál fue el vector de entrada del malware en las computadoras corporativas?
El vector de entrada principal fue un paquete de código entregado en la prueba técnica que ocultaba un malware zero day diseñado de forma específica para sistemas macOS. La carga útil eludió por completo los sistemas de protección del punto final instalados en la computadora de trabajo.
Una vez que el desarrollador ejecutó la tarea, el software malicioso llevó a cabo una maniobra de suplantación de binarios dentro del directorio de Homebrew. El código apuntó de forma directa a la herramienta de gestión de entornos virtuales de Python (pyenv).
El programa malicioso creó un ejecutable alternativo de 3.414 bytes en el directorio de pyenv y eliminó la versión legítima de 3.344 bytes. Luego renombró el archivo para tomar el nombre exacto del componente original.
El ataque completó la secuencia al reestructurar los enlaces simbólicos y generar de forma silenciosa una consola zsh. Ese proceso abrió un canal de comando y control hacia un servidor externo operado por los ciberdelincuentes. Cada uso cotidiano de la terminal ejecutó el código de los atacantes sin generar alertas durante semanas.
Según la evaluación técnica de seguridad publicada por Binance el 3 de noviembre de 2026, la vulnerabilidad expuso los riesgos operativos en los equipos de los desarrolladores. iProfesional analizó el problema de la seguridad en dispositivos de trabajo y las fallas habituales en la custodia de criptoactivos.
¿Cómo se expandió la brecha internamente hasta el sistema de firmas?
La intrusión se propagó de forma lateral por la manipulación de una herramienta interna de inteligencia artificial para saltar las barreras de red y obtener credenciales de alto nivel. Las estaciones de trabajo de los desarrolladores no poseían acceso directo a los módulos de firmado criptográfico de las billeteras.
Para superar ese aislamiento, los piratas informáticos utilizaron la plataforma interna de IA corporativa como un trampolín operacional el 20 de octubre de 2026. Esa herramienta permitía consultar documentación y automatizar tareas técnicas dentro de la infraestructura. Binance ya había integrado previamente soluciones de nube para potenciar sus sistemas internos.
A través de la consola comprometida del Ingeniero B, la célula hostil manipuló los contextos de la herramienta de IA y tomó el control de los accesos del Ingeniero A y del Ingeniero C. En esa incursión descubrieron que el equipo del Ingeniero A alojaba un token con permisos para el despliegue de contenedores de producción.
La incorporación progresiva de modelos de inteligencia artificial en las plataformas financieras requiere resguardos de seguridad cada vez más estrictos. iProfesional informó acerca de los avances de la plataforma en el desarrollo de asistentes y modelos automatizados.
El 29 de octubre se desató la fase crítica de la operación. Entre las 17:15 y las 19:56 UTC, los atacantes tomaron la sesión del equipo del Ingeniero C y utilizaron las credenciales sustraídas al Ingeniero A para instanciar un contenedor en la nube. Desde ese microservicio ejecutaron un script que les dio acceso no autorizado al servicio de firmado de las billeteras calientes.
¿Cuándo y qué activos digitales sustrajeron los atacantes?
Según el informe técnico publicado por Binance el 3 de noviembre de 2026, el drenaje masivo comenzó el 29 de octubre a las 20:05 UTC y afectó un valor total de 6340 millones de dólares en diez redes blockchain distintas. La primera oleada se completó en cuestión de veinte minutos.
Entre las 20:05 y las 20:09 UTC, el servicio de firmado alterado emitió órdenes de retiro desde cinco billeteras calientes en XRP Ledger por 233,46 millones de tokens XRP. De forma simultánea, desviaron aproximadamente 970.500 SOL en Solana y 44,2 millones de tokens OP en Optimism.
Minutos más tarde, los atacantes vaciaron 18.270 BTC de la billetera caliente principal de Bitcoin. En la red Ethereum aplicaron una técnica de alta complejidad al explotar el estándar EIP-7702. Esta especificación permite a una cuenta ordinaria delegar sus facultades de ejecución a un contrato inteligente.
Los cibercriminales forzaron la emisión de 50 transacciones de firma para manipular el número de secuencia de la billetera Binance 14 y delegar el control a un contrato malicioso. A las 20:24 UTC, ese contrato ejecutó una única orden que extrajo 167.464 ETH y otros 63 tokens asociados.
La velocidad de ejecución tomó por sorpresa a las defensas automáticas de la plataforma. El procesamiento simultáneo en múltiples redes impidió que las alarmas convencionales frenaran el flujo de fondos antes de la salida total de los activos comprometidos.
¿Qué medidas inmediatas tomó la plataforma para contener el drenaje?
Binance suspendió las operaciones de retiro en múltiples redes de forma inmediata para restringir las salidas de fondos. Sin embargo, la interrupción de los servicios internos no bastó para detener los movimientos en la red Ethereum.
La delegación bajo el estándar EIP-7702 quedó inscrita en la cadena de bloques y operó de manera independiente a los servidores de la empresa. Para revocar esa autorización, el equipo de ingeniería debió emitir una nueva transacción dirigida a la dirección cero.
La tarea presentó dificultades técnicas porque las billeteras utilizaban la tecnología de computación multipartita, sin una clave privada única para la cancelación inmediata. A las 00:10 UTC del 30 de octubre de 2026, los técnicos lograron validar la transacción y cancelaron el control del contrato hostil.
De acuerdo con el reporte forense presentado por la consultora Chainalysis, la acción coordinada con emisores congeló 1567 millones de USDT y 800 millones de USDC, lo que permitió inmovilizar 2850 millones de dólares. La dirección de la empresa asumió la cobertura total de las pérdidas con sus reservas e inyectó nuevamente el 98% de los tokens afectados en sus balances comprobables.
¿Qué cambios de seguridad anunció Binance para reforzar la infraestructura?
La conducción de la plataforma formalizó la puesta en marcha de un plan integral para reconstruir los entornos informáticos comprometidos. El proceso incluyó la edificación desde cero del servicio de firmado y de las herramientas de inteligencia artificial en redes aisladas.
La empresa retiró la totalidad de las computadoras corporativas del personal técnico de la división de billeteras. A su vez, revocó todas las credenciales previas a la intrusión y eliminó de forma definitiva los tokens de despliegue de contenedores.
En materia de arquitectura, implementaron controles estrictos de microsegmentación bajo el principio de Zero Trust. Esta medida bloqueó cualquier canal directo de comunicación entre las estaciones de los desarrolladores y los contenedores de producción.
También incorporaron motores de análisis conductual basados en inteligencia artificial para auditar solicitudes de firma criptográfica en tiempo real. Finalmente, la plataforma contrató a empresas independientes de ciberseguridad para realizar revisiones integrales y anunció la creación de un fondo destinado a la investigación de seguridad en inteligencia artificial.
¿A quién atribuyó el FBI la autoría de esta operación ciberdelictiva?
El Buró Federal de Investigaciones de los Estados Unidos atribuyó de manera oficial el ciberataque al grupo de piratas informáticos conocido como TraderTraitor, patrocinado por el gobierno de Corea del Norte. Esta conclusión contó con el apoyo de empresas de inteligencia blockchain como Chainalysis y TRM Labs.
TraderTraitor agrupa a células como Lazarus Group, APT38 y BlueNoroff. El colectivo destaca por el uso recurrente de campañas de ingeniería social focalizadas en profesionales de software a través de plataformas de empleo.
En el aspecto técnico en la cadena, las investigaciones revelaron el empleo de métodos avanzados como Blockchain Dead Drops. Los atacantes colocaron punteros en las redes TRON y Aptos para redirigir las máquinas infectadas hacia instrucciones alojadas en Binance Smart Chain.
El gobierno norcoreano rechazó las acusaciones a través de Kim Yo-jong, funcionaria del partido gobernante y hermana del líder Kim Jong-un. La dirigente calificó la denuncia de Washington como una retórica absurda. Por su parte, la empresa confirmó que durante 2026 detectó y neutralizó 57 intentos de ciberataques procedentes de ese país asiático.
La industria venía sufriendo ataques de magnitud considerable contra grandes operadores del sector. Un antecedente inmediato ocurrió pocas semanas antes del golpe a Binance y encendió las alertas en el mercado cripto global.
Las investigaciones de inteligencia revelaron que durante los 18 meses previos al caso de Binance se registraron más de 14,3 millones de dólares en pérdidas mediante esquemas de falsas entrevistas a menor escala. Esos episodios le permitieron a la célula criminal perfeccionar sus métodos antes de lanzar la incursión sobre la infraestructura mayor. El caso dejó en evidencia que los dispositivos personales de los programadores exigen el mismo nivel de resguardo que los servidores de producción.
