Una entrevista de trabajo falsa llevó al hackeo de 6.340 millones de dólares, según Binance
Binance afirma que los atacantes usaron entrevistas de trabajo falsas, una herramienta de desarrollo envenenada y una herramienta interna de IA comprometida para acceder a sus sistemas de firma de billeteras y robar 6.340 millones de dólares el 29 de octubre. El exchange afirma haber congelado o interceptado unos 2.850 millones de dólares, haber repuesto el 98% de los activos en tokens afectados y que los retiros se han reanudado en gran medida.
Escrito por la redacción de IA de CoinArticle · a partir de 5 fuentes citadas. Cómo trabajamos
Información de: The Defiant — esta noticia se basa, por ahora, en una única fuente.
Lo que informó Binance
Binance afirma que los atacantes usaron una entrevista de trabajo falsa para obtener una posición dentro de la empresa, y vinculó ese acceso a una pérdida que el exchange cifra en 6.340 millones de dólares. En su informe de seguridad del 3 de noviembre, el exchange describió un ataque que se desarrolló durante varios meses y combinó el engaño a empleados, software comprometido y acceso no autorizado a sistemas internos.
El exchange afirmó que había repuesto el 98% de los activos en tokens afectados con fondos propios a 31 de octubre y que estaba comprando en el mercado abierto las criptomonedas restantes, de menor liquidez. El copresidente ejecutivo Richard Teng dijo que los retiros se habían reanudado en gran medida y que los usuarios no sufrirían pérdidas. Binance también afirmó que ha congelado o interceptado unos 2.850 millones de dólares de los activos robados, según una sesión informativa con medios dirigida por Teng y el director de seguridad, Jimmy Su.
Atribución y respuesta oficial
El FBI atribuyó el ataque en su conjunto a Corea del Norte, cuyas operaciones de hackeo han apuntado cada vez más a desarrolladores de software y empresas de criptomonedas. El informe de Binance cita esa conclusión, pero no hace una atribución propia. Pyongyang rechazó la acusación el lunes; Kim Yo Jong, hermana del líder Kim Jong Un, la calificó de "grave provocación política" en los medios estatales.
Cómo se desarrolló la intrusión
El informe sitúa un primer contacto en junio, cuando un ingeniero de DevOps de la billetera, al buscar una herramienta de programación con IA, descargó un instalador de Homebrew manipulado. El equipo de seguridad de Binance detectó la anomalía, sustituyó el dispositivo y rotó las credenciales, pero el episodio expuso el papel del ingeniero y los nombres de sus compañeros en el equipo de infraestructura de la billetera.
En septiembre, alguien que se hacía pasar por director de proyecto contactó con un segundo ingeniero a través de una plataforma de empleo legítima. Siguió una entrevista por vídeo con una supuesta representante de recursos humanos, y una segunda entrevista con un supuesto CEO terminó con una "asignación": un repositorio de código que instalar en el equipo de trabajo del ingeniero. El repositorio sustituyó un componente legítimo de pyenv por una versión maliciosa y abrió un canal hacia un servidor controlado por los atacantes. Binance afirmó que sus herramientas de seguridad de endpoints no marcaron el malware en ese momento.
El 20 de octubre, los atacantes utilizaron esa máquina y una herramienta de IA interna para llegar a dos ingenieros de billeteras, uno de los cuales tenía un token de despliegue de contenedores. El informe de Binance señala que la herramienta de IA fue explotada como parte de una campaña más amplia que implicaba credenciales robadas, software de desarrollo comprometido e ingeniería social; la investigación no establece que un modelo de IA planificara o ejecutara el robo de forma autónoma. El 29 de octubre, entre las 17:15 y las 19:56 UTC, los atacantes accedieron al ordenador de un tercer ingeniero, desplegaron un contenedor con las credenciales robadas y lanzaron el vaciado. Binance afirmó que este año ha bloqueado otros 57 intentos sospechosos vinculados a Corea del Norte que usaban señuelos similares.
Transferencias y permisos
Entre las 20:05 y las 20:09 UTC del 29 de octubre, cinco billeteras calientes enviaron 233,46 millones de XRP a una dirección controlada por los atacantes, según el informe. A continuación, billeteras en Solana y Optimism enviaron aproximadamente 970.500 SOL y 44,2 millones de OP, y después una billetera caliente de Binance transfirió 18.270 BTC.
Después, el atacante utilizó el servicio de firma para establecer permisos maliciosos mediante el mecanismo EIP-7702 de Ethereum, que permite a una billetera delegar la ejecución en código de contratos inteligentes. Hallazgos previos describían que el atacante usó esa función para dar a un contrato inteligente malicioso permiso para mover fondos desde una billetera caliente de Binance conocida como Binance 14. Binance afirmó que suspender los retiros no podía invalidar los permisos ya establecidos en Ethereum, y que su billetera de computación multiparte requería un proceso especializado para abordarlos.
Contexto más amplio de amenazas habilitadas por IA
El incidente ha puesto de relieve cómo las herramientas internas de IA pueden ampliar la superficie de ataque. Mandiant, de Google, informó en febrero de que los hackers norcoreanos que atacaban a la industria de las criptomonedas habían incorporado técnicas asistidas por IA, incluida una videoconferencia falsa y un vídeo presuntamente generado por IA que suplantaba a un ejecutivo, aunque no pudo confirmar de forma independiente el deepfake en ese caso. En septiembre, el Threat Intelligence Group de Google informó de que los atacantes avanzaban hacia operaciones automatizadas capaces de ejecutar varias fases de una intrusión.
Binance ha dicho que busca alianzas de seguridad con las principales empresas de IA. Ese paso no se ha detallado públicamente más allá del encuadre del informe.
Preguntas abiertas
Varios puntos siguen sin confirmarse, entre ellos el conjunto completo de redes implicadas, la duración total de la intrusión y cómo se tratarán los 2.850 millones de dólares en activos congelados o interceptados en relación con la cifra de 6.340 millones. La cifra de 6.340 millones es la que el exchange ha dado, a la espera de más información.
Por qué importa
Para los traders
Para los inversores
Para los desarrolladores
Este artículo es solo informativo y no constituye asesoramiento financiero. Lee el aviso legal completo.
