El informe de la plataforma describe cinco meses de infiltración, una falsa oferta laboral y el uso de una herramienta interna de IA. La investigación independiente sigue pendiente.
El robo de activos digitales por 6 mil 340 millones de dólares a Binance comenzó con una operación de infiltración que se extendió durante cinco meses, según el informe preliminar de la empresa. La plataforma sostuvo que los atacantes comprometieron computadoras de sus ingenieros, utilizaron una falsa oferta de empleo y aprovecharon una herramienta interna de inteligencia artificial para acceder a sistemas vinculados con las transferencias.
La investigación interna identifica el primer acceso en junio de 2026, cuando un ingeniero de infraestructura de wallets descargó una versión manipulada de Homebrew mientras buscaba una herramienta de programación con inteligencia artificial. Binance sustituyó el equipo y renovó credenciales, pero en octubre los atacantes usaron un token de despliegue procedente de esa computadora. El informe no explica por qué seguía válido.
La segunda infiltración comenzó en septiembre. Otro ingeniero recibió una propuesta laboral de un supuesto director de proyecto de una empresa ficticia. Tras entrevistas por video y mensajería, un falso directivo le pidió descargar una tarea de programación en su computadora de trabajo. El archivo contenía malware capaz de comunicarse con un servidor externo sin que las herramientas de protección detectaran la intrusión, de acuerdo con Binance.
El 20 de octubre, los atacantes aprovecharon esa computadora y una herramienta interna de inteligencia artificial para comprometer los equipos de otros dos ingenieros. La empresa no identificó el sistema de IA ni explicó el mecanismo utilizado. Nueve días después, los intrusos emplearon credenciales obtenidas para desplegar un contenedor y ejecutar el programa que permitió iniciar transferencias no autorizadas.
Alrededor de las 20:05 horas UTC del 29 de octubre comenzaron las transferencias. Binance reportó la salida de 233.46 millones de XRP de cinco wallets calientes, 18 mil 270 bitcoins, aproximadamente 970 mil 500 SOL, 44.2 millones de OP y 2 mil 961.9 ETH. La última operación terminó a las 23:56 horas UTC. Las cantidades publicadas no permiten reconstruir de forma independiente el valor total declarado.
Los atacantes también delegaron permisos de una wallet a un contrato inteligente bajo su control mediante 50 transacciones de firma. El sistema de firma multipartita impidió revocar esos permisos con una sola llave. Binance eliminó la delegación a las 00:10 horas UTC del 30 de octubre.
La compañía afirmó que congeló o interceptó activos por aproximadamente 2 mil 850 millones de dólares, sujetos a conciliación, y que al 31 de octubre había repuesto 98 por ciento de los activos afectados. También citó un comunicado del FBI que atribuye la operación a Corea del Norte. “Esto no debió ocurrir”, reconoció la empresa. La revisión independiente anunciada todavía está pendiente.
El informe deja sin respuesta cómo permanecieron accesibles las credenciales vinculadas con la primera intrusión y de qué manera fue utilizada la herramienta interna de inteligencia artificial. La auditoría externa anunciada por Binance deberá esclarecer esas fallas y evaluar los nuevos controles de seguridad.
Fuente: Informe preliminar de Binance.
