Qué pasó
- Binance publicó el 3 de noviembre de 2026 un informe de incidente sobre el robo de criptomonedas del 29 de octubre, valorado en US$ 6.300 millones. BleepingComputer lo reportó ese mismo día.
- El FBI atribuyó el ataque a hackers patrocinados por el Estado norcoreano conocidos como TraderTraitor, también rastreados como Lazarus Group, Jade Sleet y APT38.
- Según Binance, todo empezó en septiembre, cuando un ingeniero de software fue contactado en una plataforma legítima de búsqueda de empleo por alguien que se hacía pasar por director de proyecto de una empresa ficticia.
- Tras dos entrevistas, una por video con una supuesta encargada de recursos humanos y otra por una aplicación de chat con un supuesto gerente general, el ingeniero descargó una prueba técnica desde un repositorio de código. Ese código instaló malware que los antivirus no detectaron.
Por qué importa
- El ataque no empezó con una falla técnica sino con una oferta de trabajo creíble dirigida a alguien cuyo perfil mencionaba su experiencia en Binance.
- “El malware de día cero no fue detectado por las herramientas de protección de endpoints en ese momento”, escribió la empresa.
- Desde ese computador, los atacantes llegaron a la infraestructura de billeteras: hacia el 20 de octubre habían comprometido a dos empleados más que trabajaban en ella y obtenido credenciales y un token de despliegue de contenedores.
El dato
US$ 2.850 millones. Es lo que se había congelado o interceptado de los activos robados al 3 de noviembre, según BleepingComputer.
Contexto
El malware reemplazó un componente legítimo de una herramienta de desarrollo para ejecutar órdenes y comunicarse con un servidor de los atacantes. En concreto, creó un ejecutable falso en la carpeta de instalación de Homebrew en macOS, borró el pyenv legítimo y tomó su lugar. El 29 de octubre, con las credenciales robadas, los atacantes desplegaron un script y entraron al servicio de firma de billeteras de Binance, lo que les permitió transferir criptomonedas por varias cadenas de bloques. Además abusaron del mecanismo de autorización EIP-7702 de Ethereum para seguir robando después de que la plataforma suspendió los retiros. Binance dice que reconstruyó los sistemas afectados, reemplazó los equipos comprometidos y revocó las credenciales robadas.
En Mamífero seguimos las brechas y sus vías de entrada. Contamos que Quest Diagnostics confirmó que un atacante accedió a registros de pacientes y que Anthropic cerró sesiones de Claude robadas por malware. En confianza digital, Firefox, Chrome y Apple bloquearon ocho certificados de eMudhra, y en criptografía, Project Eleven y Relm exploran si la defensa poscuántica abarata seguros.
Qué viene
- Binance sigue rastreando los fondos robados junto con otras plataformas y autoridades.
- El informe entrega detalles técnicos, como el reemplazo de pyenv, que otros equipos pueden buscar en sus propios equipos.
- Las ofertas de empleo falsas dirigidas a ingenieros de empresas de criptomonedas siguen siendo una vía de entrada documentada.
Cierre
El robo de Binance no empezó en la cadena de bloques sino en una entrevista de trabajo. Una prueba técnica descargada por un ingeniero bastó para que, seis semanas después, los atacantes firmaran transacciones como si fueran la empresa.
Fuentes
- BleepingComputer, “Binance says fake job interview led to $6.3 billion crypto heist”, 3 de noviembre de 2026, bleepingcomputer.com. Reproduce el informe de incidente de Binance, que no pudo leerse directamente.
- TechCrunch, “Researchers warned of North Korean hacking tactics years before record $6.3B Binance heist”, 3 de noviembre de 2026, techcrunch.com
- Imagen de portada: Bretwa, CC BY-SA 4.0, vía Wikimedia Commons
Editado por Rodrigo Cornejo. Quiénes escriben las notas
