Robo en Binance: entrevista falsa y ciberataque millonario
➤Summary
El robo en Binance de aproximadamente 6.340 millones de dólares en criptomonedas, ocurrido el 29 de octubre de 2026, comenzó mucho antes de que los atacantes ejecutaran las transferencias fraudulentas. Según la investigación inicial de la plataforma, los ciberdelincuentes utilizaron entrevistas laborales falsas, software malicioso y credenciales comprometidas para infiltrarse progresivamente en sistemas relacionados con sus carteras digitales.
El incidente demuestra cómo una operación de ingeniería social cuidadosamente preparada puede convertirse en una amenaza para infraestructuras financieras críticas. También plantea preguntas importantes sobre la seguridad de los entornos de desarrollo, las herramientas internas de inteligencia artificial y la gestión de accesos privilegiados.
¿Cómo se produjo el robo en Binance?
El 3 de noviembre de 2026, Binance publicó su informe inicial sobre el incidente del 29 de octubre, confirmando que se habían visto afectados activos digitales valorados en aproximadamente 6.340 millones de dólares.
La investigación describió una operación desarrollada durante varios meses, en lugar de un ataque puntual.
Los ciberdelincuentes combinaron distintas técnicas para comprometer equipos de empleados relacionados con la infraestructura de carteras de criptomonedas.
Posteriormente, utilizaron los accesos obtenidos para interactuar sin autorización con un servicio interno de firma de transacciones.
La cronología publicada por Binance permite identificar las principales fases de la operación.
Cronología del ciberataque: de junio a octubre de 2026
Junio: una descarga maliciosa
El primer episodio identificado afectó a un ingeniero del equipo Wallet DevOps.
Mientras buscaba una herramienta de programación asistida por inteligencia artificial, el empleado descargó una instalación manipulada mediante Homebrew.
El equipo de seguridad detectó una anomalía, reemplazó el dispositivo y renovó las credenciales relacionadas.
Sin embargo, según Binance, los atacantes habían obtenido información sobre las responsabilidades del empleado y sus compañeros.
Septiembre: una oportunidad laboral falsa
Un segundo ingeniero recibió un mensaje a través de una plataforma legítima de búsqueda de empleo.
El supuesto reclutador afirmaba representar a una empresa ficticia y organizó varias entrevistas.
Durante una videollamada, una persona que se hacía pasar por responsable de recursos humanos presentó una identidad aparentemente creíble.
Posteriormente, otro interlocutor, supuestamente el director ejecutivo, solicitó al candidato completar un ejercicio de programación.
El empleado descargó un repositorio que contenía código malicioso.
Según la compañía, el malware consiguió ejecutarse sin ser detectado inicialmente por las protecciones del dispositivo.
Octubre: acceso a sistemas críticos
El 20 de octubre, los atacantes aprovecharon el equipo comprometido y una herramienta interna de inteligencia artificial para ampliar su acceso a otros empleados vinculados a las carteras.
Durante esta actividad identificaron un token con permisos de despliegue.
El 29 de octubre utilizaron credenciales y dispositivos comprometidos para ejecutar una operación maliciosa contra el servicio interno de firma de transacciones.
El resultado fue la transferencia no autorizada de criptomonedas a direcciones controladas por los atacantes.
¿Cuánto dinero consiguieron sustraer los hackers?
Según el informe oficial de Binance sobre el incidente, los activos afectados ascendieron aproximadamente a 6.340 millones de dólares.
La operación incluyó movimientos de XRP, SOL, OP, BTC y otras criptomonedas a través de diferentes redes.
La compañía informó de que había logrado congelar o interceptar aproximadamente 2.850 millones de dólares, una cifra sujeta a conciliación y fluctuaciones del mercado.
También aseguró que asumiría el impacto financiero sobre los clientes.
A fecha del 31 de octubre, Binance declaró haber repuesto el 98 % de los activos afectados, medidos en tokens.
Estas cifras corresponden a la información inicial publicada por la empresa y podrían actualizarse conforme avance la investigación.
¿Quién está detrás del robo en Binance?
La investigación apunta a actores vinculados con Corea del Norte.
El FBI atribuyó el incidente a la República Popular Democrática de Corea, mientras que diferentes investigaciones periodísticas relacionaron las técnicas empleadas con campañas conocidas de ciberespionaje financiero.
Entre los grupos asociados históricamente a operaciones similares figura Lazarus Group.
Sin embargo, atribuir una operación a un Estado o grupo concreto requiere distinguir entre conclusiones oficiales, análisis técnicos y elementos todavía pendientes de verificación.
Corea del Norte ha rechazado las acusaciones sobre su participación.
Más allá de la atribución, el caso resulta especialmente relevante por la combinación de ingeniería social, compromiso de dispositivos y abuso de privilegios internos.
Las entrevistas laborales falsas como arma de ingeniería social
Una de las principales enseñanzas del incidente es que los ataques contra empresas tecnológicas no siempre comienzan con correos electrónicos sospechosos.
En este caso, los atacantes aprovecharon un proceso aparentemente habitual: una entrevista de trabajo.
La estrategia combinó varios elementos de credibilidad:
- Contacto mediante una plataforma legítima de empleo.
- Identidades profesionales aparentemente verificables.
- Videollamadas con supuestos responsables de contratación.
- Una empresa ficticia presentada como organización real.
- Un ejercicio técnico aparentemente relacionado con el puesto.
El objetivo era conseguir que la víctima ejecutara código proporcionado por desconocidos.
Este tipo de amenaza es especialmente preocupante para desarrolladores, administradores de sistemas y profesionales con acceso a infraestructura empresarial.
DarknetSearch ha analizado anteriormente la evolución de las estafas empresariales basadas en suplantación de identidad e ingeniería social.
El denominador común es la explotación de relaciones de confianza para obtener acceso o provocar decisiones perjudiciales.
El papel de la inteligencia artificial en el ataque
Otro aspecto relevante es la utilización de una herramienta interna de inteligencia artificial.
Según Binance, los atacantes aprovecharon el acceso a un equipo comprometido y la herramienta para avanzar hacia otros empleados de la infraestructura de carteras.
Esto no significa necesariamente que una inteligencia artificial autónoma organizara el ataque o realizara todas las operaciones.
La información publicada describe el uso de una herramienta interna como parte de una cadena de compromisos.
Para los responsables de seguridad, la lección es clara: las herramientas de IA también necesitan controles de acceso, supervisión y protección de los datos y sistemas con los que interactúan.
Un entorno corporativo puede ampliar involuntariamente las posibilidades de un atacante cuando los permisos entre aplicaciones y servicios no están suficientemente restringidos.
Credenciales comprometidas: el vínculo entre el acceso inicial y el robo
El incidente demuestra la importancia de proteger credenciales, tokens y permisos técnicos.
Tras comprometer dispositivos, los atacantes lograron utilizar accesos asociados a empleados para avanzar hacia sistemas de mayor sensibilidad.
En las infraestructuras modernas, estos secretos pueden autorizar operaciones críticas sin requerir una contraseña introducida manualmente.
Por eso, la protección de identidades debe incluir cuentas de servicio, tokens de despliegue y credenciales utilizadas por herramientas automatizadas.
La vigilancia de credenciales filtradas mediante Dark Web Monitoring puede aportar información adicional cuando existen exposiciones externas.
No obstante, no hay evidencia en el informe de Binance de que los accesos empleados procedieran de una filtración publicada en la Dark Web.
El vector descrito fue una combinación de malware, ingeniería social y accesos obtenidos durante la intrusión.
¿Por qué detener las retiradas no bastó para contener el ataque?
Uno de los aspectos técnicos más importantes fue el abuso del mecanismo EIP-7702 de Ethereum.
Según Binance, los atacantes consiguieron establecer autorizaciones que permitían a un contrato malicioso ejecutar determinadas operaciones sobre una cartera.
Estas autorizaciones existían en la blockchain, independientemente de los sistemas habituales de retirada de la plataforma.
Por tanto, suspender las retiradas no invalidaba automáticamente los permisos fraudulentos.
La arquitectura de firma multipartita de la cartera también complicó la revocación inmediata.
Binance tuvo que desarrollar y ejecutar un procedimiento específico para retirar las autorizaciones maliciosas.
Este episodio demuestra que la respuesta a incidentes debe contemplar las particularidades de los sistemas afectados, especialmente cuando existen permisos persistentes fuera de la infraestructura tradicional.
Medidas que deberían adoptar las empresas
El caso ofrece recomendaciones útiles para CISOs, equipos SOC y MSSPs:
- Verificar procesos de contratación externos. Desconfiar de repositorios o herramientas cuya ejecución se solicite durante entrevistas no verificadas.
- Aislar los entornos de desarrollo. Utilizar entornos controlados para analizar código desconocido.
- Proteger los accesos privilegiados. Aplicar permisos mínimos y controles adicionales sobre tokens de despliegue y servicios críticos.
- Supervisar las herramientas internas de IA. Revisar qué información y operaciones pueden alcanzar.
- Detectar comportamientos anómalos. Correlacionar actividad de dispositivos, identidades y sistemas sensibles.
- Investigar exposiciones externas. Comprobar si existen credenciales corporativas comprometidas en fuentes accesibles mediante inteligencia de amenazas.
- Preparar procedimientos específicos de contención. Identificar permisos que puedan persistir después de bloquear un servicio.
Una estrategia eficaz combina protección técnica, formación, inteligencia de amenazas y respuesta coordinada.
Preguntas frecuentes
¿Cuándo ocurrió el robo de Binance?
El robo principal se produjo el 29 de octubre de 2026. Sin embargo, Binance identificó actividades preparatorias desde junio y una campaña de entrevistas laborales fraudulentas en septiembre. La empresa publicó un informe inicial detallado el 3 de noviembre.
¿Los hackers utilizaron una entrevista falsa?
Sí. Según Binance, uno de sus ingenieros participó en entrevistas organizadas por supuestos representantes de una empresa ficticia. Durante el proceso recibió un ejercicio de programación cuyo repositorio contenía código malicioso.
¿Se recuperaron los 6.340 millones de dólares?
No se confirmó la recuperación íntegra de todos los activos. Binance informó de aproximadamente 2.850 millones de dólares congelados o interceptados y aseguró haber repuesto el 98 % de los tokens afectados a fecha del 31 de octubre.
¿Puede el Dark Web Monitoring prevenir ataques similares?
No puede garantizar su prevención. La inteligencia sobre credenciales expuestas y amenazas externas puede contribuir a identificar determinados riesgos, pero debe combinarse con controles de dispositivos, gestión de identidades, supervisión de accesos y formación contra ingeniería social.
Convertir la inteligencia de amenazas en protección empresarial
El robo en Binance demuestra que un ataque multimillonario puede comenzar con una interacción cotidiana aparentemente legítima. La combinación de ingeniería social, malware y privilegios comprometidos puede transformar un dispositivo individual en una vía hacia sistemas críticos.
Para las empresas, resulta fundamental comprender dónde están expuestos sus activos, qué credenciales pueden estar comprometidas y cómo evolucionan las técnicas de los atacantes.
DarknetSearch permite investigar riesgos digitales externos y obtener visibilidad sobre información comprometida y amenazas emergentes.
Si tu organización necesita reforzar la vigilancia de su exposición digital, puedes solicitar una demostración de DarknetSearch y explorar cómo integrar inteligencia de amenazas en sus procesos de seguridad.
Discover how CISOs, SOC teams, and risk leaders use our platform to detect leaks, monitor the dark web, and prevent account takeover.
🚀Explore use cases →