Binance ha explicado cómo un grupo de atacantes vinculado a Corea del Norte logró robar unos 6.340 millones de dólares en criptomonedas el 29 de octubre de 2026. La operación arrancó meses antes con una falsa oferta de empleo y terminó explotando un mecanismo de autorización de Ethereum para vaciar una de sus wallets calientes sin que el exchange pudiera revocar el acceso de inmediato.
El FBI atribuye el asalto al clúster TraderTraitor, vinculado a Corea del Norte, según un informe técnico sobre el incidente. De los fondos sustraídos, Binance ha logrado congelar o interceptar unos 2.850 millones de dólares, pendientes de conciliación y sujetos a la volatilidad del mercado. El exchange ha asumido el impacto económico de forma íntegra y asegura que el 31 de octubre ya había repuesto el 98% de los tokens afectados. Te contamos, paso a paso, cómo entraron hasta el corazón de su infraestructura.
¿Cómo colaron una oferta de empleo falsa entre los ingenieros de Binance?
Todo arrancó en junio, meses antes del golpe final. Un ingeniero del equipo de Wallet DevOps descargó un instalador de Homebrew manipulado mientras intentaba instalar una herramienta de programación con inteligencia artificial. Binance sustituyó el equipo y rotó las credenciales en cuanto detectó el problema, pero sus investigadores creen que ese primer contacto ya había dejado expuestos al ingeniero y a varios compañeros de su entorno.
El segundo golpe llegó en septiembre a través de una plataforma de reclutamiento legítima. Un supuesto director de proyecto contactó con otro ingeniero y organizó entrevistas con una falsa representante de recursos humanos y un falso consejero delegado. El primer entrevistador usó videollamada y un perfil social con fotografías personales para resultar creíble. En la segunda entrevista, el ingeniero descargó un repositorio con una prueba técnica en su equipo de trabajo: el código sustituyó el componente legítimo pyenv por un ejecutable alterado, creó un enlace simbólico que apuntaba al archivo malicioso y lanzó una shell zsh.
¿Qué pasó el 29 de octubre y cómo sigue el rastro del dinero robado?
El 20 de octubre, los atacantes dieron el salto definitivo: desde el equipo ya comprometido, y apoyándose en una herramienta interna de inteligencia artificial, llegaron a los ordenadores de otros dos ingenieros. En uno de ellos encontraron un token de permisos para desplegar contenedores, la llave que les faltaba para alcanzar la infraestructura privilegiada del exchange.
El golpe se ejecutó el 29 de octubre, entre las 17:15 y las 19:56 UTC. Los intrusos accedieron al ordenador de otro ingeniero, usaron las credenciales robadas, desplegaron un contenedor y lanzaron el script malicioso que desencadenó las transferencias no autorizadas. Entre los activos movidos figuran 233,46 millones de XRP, unos 970.500 SOL, 44,2 millones de OP y 18.270 BTC.
Puedes ver el mensaje que ha publicado Binance en su perfil en la red social X (@binance):
Binance@binancehttps://t.co/sU9dUqLQDHX – The Everything AppDe x.com03 de noviembre, 2026 • 15:33
8.3K
1.9K
La razón por la que Binance tardó horas en detener la sangría está en el abuso del mecanismo EIP-7702 de Ethereum contra el servicio interno de firma de wallets. Los atacantes consiguieron que un contrato bajo su control obtuviera permiso de ejecución sobre una hot wallet y enviaron 50 transacciones de firma para manipular los nonces de la cuenta y mantener activas esas delegaciones, incluso después de que Binance suspendiera los retiros. La wallet operaba con computación multipartita (MPC), así que no existía una única clave privada para revocar el acceso de forma inmediata y el equipo de respuesta tuvo que diseñar un procedimiento específico sobre la marcha. La última transferencia no autorizada, de 2.961,9 ETH, se completó a las 23:56 UTC; Binance no anuló la delegación hasta las 00:10 UTC del 30 de octubre.
Binance ha reconstruido los sistemas afectados, sustituido los dispositivos comprometidos, revocado las credenciales expuestas y reforzado la monitorización interna tras el ataque. La investigación sigue abierta.
El aviso de atribución del FBI advierte de que los atacantes están convirtiendo la mayor parte de los fondos robados en ETH antes de blanquearlos mediante finanzas descentralizadas (DeFi) y servicios de intercambio instantáneo, plataformas que permiten cambiar una criptomoneda por otra sin pasar por la verificación de identidad de un exchange tradicional. Saltar entre varias redes de este tipo dificulta seguir el rastro del dinero antes de que llegue a una plataforma regulada. Si gestionas criptoactivos en un exchange con custodia MPC como la de Binance, este episodio deja claro cuánto puede tardar el sistema en frenar un acceso ya autorizado.