Binance asegura que identificó y frenó 57 ciberamenazas sospechosas vinculadas a Corea del Norte en 2026. Sin embargo, una falsa entrevista de trabajo llevó a un ingeniero a descargar malware y permitió a los atacantes acceder a la infraestructura de firma de wallets del exchange. La compañía detalló la intrusión en un informe de seguridad publicado el 3 de noviembre. El 31 de octubre, el FBI atribuyó a la operación norcoreana TraderTraitor el robo de unos 6.340 millones de dólares en criptoactivos, ocurrido el 29 de octubre. El incidente muestra cómo los procesos de contratación y los entornos de desarrollo pueden abrir una vía de entrada a las plataformas de criptomonedas, incluso cuando se detectan y bloquean otras amenazas.
Del instalador manipulado a los sistemas de firma de wallets
Binance situó en junio la primera actividad relacionada que logró identificar. Un ingeniero responsable de la infraestructura de wallets descargó un instalador de Homebrew manipulado mientras configuraba una popular herramienta de programación con IA. Tras detectar actividad inusual, el equipo de seguridad sustituyó el dispositivo del empleado y renovó las credenciales pertinentes. Para entonces, los atacantes ya habían obtenido información sobre su puesto y sus compañeros.
En septiembre, los atacantes contactaron con otro ingeniero de software a través de una plataforma legítima de contratación. Se hicieron pasar por el responsable de proyectos de una empresa ficticia. Después, una persona que dijo trabajar en recursos humanos realizó una entrevista por videollamada y compartió cuentas en redes sociales con fotos y vídeos personales para parecer creíble. En una segunda entrevista, otra persona afirmó ser la directora ejecutiva de la compañía.
Al final del proceso, pidieron al ingeniero que descargara una prueba de programación en su ordenador de trabajo. El repositorio parecía un proyecto de desarrollo convencional, pero durante la instalación se ejecutó malware que sustituyó componentes de herramientas legítimas y se conectó a un servidor controlado por los atacantes. Binance indicó que el malware, hasta entonces desconocido, logró eludir el software de seguridad de los dispositivos y ocultar señales de la intrusión.
Para el 20 de octubre, los atacantes habían utilizado el ordenador comprometido y una herramienta interna de IA para ampliar el control sobre los dispositivos de dos ingenieros, incluido el del empleado afectado en junio. Después consiguieron un token de despliegue de contenedores. Nueve días más tarde, utilizaron credenciales robadas para desplegar un contenedor malicioso y acceder a la infraestructura de firma de wallets de Binance.
La compañía afirma que los atacantes sortearon los procedimientos habituales de retirada para iniciar transferencias no autorizadas de activos en varias redes blockchain. Binance no ha precisado cuántas de las 57 amenazas bloqueadas implicaban entrevistas falsas ni si otros casos estaban directamente relacionados con los responsables de la intrusión de octubre.
Binance detalla las medidas adoptadas
He Yi, codirectora ejecutiva de Binance, señaló que los equipos de seguridad de la compañía identificaron y detuvieron 57 ciberamenazas sospechosas vinculadas a Corea del Norte en 2026. Entre los métodos mencionó falsas entrevistas de trabajo, malware disfrazado de herramientas de desarrollo de uso extendido, paquetes de software y extensiones de navegador manipulados, aplicaciones de videoconferencia fraudulentas y ataques de ingeniería social destinados a robar credenciales o instalar programas de acceso remoto. He Yi reconoció que, aunque se bloquearon muchos ataques, no haber detenido uno tuvo consecuencias graves y no debería haber ocurrido.
Tras el incidente, Binance sustituyó los dispositivos de los empleados afectados, revocó las credenciales expuestas y reconstruyó la infraestructura de wallets comprometida. También anunció que reforzará la protección de los entornos de desarrollo y ampliará la supervisión de comportamientos mediante IA. El informe no explica cómo responderán esas medidas, en concreto, a la fase de contratación utilizada en este ataque.
Una táctica de contratación ya observada en operaciones norcoreanas
El método coincide con tácticas que investigadores de seguridad y autoridades estadounidenses siguen desde hace años. En septiembre de 2024, el FBI advirtió de que hackers norcoreanos empleaban ofertas de trabajo personalizadas, identidades falsas elaboradas y comunicaciones prolongadas para infiltrarse en empresas de criptomonedas. Los profesionales con conocimientos técnicos avanzados también podían ser objetivo de estafas adaptadas a su trayectoria laboral.
En junio de 2026, investigadores de Kudelski Security documentaron una operación denominada «Contagious Interview». Los atacantes se hacían pasar por reclutadores en LinkedIn, WhatsApp y Discord y luego convencían a desarrolladores para que ejecutaran código malicioso. En septiembre, investigadores de Atlassian identificaron pruebas técnicas falsas alojadas en plataformas de desarrollo conocidas, con instrucciones maliciosas ocultas en proyectos aparentemente legítimos.
Estos casos muestran cómo los atacantes pueden aprovechar los procesos de selección y las herramientas de desarrollo para ganarse la confianza de sus objetivos antes de ampliar el acceso a los sistemas corporativos. El relato de Binance también indica que la infección del dispositivo en junio no impidió que los atacantes recurrieran más adelante a las conexiones entre empleados y a herramientas internas para extender su acceso. La compañía no ha publicado el desglose de las 57 amenazas bloqueadas ni ha identificado qué salvaguardas fallaron en este caso. Sí ha confirmado que la intrusión alcanzó la infraestructura de firma de wallets y dio lugar a transferencias no autorizadas en varias redes blockchain.