Binance, la mayor plataforma de intercambio de criptomonedas a nivel mundial, sufrió un ataque cibernético que le costó 6.300 millones de dólares en activos robados, según confirmó la propia compañía la semana pasada. El incidente, que no fue un simple acto de phishing, comenzó hace varios meses y estuvo protagonizado por un grupo de hackers patrocinado por el Estado norcoreano, conocido como TraderTraitor.
Al principio, la empresa señaló que la vulnerabilidad estaba centrada en el portátil de un solo desarrollador. No obstante, investigaciones posteriores y declaraciones del FBI revelaron que los atacantes utilizaron un sofisticado plan basado en entrevistas laborales falsas para infiltrarse en los sistemas corporativos. Esto les permitió acceder y manipular herramientas internas basadas en inteligencia artificial, lo que facilitó el robo masivo de criptomonedas.
En un comunicado oficial, el FBI atribuyó la autoría del ataque a Corea del Norte y confirmó los informes iniciales sobre el grupo TraderTraitor, subrayando que los criminales se especializaron en convertir los activos sustraídos mayormente en Ether (ETH), una criptomoneda muy popular. 
Binance, por su parte, explicó en sus redes sociales que el ataque combinó múltiples técnicas: ingeniería social mediante entrevistas fraudulentas, descargas de software malicioso, manipulación de herramientas internas de inteligencia artificial, compromisos en los endpoints (dispositivos finales) y métodos avanzados para autorizar transacciones ilegítimas.
Detalles de la intrusión
El punto de inicio del ataque sucedió en junio, cuando un ingeniero de Binance descargó sin saberlo una versión comprometida del gestor de paquetes Homebrew, utilizada para instalar una herramienta de codificación basada en inteligencia artificial. Aunque el equipo de seguridad detectó la amenaza a tiempo y canceló las credenciales de ese empleado, los hackers lograron obtener información clave sobre su rol y sus compañeros de trabajo.
Durante los meses siguientes, el equipo de seguridad identificó hasta 57 amenazas cibernéticas que consideraron originadas en Corea del Norte, empleando desde campañas de ingeniería social hasta patrones muy elaborados de malware.
En septiembre, otro ingeniero fue contactado por un supuesto reclutador a través de una plataforma legítima de búsqueda de empleo. Después de dos entrevistas, se le pidió descargar un «ejercicio» que contenía código malicioso que utilizaba técnicas avanzadas de ocultación y evasión. El software comprometido reemplazaba componentes legítimos de herramientas de desarrollo para ejecutar comandos y establecer comunicación con servidores controlados por los atacantes, sin ser detectados por las soluciones de seguridad en el momento.
El 20 de octubre, los hackers utilizaron el portátil comprometido para acceder a una herramienta interna basada en inteligencia artificial de Binance. Esto les permitió tomar el control de las cuentas de varios ingenieros de la empresa. Durante más de una semana, permanecieron infiltrados, recopilando credenciales que finalmente usaron para ejecutar el ataque masivo.
Respuesta y recuperación
Ante este grave incidente, Binance aseguró haber tomado medidas inmediatas para contener la brecha y fortalecer sus sistemas. Se cerraron todos los puntos de acceso identificados como vulnerables, se reconstruyeron o reemplazaron los sistemas afectados y se implementaron controles más estrictos sobre los dispositivos autorizados. Además, mejoraron los mecanismos de control de riesgos relacionados con las carteras digitales y ampliaron la detección de anomalías comportamentales mediante inteligencia artificial.
La compañía indicó que seguirá proporcionando detalles conforme avance la investigación y confirmó que se someterá a auditorías independientes realizadas por empresas externas de seguridad informática.
Expertos en ciberseguridad, como Liam Salsi, director de arquitectura de Talion Cyber Security, han expresado su sorpresa por cómo la violación de unos pocos dispositivos pudo desencadenar un fraude de tal magnitud. Según Salsi, «una buena seguridad siempre pasa por segmentar y distribuir los activos para evitar que un atacante, una vez dentro, pueda hacerse con todo de un solo golpe». En el caso de Binance, «parece que han puesto todos los huevos en la misma cesta, incluyendo las joyas de la corona».
Compensación a usuarios afectadas
Más allá de los detalles técnicos, Binance se comprometió a cubrir totalmente las pérdidas de sus usuarios. La empresa afirmó que la mayoría de los tokens sustraídos ya han sido repuestos y que tiene reservas suficientes para absorber el impacto financiero del robo sin que los usuarios sufran daños económicos.
Del total de 6.340 millones de dólares afectados, 2.850 millones quedaron congelados o interceptados por la compañía.
Este incidente, además de impactar a Binance, plantea preocupaciones sobre la seguridad en sectores críticos. Según Salsi, si situaciones similares ocurrieran en infraestructuras nacionales esenciales, las consecuencias podrían ser catastróficas, subrayando la necesidad de protocolos mucho más rígidos y segmentación estricta en la seguridad de redes y activos.
