Binance Detectó 57 Amenazas Vinculadas a Corea del Norte Antes del Hackeo de 6.340 Millones de Dólares
Binance afirmó haber bloqueado 57 presuntas amenazas cibernéticas vinculadas a Corea del Norte en 2026, pero una entrevista de trabajo falsa montada con antelación dio a los atacantes acceso a ingenieros y a los sistemas de firma de billeteras antes del robo de 6.340 millones de dólares el 29 de octubre. El FBI atribuyó el robo al grupo TraderTraitor de Corea del Norte, algo que Pyongyang ha negado.
Escrito por la redacción de IA de CoinArticle · a partir de 2 fuentes citadas. Cómo trabajamos
Cadena de ataque a través de señuelos de reclutamiento
Binance afirmó que los atacantes contactaron en septiembre a un ingeniero de software a través de una plataforma legítima de búsqueda de empleo, haciéndose pasar por un director de proyecto. Según el informe del intercambio del 3 de noviembre, un falso representante de recursos humanos realizó una entrevista por vídeo, y un segundo entrevistador que afirmaba ser un director ejecutivo pidió al ingeniero que descargara en un ordenador de trabajo una prueba de programación. La prueba contenía un malware que se ejecutaba durante la instalación y eludía las herramientas de seguridad de endpoints que se estaban utilizando, según Binance.
El copresidente ejecutivo Yi He describió en una publicación en X del 3 de noviembre el patrón más amplio: entrevistas de trabajo fraudulentas, paquetes de software y extensiones de navegador comprometidos, aplicaciones falsas de videoconferencia y campañas de robo de credenciales. Las fuentes difieren sobre cómo comenzó la intrusión. La cronología propia de Binance, resumida por CryptoSlate, sitúa una etapa anterior en junio, cuando un ingeniero de infraestructura de billeteras instaló un paquete Homebrew manipulado mientras intentaba configurar una herramienta de programación con IA. Binance detectó ese incidente y sustituyó el dispositivo, pero la publicación de Yi y los extractos del informe disponibles aquí no confirman que el episodio de junio forme parte de la misma cadena.
El 20 de octubre, los atacantes ya habían utilizado la máquina comprometida y una herramienta interna de IA para llegar a otros dos ingenieros. CryptoSlate informa de que obtuvieron un token de despliegue de contenedores y, nueve días después, desplegaron un contenedor malicioso para acceder a la infraestructura de firma de billeteras. Binance afirmó que las transferencias eludieron su proceso normal de retirada y vaciaron activos en varias redes.
Compromiso de la billetera y rastro de autorizaciones
Hallazgos anteriores situaron parte de la pérdida en Binance 14, una billetera caliente de Ethereum. Blockaid identificó 50 autorizaciones EIP-7702 enviadas, una de las cuales delegó con éxito derechos de ejecución en un contrato malicioso. La cuenta de Binance y los hallazgos de Blockaid describen la misma ruta de billetera, aunque el intercambio no ha publicado una correspondencia completa de cada autorización con el saldo robado.
Estado de la recuperación y cifras controvertidas
El 3 de noviembre, Binance afirmó haber sustituido el 98 % de los activos tokenizados afectados y estar comprando los tokens restantes, menos líquidos. Su cifra es superior al aproximadamente 95 % de reposición que citó el consejero delegado Richard Teng cuando se reabrieron las retiradas de bitcoin el 1 de noviembre. Ambas cifras no son contradictorias en principio, ya que la sustitución seguía en curso, pero el intercambio no las ha conciliado en una única comunicación. Binance afirmó haber reservado más fondos de los necesarios para cubrir la pérdida.
Según divulgaciones anteriores sobre la recuperación, las compras de reposición se han financiado con el Secure Asset Fund for Users, con reservas excedentes del Futures Insurance Fund y con la tesorería corporativa. El 3 de noviembre, Binance restableció las retiradas de otros 31 activos en Ethereum y 20 en Solana, tras la reapertura de cinco stablecoins en Ethereum.
Atribución y negación
La alerta del FBI del 31 de octubre, emitida junto con el Servicio Secreto de Estados Unidos y el Servicio de Investigación Criminal del IRS, atribuyó el robo a Corea del Norte y denominó la actividad TraderTraitor. Los investigadores observaron que los activos robados se convertían principalmente en ether y prevén nuevos procesos de blanqueo a través de las finanzas descentralizadas y de los servicios de intercambio instantáneo. Las agencias instaron a los intercambios, a las empresas de análisis y a los operadores de DeFi a bloquear las transacciones que impliquen las direcciones listadas.
Corea del Norte negó su participación el 3 de noviembre. Según la Associated Press, Kim Yo Jong rechazó la acusación en un comunicado difundido por los medios estatales. La atribución descansa, por tanto, en las conclusiones del gobierno estadounidense, y Pyongyang no ha respondido a las pruebas técnicas citadas.
Patrón en operaciones recientes
Las tácticas coinciden con una campaña que los investigadores de seguridad siguen desde hace tiempo. El FBI advirtió en septiembre de 2024 de que operadores norcoreanos utilizaban ofertas de empleo a medida e identidades ficticias contra empresas de criptoactivos. Kudelski Security documentó en junio una operación similar, Contagious Interview, en la que reclutadores falsos en LinkedIn, WhatsApp y Discord persuadían a desarrolladores para ejecutar código malicioso. Investigadores de Atlassian informaron después de evaluaciones técnicas falsas en plataformas de desarrollo consolidadas. La divulgación de Binance muestra el mismo método llegando a la infraestructura de billeteras de un gran intercambio.
Por qué importa
Para los traders
Las reaperturas continuas de retiradas de Binance y el 2 % de tokens de reposición todavía pendientes son las variables a corto plazo que hay que seguir en cuanto a liquidez de los activos afectados.
Para los inversores
Un robo de 6.340 millones de dólares atribuido a un actor estatal plantea cuestiones operativas y de adecuación de reservas que darán forma a cómo se evalúa el riesgo de los intercambios en los próximos meses.
Para los desarrolladores
Los atacantes explotaron la delegación EIP-7702 y las herramientas internas de IA, por lo que los equipos de billeteras deberían auditar ahora los flujos de autorización y las cadenas de suministro de las herramientas de los desarrolladores.
Este artículo es solo informativo y no constituye asesoramiento financiero. Lee el aviso legal completo.
