Los detalles preliminares de la investigación interna de Binance sobre el masivo ciberataque, que resultó en una pérdida de 6.300 millones de dólares (5.650 millones de euros), indican que los perpetradores planificaron la operación durante varios meses. La línea de tiempo proporcionada por el intercambio muestra que la intrusión se originó en junio cuando un ingeniero del equipo de infraestructura de billeteras descargó una instalación manipulada mientras buscaba una herramienta de programación de IA. Aunque el equipo de seguridad detectó esta anomalía, reemplazó el dispositivo y rotó las credenciales, el atacante ya había obtenido visibilidad sobre los roles del ingeniero objetivo y sus colegas.

La campaña se intensificó en septiembre cuando un segundo ingeniero fue contactado en una plataforma oficial de búsqueda de empleo por un individuo que se hacía pasar por director de proyecto. Este esfuerzo de ingeniería social incluyó dos entrevistas: una videoconferencia con un falso gerente de recursos humanos y una sesión de chat con un presunto CEO de una empresa ficticia. Al concluir la entrevista final, se instruyó al ingeniero para que descargara una "tarea" en su computadora de trabajo, lo que ejecutó código malicioso durante la instalación.

Este malware de día cero reemplazó un componente legítimo de una herramienta de desarrollo con una versión maliciosa capaz de ejecutar comandos y conectarse a un servidor controlado por el atacante mientras borraba sus propias huellas. Las herramientas de protección estándar en los dispositivos no lograron detectar la intrusión. El 20 de octubre, el atacante utilizó la máquina comprometida y una herramienta interna de IA para apoderarse de la computadora de un ingeniero de DevOps y del sistema de otro ingeniero de software, ubicando finalmente un token con permisos de implementación de contenedores.

El ataque real ocurrió el 29 de octubre entre las 17:15 y las 19:56. Durante esta ventana, el intruso accedió a la computadora del segundo ingeniero utilizando credenciales robadas, desplegó un contenedor y activó un script malicioso para apuntar a las operaciones de firma de billeteras. Binance declaró que desde entonces ha reconstruido el sistema de billeteras afectado y la herramienta de IA, reemplazado los dispositivos, revocado todas las credenciales y tokens comprometidos y fortalecido su análisis de seguridad, detección de anomalías y controles de riesgo.

El intercambio también informó haber detectado y frustrado 57 intentos de ciberataque supuestamente vinculados a Corea del Norte durante todo el año 2026. Si bien Binance ha implementado contramedidas extensas, la compañía señaló que mantendrá algunas acciones específicas en confidencialidad para evitar ayudar a posibles atacantes futuros. La investigación sobre el incidente permanece abierta.

Fuentes: elDiario.es.