El ataque empezó en junio y la entrevista llegó en septiembre
La cronología publicada por Binance sitúa el primer episodio de la campaña en junio de 2026. Entonces, un ingeniero del equipo de DevOps de monederos descargó una instalación manipulada de Homebrew mientras buscaba una herramienta de programación basada en inteligencia artificial.
El equipo de seguridad detectó la anomalía, sustituyó el dispositivo y renovó las credenciales, pero Binance reconoce que el puesto del ingeniero y el de otros compañeros vinculados a la infraestructura de monederos siguieron expuestos.
La falsa entrevista llegó tres meses después. En septiembre, otro ingeniero recibió el contacto de una persona que se presentó como director de proyectos a través de una plataforma legítima de búsqueda de empleo. El proceso incluyó una videollamada con un supuesto responsable de Recursos Humanos, que compartió una cuenta de redes sociales con fotografías y vídeos personales para generar confianza, y una segunda entrevista con quien decía ser el director ejecutivo de una empresa ficticia.
Al final, le pidieron descargar una prueba técnica en el ordenador de trabajo. El repositorio contenía código malicioso que se ejecutó durante la instalación y que, según Binance, logró esquivar las herramientas de protección disponibles en ese momento.
El acceso inicial no se convirtió en el robo de inmediato. El 20 de octubre, los atacantes aprovecharon el ordenador comprometido y una herramienta interna de IA para alcanzar los dispositivos de otros dos ingenieros del equipo de monederos. Allí localizaron credenciales y un permiso para desplegar software en la infraestructura interna.
El 29 de octubre utilizaron ese acceso para entrar en otro equipo y ejecutar el código que terminó llegando al servicio interno de firma de transacciones. Binance subrayó que no fue una intrusión aislada ni un simple caso de phishing: la entrevista fue una pieza de una campaña mucho más amplia.
Qué ocurrió con los 6.340 millones de dólares
El 29 de octubre, los atacantes consiguieron utilizar el servicio de firma de Binance para iniciar operaciones fuera del proceso habitual de retirada. La compañía informó de movimientos desde varios monederos calientes (hot wallets), es decir, carteras conectadas a internet que se utilizan para gestionar transferencias.
En el caso de Ethereum, el informe describe el uso de EIP-7702, un mecanismo que permite delegar ciertos permisos de ejecución a un contrato inteligente sin revelar la clave privada. Binance dijo el 30 de octubre que no había encontrado indicios de que las claves privadas de sus monederos hubieran sido filtradas. Por tanto, no se trató de un hackeo de Ethereum ni de las redes implicadas, sino de un compromiso de la infraestructura interna de Binance.
La cifra que la empresa comunicó en su informe del 3 de noviembre fue de aproximadamente 6.340 millones de dólares en activos digitales afectados. De ese importe, unos 2.850 millones habían sido congelados o interceptados, una cantidad sujeta a conciliación y a la volatilidad de los precios. Conviene no mezclar ambas cifras: que unos fondos hayan sido congelados no significa necesariamente que ya se hayan recuperado, y que Binance reponga activos con recursos propios tampoco significa que los atacantes hayan devuelto lo robado.
La compañía aseguró que asumiría el impacto financiero y que había reservado más del 100% de los fondos necesarios para cubrirlo. En una actualización del 4 de noviembre afirmó haber repuesto aproximadamente el 98% de los activos afectados; el 2% restante correspondía a tokens con menor liquidez y su adquisición podía tardar más.
Binance también reanudó las retiradas por fases: en su actualización del 6 de noviembre seguía anunciando nuevos activos y redes, con disponibilidad progresiva tras las comprobaciones de seguridad. El informe técnico se presentó como inicial y anunció una revisión independiente adicional.
La lección para el resto de exchanges y para sus usuarios
El FBI atribuyó el ataque a Corea del Norte y se refirió a esta actividad como TraderTraitor. Por su valor nominal en dólares, varias firmas de análisis y medios lo han descrito como el mayor robo conocido en la industria cripto. Aun así, la comparación histórica depende de cómo se mida: el valor en dólares no es lo mismo que la cantidad de bitcoin afectada en otros robos anteriores. El fundador de Binance, Changpeng Zhao, también señaló esta diferencia al comparar el incidente con el caso de Mt. Gox.
La principal enseñanza no es que todas las plataformas sean igual de vulnerables, ni que el tamaño de Binance convierta automáticamente a cualquier otro exchange en un objetivo equivalente. Es que la seguridad de un custodio no depende únicamente de cómo guarda las claves o de la resistencia de sus contratos.
También incluye los ordenadores de los empleados, los procesos de contratación, las herramientas de desarrollo, los permisos internos y la forma en que se autorizan movimientos de grandes cantidades. En este caso, según la propia empresa, los atacantes combinaron ingeniería social, software manipulado, credenciales comprometidas y acceso a herramientas internas. La IA fue una herramienta interna aprovechada durante la intrusión, no una explicación autónoma del robo.
Para quien utiliza un exchange, el incidente vuelve a poner sobre la mesa el riesgo de custodia y de disponibilidad. Aunque Binance afirma que cubrirá las pérdidas y que ha repuesto la mayor parte de los activos afectados, la pausa temporal de retiradas mostró que el acceso a los fondos puede verse limitado mientras una plataforma contiene un ataque y revisa sus sistemas.
Por eso, conviene entender quién custodia los criptoactivos, qué controles aplica y cómo comunica las incidencias. La guía de Finantres sobre seguridad en criptomonedas desarrolla estos riesgos; también conviene reconocer las señales de phishing en criptomonedas y otras estafas en criptomonedas.
La falsa entrevista deja una advertencia que va más allá de Binance: un proceso que parece legítimo puede utilizarse para comprometer a una persona y, a través de ella, a sistemas críticos. Para el sector, el reto es reforzar los controles humanos y técnicos a la vez; para el usuario, no confundir el tamaño de una plataforma con una garantía absoluta de seguridad ni convertir un incidente grave en una razón para actuar con precipitación.
