El hackeig que va provocar un impacte de 6.300 milions de dòlars (5.650 milions d'euros) a Binance, una de les plataformes d'intercanvi de criptomonedes més grans del món, va ser el resultat d'un ciberatac planificat durant diversos mesos i que va incloure tècniques d'enginyeria social, programes maliciosos i falses entrevistes de feina. Així ho revela la investigació interna iniciada per la companyia per reconstruir l'origen i el desenvolupament de la intrusió.

Segons la cronologia facilitada per Binance, els primers indicis de l'atac es remunten al juny, quan un enginyer de l'equip d'infraestructura de moneders va descarregar una instal·lació manipulada mentre buscava una eina de programació basada en intel·ligència artificial. Tot i que l'equip de seguretat va detectar l'anomalia, va substituir el dispositiu afectat i va renovar les credencials, els atacants ja havien aconseguit informació sobre les funcions de l'enginyer i d'altres membres del seu equip.

L'operació va fer un nou pas al setembre. Un segon enginyer va rebre el contacte d'un suposat director de projecte a través d'una plataforma oficial de recerca de feina. L'interlocutor va organitzar dues entrevistes: una videoconferència amb un fals responsable de recursos humans i una altra conversa per xat amb un suposat conseller delegat d'una empresa fictícia.

Al final d'aquesta última entrevista, el candidat va rebre l'encàrrec de descarregar una suposada tasca tècnica al seu ordinador de feina. L'arxiu contenia un repositori que executava codi maliciós durant el procés d'instal·lació.

El programa infiltrat va substituir un component legítim d'una eina de desenvolupament per una versió manipulada, fet que va permetre als atacants executar ordres, connectar-se a un servidor sota el seu control i eliminar rastres de l'activitat. Les eines de protecció dels dispositius no van aconseguir identificar aquest malware, que aprofitava una vulnerabilitat de dia zero.

La investigació situa la següent fita el 20 d'octubre, quan els atacants van utilitzar un dels equips compromesos i una eina interna d'intel·ligència artificial per accedir a les màquines d'un enginyer de DevOps i d'un altre professional de l'àrea de programari. En un d'aquests dispositius van localitzar un token amb permisos per desplegar contenidors, una credencial que posteriorment resultaria determinant per executar l'atac.

L'incident es va materialitzar el 29 d'octubre. Entre les 17.15 i les 19.56 hores, l'atacant va accedir a l'ordinador del segon enginyer, va utilitzar les credencials sostretes, va desplegar un contenidor i va activar un script maliciós que va permetre intervenir en les operacions de signatura dels moneders de criptomonedes.

La seqüència evidencia la complexitat d'una intrusió que no es va limitar a explotar una vulnerabilitat tecnològica, sinó que va combinar el compromís progressiu de dispositius, la suplantació d'identitats professionals i l'aprofitament de permisos interns per assolir sistemes crítics de la plataforma.

Reforç de controls

Després de detectar l'atac, Binance va reconstruir els sistemes de moneders i l'eina d'intel·ligència artificial afectats, va substituir els dispositius compromesos i va revocar les credencials i els tokens que podien haver quedat exposats. La companyia també ha reforçat els mecanismes d'anàlisi de seguretat, detecció d'anomalies i control de riscos.

La plataforma assegura, a més, que ha detectat i frustrat 57 intents de ciberatac presumptament vinculats a Corea del Nord des de principis de 2026, tot i que no ha atribuït de forma concloent a aquest país l'autoria de l'incident investigat.

La companyia ha decidit mantenir en reserva alguns dels detalls de les mesures de protecció adoptades per evitar que puguin ser aprofitats per altres possibles atacants. Mentrestant, la investigació continua oberta.

El cas torna a posar en relleu els riscos de ciberseguretat a què s'enfronta el sector dels actius digitals, especialment quan els atacants aconsegueixen superar les barreres tecnològiques mitjançant la manipulació dels mateixos empleats i l'accés a credencials amb privilegis elevats.