Binance: falsas entrevistas y una herramienta de IA tras el robo de 6.300 M$

En septiembre, otro ingeniero fue abordado por alguien que fingía querer contratarlo. Esa persona organizó llamadas y varias rondas de entrevistas, compartió perfiles de redes sociales para ganarse su confianza y acabó convenciéndolo de descargar una supuesta tarea de la entrevista que en realidad era malware. Binance indica que sus herramientas de protección de equipos no lo detectaron. El software sustituyó el ejecutable de pyenv por una versión maliciosa, abrió una puerta trasera hacia un servidor externo y borró rastros.

Para el 20 de octubre, los atacantes habían usado la herramienta de IA interna de Binance para controlar las carteras del primer ingeniero comprometido y de un tercer empleado, afirma la compañía. El 29 de octubre accedieron al ordenador de este último y lanzaron el ataque.

Por qué no se frenó antes

Las transacciones continuaron casi dos horas después de las primeras transferencias no autorizadas. Como la hot wallet usaba computación multipartita (MPC), no existía una única clave privada capaz de revocar de inmediato las autorizaciones EIP-7702 maliciosas, explica Binance.

El CEO, Richard Teng, escribe que ningún usuario asume la pérdida y que unos 2.850 millones de dólares en activos robados fueron congelados o interceptados. Según él, el 98 % de los tokens afectados ha sido repuesto, se completa el 2 % restante y los retiros se han reanudado en general. Binance añade que ha evitado 57 casos de amenazas atribuidas a Corea del Norte.

Queda sin aclarar por qué funcionó este ataque: los riesgos de las entrevistas que piden ejecutar código se conocen desde hace años, y apenas hay detalles sobre la herramienta de IA interna.