Binance detalla el ciberataque de 6.340 millones de dólares

Cómo entraron los atacantes

Según Binance, el primer paso llegó en junio de 2026, cuando un ingeniero descargó un gestor de paquetes Homebrew falso para instalar una «popular herramienta de IA para programar». El equipo de seguridad detectó una anomalía, sustituyó el dispositivo y renovó las credenciales asociadas. Pero los atacantes ya habían averiguado el puesto del empleado y el de sus compañeros.

En septiembre, otro desarrollador participó en una entrevista de trabajo falsa. Tras dos entrevistas en línea, le pidieron descargar una «tarea» en su ordenador de trabajo, que contenía código malicioso. Además, los atacantes tomaron medidas para borrar sus huellas. En lo que va de año, el equipo de seguridad asegura haber frenado 57 amenazas presuntamente vinculadas a Corea del Norte.

La fase final

El 20 de octubre, los hackers usaron el ordenador comprometido y una herramienta interna de IA para acceder a los datos de dos empleados; uno de ellos tenía los permisos necesarios. La noche del 29 de octubre se conectaron a un dispositivo, utilizaron las credenciales robadas y ejecutaron un script malicioso.

El 31 de octubre, el FBI atribuyó el ataque a Corea del Norte. Pionyang calificó las acusaciones de «retórica absurda».

El caso muestra cómo una campaña paciente de ingeniería social dirigida a desarrolladores, con software falso y falsos procesos de selección, puede acabar en pérdidas de esta magnitud en un gran exchange. Binance no ha indicado cuándo concluirá la revisión independiente.