Los atacantes que apuntaron a 6.340 millones de dólares en criptomonedas de Binance planearon durante meses una operación que combinó malware, entrevistas laborales falsas y herramientas internas comprometidas. Binance informó que logró congelar o interceptar 2.850 millones de dólares; el caso importa porque expuso cómo el acceso a dispositivos de empleados y a sistemas de autorización puede eludir controles habituales de una plataforma cripto.
Un ataque dirigido que comenzó meses antes
Según Binance, la campaña se desarrolló al menos desde junio y culminó el jueves anterior a la publicación de su informe, divulgado el martes. La empresa describió una operación de varias etapas, no un incidente aislado de phishing: los atacantes buscaban identificar a integrantes del equipo de infraestructura de billeteras y obtener acceso a sus equipos y credenciales.
El primer incidente conocido habría ocurrido cuando un ingeniero descargó una versión manipulada de Homebrew, una herramienta para instalar software. Aunque el equipo de seguridad detectó el dispositivo comprometido, los atacantes ya habían obtenido información sobre las funciones del ingeniero y de sus compañeros. En septiembre, otro empleado fue abordado en una plataforma legítima de búsqueda de empleo por personas que fingían representar a una empresa.
El proceso incluyó entrevistas falsas con supuestos responsables de recursos humanos y dirección. Durante una de ellas, el empleado recibió una tarea de programación alojada en un repositorio con código malicioso. Binance señaló que el malware sustituyó un componente legítimo de una herramienta de desarrollo para ejecutar comandos y comunicarse con un servidor controlado por los atacantes. Según la compañía, las herramientas de seguridad de los equipos no detectaron en ese momento el malware de día cero.
Cómo accedieron a las billeteras de Binance
El 20 de octubre, los atacantes utilizaron un equipo comprometido y una herramienta interna de inteligencia artificial para tomar control de otros dos dispositivos de ingenieros. Nueve días después, usaron credenciales robadas para iniciar sesión, desplegar un contenedor y ejecutar un script que activó las transferencias. También extendieron el acceso no autorizado a un servicio interno de firma de billeteras.
Binance indicó que sus billeteras calientes de Solana y Optimism transfirieron aproximadamente 970.500 SOL y 44,2 millones de OP a direcciones controladas por los atacantes. Después se enviaron 18.270 BTC. Estas cifras describen activos movidos durante el incidente, mientras que los 6.340 millones de dólares corresponden al valor total al que apuntó el ataque.
La operación también aprovechó EIP-7702, un mecanismo de Ethereum que permite delegar ciertas funciones de una cuenta a un contrato inteligente sin revelar la clave privada. Los atacantes lo usaron para conceder a un contrato controlado por ellos permisos parciales de ejecución sobre una billetera caliente. Binance afirma que se enviaron 50 transacciones de firma para manipular el nonce de la cuenta y establecer autorizaciones maliciosas.
Por qué detener los retiros no bastó
Binance suspendió los retiros, coordinó con socios el congelamiento de activos e inició la revocación de permisos. Sin embargo, las autorizaciones maliciosas ya estaban registradas en la cadena de bloques y podían operar independientemente del sistema normal de retiros. Apagar los servicios de billeteras calientes no las invalidaba automáticamente.
La revocación tomó tiempo porque la billetera utilizaba computación multipartita (MPC): no había una sola clave privada que permitiera cancelar de inmediato esos permisos. Binance tuvo que desarrollar un procedimiento especializado y realizar transacciones adicionales. La compañía señaló que sus medidas permitieron congelar o interceptar 2.850 millones de dólares y que reservó fondos para cubrir las pérdidas.
El FBI y TRM Security atribuyeron el ataque a actores norcoreanos; TRM identifica al grupo como TraderTraitor. La firma también describió el lavado de activos mediante redes de Tron y Ethereum, con tokens creados por los atacantes, fondos de liquidez, préstamos y operaciones entre cadenas. Para los usuarios, el caso muestra que la seguridad de los criptoactivos depende tanto de proteger claves y contratos como de verificar solicitudes de empleo, descargas y accesos internos.
En resumen
- El ataque apuntó a 6.340 millones de dólares en activos de Binance.
- La campaña habría comenzado en junio e incluyó entrevistas laborales falsas y malware.
- Los atacantes comprometieron equipos de ingenieros y accedieron a un servicio de firma.
- EIP-7702 permitió establecer permisos maliciosos que no se cancelaban al suspender retiros.
- Binance congeló o interceptó 2.850 millones de dólares y desarrolló un método para revocar las autorizaciones.
