El co-CEO de Binance, Richard Teng, afirma que los atacantes utilizaron herramientas de desarrollo manipuladas, falsas entrevistas de trabajo, malware y herramientas internas de IA para infiltrarse en los sistemas del exchange antes de sustraer más de 6.300 millones de dólares en criptoactivos el 29 de octubre. Binance cifra los activos afectados en 6.340 millones de dólares y asegura que ha recuperado el 98%. La plataforma sigue trabajando para reponer el resto, en particular los activos con menor liquidez.
El incidente ha puesto el foco en los procesos de autorización de operaciones con monederos, la seguridad de los dispositivos de los empleados y los controles de acceso a las herramientas internas de los grandes exchanges centralizados. Binance asegura que ha reconstruido los sistemas de monederos afectados y sus herramientas internas de IA, y que expertos independientes revisarán su respuesta.
Binance sitúa en junio el inicio de los preparativos
En un informe de seguridad publicado el martes, Binance señaló que los preparativos del ataque podrían remontarse a junio. Un ingeniero que trabajaba en DevOps para Binance Wallet buscó en internet una popular herramienta de programación con IA y descargó un instalador de Homebrew manipulado.
Binance detectó actividad sospechosa y, como medida preventiva, sustituyó el dispositivo del ingeniero y renovó las credenciales pertinentes. Sin embargo, el informe indica que, antes de esas medidas, los atacantes ya habían obtenido información sobre el puesto del empleado y sus compañeros del equipo de infraestructura de monederos.
Teng afirmó que los atacantes dedicaron meses a consolidar su acceso. Rechazó que el incidente se debiera a un único fallo relacionado con el portátil de un empleado y señaló que en septiembre también fue objetivo otro ingeniero.
Entrevistas de trabajo falsas sirvieron para distribuir malware
Según Teng, en septiembre los atacantes se hicieron pasar por reclutadores y realizaron varias entrevistas de trabajo a un ingeniero. Durante el proceso, le enviaron una prueba de programación que incluía malware diseñado para eludir las protecciones de seguridad. Después, utilizaron herramientas internas de IA de Binance para ampliar sus operaciones y consiguieron acceso que les permitió sortear el sistema de autorización de transacciones de los monederos.
El relato apunta a que los atacantes no dependieron de un solo dispositivo comprometido, sino que combinaron el contacto directo, la instalación de software y el acceso a sistemas internos. Binance afirma que desactivó los dispositivos afectados y revocó las credenciales y los tokens asociados a los ingenieros implicados. También amplió los análisis de seguridad en los dispositivos de sus empleados.
Recuperado el 98% de los activos; hubo restricciones de retirada
Binance asegura que ha recuperado el 98% de los activos afectados y que está comprando los que aún no ha repuesto, incluidos algunos tokens con menor liquidez. Tras el incidente, la plataforma restringió temporalmente algunas retiradas, se comprometió a cubrir las pérdidas de los clientes y utilizó reservas propias para reponer los activos afectados.
Empresas del sector como Tether, Circle y Ripple colaboraron con Binance y otros participantes para congelar unos 3.000 millones de dólares en activos. Aun así, parte de los fondos robados se movió a través de canales de blanqueo de capitales. Coinbase dijo que bloqueó las transferencias a los monederos afectados y prestó asistencia directa a Binance.
Teng no atribuyó directamente el ataque a Corea del Norte, aunque reconoció que el FBI lo había vinculado con piratas informáticos norcoreanos y con el grupo TraderTraitor. La atribución sigue siendo parte de la investigación. Binance afirma que colabora con las fuerzas de seguridad y con socios del sector para rastrear y congelar los fondos sustraídos.
Expertos independientes revisarán la respuesta de Binance
Teng señaló que Binance designará expertos independientes para revisar cómo gestionó el incidente y que seguirá reforzando sus defensas mientras avanza la investigación. La plataforma afirma que reconstruyó los sistemas de monederos afectados y las herramientas internas de IA, sustituyó los dispositivos comprometidos, revocó las credenciales y los tokens pertinentes y amplió los análisis de los equipos de sus empleados.
El ataque puso a prueba brevemente la confianza en los exchanges centralizados de criptomonedas. Binance sostiene que mantiene una posición financiera sólida y que sus prioridades son localizar vulnerabilidades, recuperar los activos pendientes y evitar que se repita un incidente similar. Los usuarios y el mercado seguirán de cerca la recuperación de los fondos restantes, el recorrido que hayan seguido y las conclusiones de la revisión independiente.