Una entrevista de trabajo falsa ayudó a hackers a robar 6.3 mil millones de dólares de Binance. Los atacantes pasaron meses infiltrándose en el exchange, utilizando tácticas sobre las que otras empresas de criptomonedas ya habían advertido mucho antes del ataque.
El 3 de noviembre, Binance reveló que el ataque del 29 de octubre comenzó con dos ingenieros cuyas computadoras fueron comprometidas por separado.
El primer incidente ocurrió en junio, cuando un ingeniero descargó un paquete de software modificado mientras buscaba una herramienta de IA.
Binance detectó la infección, reemplazó la computadora y cambió las credenciales. Sin embargo, los atacantes ya habían recopilado información sobre el empleado y el equipo de wallets.
Después llegaron las entrevistas falsas.
Una oferta de trabajo falsa le costó a Binance más de 6 mil millones de dólares
En septiembre, otro ingeniero fue contactado a través de una plataforma legítima de reclutamiento. El supuesto empleador organizó entrevistas en video con una representante de recursos humanos y una persona haciéndose pasar por su CEO.
Finalmente, el ingeniero recibió una tarea de codificación. Los archivos descargados contenían malware que eludió el software de seguridad de la computadora.
Para el 20 de octubre, los atacantes ya usaban la computadora comprometida y una herramienta de IA interna para contactar a otros ingenieros de Binance.
Después, robaron credenciales de acceso y las usaron para introducir software malicioso en la infraestructura de wallets de Binance.
El 29 de octubre comenzaron los retiros fraudulentos. En pocas horas, se robaron aproximadamente 6.3 mil millones de dólares.
Binance dice que alrededor de 2.85 mil millones de dólares han sido congelados y el 98% de los tokens afectados se han reabastecido usando fondos de la empresa.
Otros exchanges ya habían advertido sobre estos ataques
La táctica de reclutamiento ya estaba bien documentada.
En mayo de 2025, Kraken expuso a un supuesto operativo norcoreano que intentaba unirse a su equipo de ingenieros.
Coinbase reveló otro caso sospechoso de infiltración en agosto de 2026, explicando cómo una actividad inusual les ayudó a identificar un posible contratista comprometido.
Aún más directamente, Microsoft advirtió en marzo que hackers relacionados con Corea del Norte estaban usando entrevistas falsas de programación para infectar computadoras de desarrolladores.
¿Por qué Binance no lo evitó?
Ahora hay tres preguntas de seguridad que se deben responder.
- ¿Por qué un empleado podía ejecutar una tarea de codificación no verificada en una computadora conectada a los sistemas de la empresa?
- ¿Por qué la infección de junio siguió teniendo consecuencias, incluso después de que Binance la detectó y resolvió?
- ¿Cómo es posible que las credenciales robadas hayan permitido a los atacantes acceder a sistemas que autorizan retiros por miles de millones de dólares?
Binance no ha explicado qué medidas de seguridad fallaron o si las advertencias previas de la industria llevaron a implementar nuevas protecciones.
El FBI atribuyó el robo al grupo TraderTraitor de Corea del Norte.
Para Binance, la pregunta principal es cómo una estafa de reclutamiento conocida llegó a afectar la infraestructura que protege miles de millones de dólares en activos de clientes.
