Binance publicó el 3 de noviembre su informe inicial sobre el robo de unos US$ 6.340 millones ocurrido el 29 de octubre. El documento confirma que el paso decisivo fue una falsa entrevista laboral: un ingeniero de la empresa descargó una supuesta prueba técnica que contenía malware y que dio a los atacantes acceso a su computador de trabajo.
Según el informe de Binance, recogido por Nextgov/FCW y Fortune, la campaña se preparó durante meses. En junio, un ingeniero del equipo de billeteras intentó instalar una herramienta de IA para programar y descargó, desde un anuncio en internet, una versión alterada de Homebrew, un conocido gestor de paquetes. El equipo de seguridad lo detectó, reemplazó el computador y cambió las credenciales, pero los intrusos ya habían identificado a ese ingeniero y a sus colegas a cargo de las billeteras.
En septiembre llegó la falsa entrevista. Una persona que se presentó como director de proyecto contactó a otro ingeniero a través de una plataforma de empleo legítima; en su perfil figuraba su experiencia en Binance. Fortune informó que, según ejecutivos de la compañía, la plataforma fue LinkedIn. Tras una videollamada con un supuesto representante de recursos humanos y una segunda conversación con quien decía ser el CEO de la empresa, el ingeniero recibió una tarea de programación alojada en un repositorio de código. Al configurarla en su equipo de trabajo, se ejecutó un malware no detectado previamente que reemplazó una herramienta de desarrollo legítima por una copia maliciosa, borró sus rastros y pasó inadvertido para la seguridad del equipo, según el resumen del informe publicado por CNBC TV18.
El 20 de octubre, los atacantes usaron ese computador y una herramienta interna de IA de Binance para tomar el control de los equipos de dos ingenieros de billeteras, donde encontraron un token con permisos para desplegar contenedores. El 29 de octubre, con credenciales robadas, desplegaron un contenedor y ejecutaron un script que les permitió llegar al servicio interno de firma de transacciones y mover fondos sin pasar por el proceso normal de retiros. La última transferencia no autorizada se registró a las 23:56 UTC y la autorización maliciosa se revocó a las 00:10 UTC del 30 de octubre.
"Esto no debió haber ocurrido", reconoció Binance en su informe, en el que pidió disculpas a usuarios y socios (traducción propia). La empresa dice haber reconstruido el sistema de billeteras afectado y la herramienta interna de IA, reemplazado los equipos comprometidos, revocado credenciales y contratado firmas independientes para revisar el incidente. Su co-CEO, Yi He, señaló que en 2026 el equipo de seguridad detectó y frenó 57 amenazas atribuidas a Corea del Norte, según crypto.news.
El caso demuestra que el eslabón débil no siempre es un firewall o un servidor sin parches. Fue un profesional que buscaba trabajo, contactado por un perfil creíble, y que ejecutó código ajeno en su computador corporativo. Ese escenario no es exclusivo de un exchange de criptomonedas: cualquier empresa tiene desarrolladores, administradores de sistemas o personal de finanzas con perfiles públicos que revelan dónde trabajan y qué hacen.
También muestra que detectar y contener un primer incidente no basta si el atacante ya obtuvo información sobre quién tiene acceso a qué. Y que las herramientas internas con IA, cuando tienen permisos amplios sobre otros equipos, pueden convertirse en un atajo para el movimiento lateral.
Binance pudo absorber la pérdida con reservas propias. Una empresa mediana chilena no tendría ese margen, por lo que su continuidad depende de cortar la cadena antes de que el atacante llegue a los sistemas que mueven dinero o datos críticos.
