Binance dio a conocer un informe que detalla la operación que permitió el mayor hurto de la historia cripto, con un total de US$6.300 millones extraídos el 29 de octubre entre las 14:15 y 16:56 (hora de Argentina).

Según la compañía, los delincuentes llevaron a cabo una operación compleja y de varias fases que combinó software malicioso, inteligencia artificial comprometida y técnicas de ingeniería social.

Infiltración mediante entrevistas falsas

El primer punto de entrada se produjo en junio cuando un ingeniero de Wallet DevOps, identificado como “A”, descargó un programa manipulado bajo la apariencia de una herramienta popular de codificación de IA. El software instaló una capa maliciosa que comprometió sus credenciales.

“Nuestro equipo de seguridad detectó la anomalía, reemplazó el dispositivo y restauró todas las credenciales”, afirmó Binance.

Durante el año, la firma registró 57 incidentes de amenazas cibernéticas presuntamente vinculadas a Corea del Norte, muchas de ellas basadas en entrevistas laborales falsas, paquetes de software y extensiones de navegador comprometidos.

En septiembre, otro ingeniero, “B”, sostuvo una entrevista con un supuesto director de proyecto a través de una plataforma de empleo. En la segunda reunión, se le indicó descargar un repositorio que contenía código malicioso, el cual se activó al instalarse y comenzó a ejecutar comandos externos.

“El malware empleó técnicas sofisticadas de ofuscación y sustituyó un componente legítimo por una versión maliciosa para comunicarse con un servidor externo”, precisó Binance.

Últimas fases y ejecución del robo

El 20 de octubre, casi diez días antes del hurto, los atacantes usaron una herramienta interna de IA desde la computadora comprometida del ingeniero B para tomar control del dispositivo del ingeniero A y de otro ingeniero, “C”. Descubrieron que A poseía un token de permiso de despliegue de contenedores.

El 29 de octubre, entre las 14:15 y 16:56, el agresor accedió al ordenador de C, utilizó las credenciales robadas de A y activó un script que lanzó el ataque. Minutos después, cinco monederos de Binance transfirieron fondos por valor de US$6.300 millones.

“El atacante tomó medidas para ocultar la actividad maliciosa y eliminar rastros de la intrusión”, señaló la empresa.

Respuesta y recuperación

Binance aseguró que el 98 % de los tokens afectados fueron repuestos y que el dinero será devuelto a los clientes. La compañía bloqueó los puntos de entrada identificados, reconstruyó o sustituyó los sistemas comprometidos y reforzó los controles de dispositivos y la detección de anomalías.

Este episodio se suma a una serie de ciberamenazas atribuidas a actores vinculados a Corea del Norte, subrayando la creciente vulnerabilidad de los intercambios de criptomonedas ante ataques sofisticados.