Una falsa entrevista laboral, software malicioso y una IA comprometida: paso a paso, cómo fue el hackeo a Binance
El hackeo a Binance ocurrido el 29 de octubre de 2026 comenzó meses antes mediante una sofisticada campaña de ingeniería social que combinó falsos procesos de reclutamiento laboral y el uso de una herramienta interna de inteligencia artificial. Según la reconstrucción publicada por la propia compañía, los atacantes, a los que Binance volvió a atribuir a grupos vinculados a Corea del Norte, lograron comprometer sistemas que permitían autorizar operaciones en billeteras digitales y robar criptomonedas por un valor aproximado de 6.340 millones de dólares.
La operación se inició en junio de 2026, cuando un ingeniero del equipo de infraestructura de billeteras descargó una versión manipulada de Homebrew, una herramienta de instalación de software, mientras buscaba incorporar un asistente de programación con IA. Aunque el equipo de seguridad detectó la anomalía, reemplazó el equipo y renovó las credenciales, los atacantes ya habían obtenido información clave sobre las funciones y responsabilidades del área.
En septiembre, otro ingeniero de software recibió una oferta laboral a través de una plataforma legítima de empleo. El proceso incluyó dos entrevistas: una videollamada con un supuesto representante de Recursos Humanos y otra con quien se presentó como CEO de una empresa ficticia. Los falsos reclutadores compartieron perfiles en redes sociales con fotografías y videos personales para generar confianza. Al final de la segunda entrevista, pidieron al ingeniero que descargara una “tarea de programación” en su computadora de trabajo. El archivo contenía malware que permitió a los atacantes establecer comunicación con servidores externos bajo su control.
El 20 de octubre, los atacantes usaron la computadora comprometida para acceder a una herramienta interna de inteligencia artificial de Binance y desde allí avanzaron sobre los equipos de otros dos empleados del área de billeteras. Finalmente, el 29 de octubre, entre las 20:05 y las 20:09 UTC, lograron desplegar un contenedor malicioso utilizando credenciales robadas y un token de permisos. Esto les permitió acceder al servicio interno de firma de billeteras y ejecutar transferencias no autorizadas: 233,46 millones de XRP, aproximadamente 970.500 SOL, 44,2 millones de OP y 18.270 BTC.
Binance detectó rápidamente la actividad anómala, suspendió los retiros, coordinó con otros actores del sector el congelamiento de fondos y logró interceptar o congelar alrededor de 2.850 millones de dólares. La empresa informó que al 3 de noviembre ya había repuesto el 98% de los activos afectados, reconstruyó los sistemas comprometidos, reemplazó los dispositivos y desactivó las credenciales involucradas. Además, anunció una revisión integral de seguridad a cargo de especialistas independientes, mayores inversiones en detección de amenazas con IA y la creación de un fondo de investigación de seguridad. Durante 2026, la compañía dijo haber prevenido otros 57 intentos de ataques atribuidos a grupos norcoreanos.