El hackeo que provocó un impacto de 6.300 millones de dólares (5.650 millones de euros) en Binance, una de las mayores plataformas de intercambio de criptomonedas del mundo, fue el resultado de una operación de ciberataque planificada durante varios meses y que incluyó técnicas de ingeniería social, programas maliciosos y falsas entrevistas de trabajo. Así lo revela la investigación interna iniciada por la compañía para reconstruir el origen y el desarrollo de la intrusión.
Según la cronología facilitada por Binance, los primeros indicios del ataque se remontan a junio, cuando un ingeniero del equipo de infraestructura de monederos descargó una instalación manipulada mientras buscaba una herramienta de programación basada en inteligencia artificial. Aunque el equipo de seguridad detectó la anomalía, sustituyó el dispositivo afectado y renovó las credenciales, los atacantes ya habían conseguido información sobre las funciones del ingeniero y de otros miembros de su equipo.
La operación dio un nuevo paso en septiembre. Un segundo ingeniero recibió el contacto de un supuesto director de proyecto a través de una plataforma oficial de búsqueda de empleo. El interlocutor organizó dos entrevistas: una videoconferencia con un falso responsable de Recursos Humanos y otra conversación por chat con un supuesto consejero delegado de una empresa ficticia.
Al término de esta última entrevista, el candidato recibió el encargo de descargar una supuesta tarea técnica en su ordenador de trabajo. El archivo contenía un repositorio que ejecutaba código malicioso durante el proceso de instalación.
El programa infiltrado sustituyó un componente legítimo de una herramienta de desarrollo por una versión manipulada, lo que permitió a los atacantes ejecutar comandos, conectarse a un servidor bajo su control y eliminar rastros de la actividad. Las herramientas de protección de los dispositivos no consiguieron identificar este malware, que aprovechaba una vulnerabilidad de día cero.
La investigación sitúa el siguiente hito el 20 de octubre, cuando los atacantes utilizaron uno de los equipos comprometidos y una herramienta interna de inteligencia artificial para acceder a las máquinas de un ingeniero de DevOps y de otro profesional del área de software. En uno de estos dispositivos localizaron un token con permisos para desplegar contenedores, una credencial que posteriormente resultaría determinante para ejecutar el ataque.
El incidente se materializó el 29 de octubre. Entre las 17.15 y las 19.56 horas, el atacante accedió al ordenador del segundo ingeniero, utilizó las credenciales sustraídas, desplegó un contenedor y activó un script malicioso que permitió intervenir en las operaciones de firma de los monederos de criptomonedas.
La secuencia evidencia la complejidad de una intrusión que no se limitó a explotar una vulnerabilidad tecnológica, sino que combinó el compromiso progresivo de dispositivos, la suplantación de identidades profesionales y el aprovechamiento de permisos internos para alcanzar sistemas críticos de la plataforma.
Refuerzo de controles
Tras detectar el ataque, Binance reconstruyó los sistemas de monederos y la herramienta de inteligencia artificial afectados, sustituyó los dispositivos comprometidos y revocó las credenciales y los tokens que podían haber quedado expuestos. La compañía también ha reforzado los mecanismos de análisis de seguridad, detección de anomalías y control de riesgos.
La plataforma asegura, además, que ha detectado y frustrado 57 intentos de ciberataque presuntamente vinculados a Corea del Norte en lo que va de 2026, aunque no ha atribuido de forma concluyente a este país la autoría del incidente investigado.
La compañía ha decidido mantener en reserva algunos de los detalles de las medidas de protección adoptadas para evitar que puedan ser aprovechados por otros posibles atacantes. Mientras tanto, la investigación continúa abierta.
El caso vuelve a poner de relieve los riesgos de ciberseguridad a los que se enfrenta el sector de los activos digitales, especialmente cuando los atacantes consiguen superar las barreras tecnológicas mediante la manipulación de los propios empleados y el acceso a credenciales con privilegios elevados.