Binance explicó cómo le robaron US$ 6.340 millones: una entrevista de trabajo falsa, un instalador adulterado y una herramienta interna de IA

Binance, la mayor plataforma de compraventa de criptomonedas del mundo, publicó este martes su primer informe sobre el ataque que sufrió el 29 de octubre y describió cómo se preparó. Según la empresa, empezó en junio con un instalador adulterado que descargó un ingeniero, siguió en septiembre con una entrevista de trabajo falsa en la que otro ingeniero ejecutó un programa malicioso y se completó el 20 de octubre, cuando el atacante usó una herramienta interna de inteligencia artificial para tomar el control de las computadoras de dos ingenieros más^[1]. La empresa estima que el ataque afectó activos digitales por unos US$ 6.340 millones. De ese total, unos US$ 2.850 millones fueron congelados o interceptados, y Binance dice que ya repuso con fondos propios el 98% de los tokens afectados^[1].

El informe, titulado «29 October Binance Security Incident: Initial Findings and Response Update», se difundió a las 11.33 de la Argentina en la cuenta oficial de la empresa en X^[1]. Tres minutos después, el codirector ejecutivo Richard Teng escribió que Binance «fue blanco de uno de los ataques más sofisticados que haya visto la industria de los activos digitales», que la empresa asume toda la responsabilidad y que ningún usuario cargará con las pérdidas^[2] (traducción propia). Según el informe, la última información del FBI indica que el responsable es Corea del Norte^[1]. Si la cifra se confirma, el robo cuadruplica el de la plataforma Bybit de febrero de 2025, de unos US$ 1.500 millones, que el FBI atribuyó entonces al grupo norcoreano TraderTraitor^[10].

Cómo se preparó

El primer paso fue en junio. Un ingeniero del equipo que opera las billeteras de la empresa, al que el informe llama «ingeniero A», buscó en internet una herramienta de programación con IA muy usada y, para instalarla, descargó una versión adulterada de Homebrew, un programa que sirve para instalar aplicaciones en computadoras Mac^[1]. El área de seguridad detectó la anomalía, reemplazó el equipo y cambió todas sus credenciales. Aun así, según el propio informe, el puesto del ingeniero A y los de sus colegas de la infraestructura de billeteras quedaron expuestos ante el atacante^[1].

En septiembre, alguien que se presentó como director de proyectos contactó por una plataforma legítima de búsqueda de empleo al «ingeniero B», cuyo perfil mencionaba su experiencia en Binance. La primera entrevista fue por videollamada con una supuesta responsable de recursos humanos, que para ganarse su confianza le mostró una cuenta en redes sociales con fotos y videos personales. La segunda fue por una aplicación de chat con quien dijo ser el director ejecutivo de una empresa que no existía. Al final le pidieron que descargara en su computadora de trabajo una «tarea»: un repositorio de código malicioso que se ejecutó durante la instalación^[1]. El programa reemplazaba una pieza de una herramienta legítima de desarrollo por una versión que ejecutaba comandos y se comunicaba con un servidor externo. Según Binance, era un programa malicioso nuevo, que sus herramientas de protección no detectaron en ese momento, y además borraba sus propios rastros^[1].

El 20 de octubre, desde la computadora del ingeniero B y a través de una herramienta interna de IA, el atacante tomó el control de los equipos del ingeniero A y de un tercero, el «ingeniero C». En la computadora del ingeniero A encontró una credencial que permitía desplegar programas en los servidores de la empresa^[1]. El informe no explica qué hace esa herramienta de IA ni cómo fue usada para saltar de un equipo a otro.

El día del robo

El 29 de octubre, entre las 14.15 y las 16.56 de la Argentina, el atacante entró en la computadora del ingeniero C, usó las credenciales robadas al ingeniero A, desplegó un programa propio y activó el código que vació las billeteras. Entre las 17.05 y las 17.09, cinco billeteras de Binance enviaron 233,46 millones de unidades de XRP a una dirección del atacante. También salieron 970.500 SOL y 44,2 millones de OP, además de bitcoin y ether^[1].

En la red de Ethereum, el atacante usó un mecanismo llamado EIP-7702, que permite que una cuenta común delegue su funcionamiento en un programa externo^[9]. Así le dio a un contrato malicioso permisos parciales sobre una billetera de la empresa. Según Binance, por eso la transferencia siguió aunque la empresa ya había suspendido los retiros: esa autorización funcionaba por fuera de su sistema de retiros. Como la billetera está protegida por un sistema que reparte la firma entre varias partes, no había una única clave que se pudiera anular, y hizo falta un procedimiento especial^[1]. La última transferencia no autorizada, de 2.961,9 ether, se completó a las 20.56 de la Argentina, y la delegación quedó anulada a las 21.10^[1].

Cifras que cambiaron

El relato oficial cambió a medida que avanzó la investigación. El 30 de octubre, Teng escribió que el incidente podría haber empezado con la computadora comprometida de un ingeniero de DevOps^[4]. Poco más de una hora después, Binance informó que había encontrado más puntos de intrusión y que tenía congelados unos US$ 3.000 millones^[3]. El informe de este martes baja esa cifra a US$ 2.850 millones y aclara que todavía puede cambiar por la conciliación de cuentas y por la variación de los precios^[1]. La reposición de los activos pasó del 90%, informado el 31 de octubre^[5], al 95% el 1 de noviembre^[6] y al 98% actual^[1]. Binance remite a su prueba de reservas para verificar ese dato. La elabora la propia empresa: cada usuario puede comprobar que su saldo está incluido en el total de pasivos, y la página no menciona a ningún auditor externo^[8].

El informe no dice si se comprometieron datos de los usuarios. Tampoco informa cuánto le costará la reposición a la empresa, aunque afirma haber apartado más del 100% del monto necesario^[1]. Los retiros se reabrieron por etapas desde el 1 de noviembre^[6]. Este martes, Binance informó que desde las 0 de la Argentina los depósitos de cada hora superan a los retiros^[7].

Según el informe, la empresa ya reconstruyó el sistema de billeteras afectado y la herramienta interna de IA, reemplazó los equipos comprometidos, dio de baja las credenciales vinculadas, revisó todas las computadoras del personal y reforzó sus controles. También anunció que contratará a especialistas independientes para revisar el incidente y que trabaja con empresas de inteligencia artificial y de seguridad en un fondo de investigación, sin informar montos. Algunos detalles técnicos, aclaró, seguirán siendo confidenciales^[1].