Don ingenieros bajo la lupa tras el robo del siglo a Binance

El robo de US$ 6.340 millones en criptomonedas a Binance comenzó mucho antes de que se registraran las primeras transferencias fraudulentas. Según el informe preliminar publicado por la compañía el 3 de noviembre, los atacantes desarrollaron una operación de infiltración progresiva que combinó ingeniería social, entrevistas laborales falsas, software malicioso y el aprovechamiento de una herramienta interna de inteligencia artificial.

La investigación de Binance describe un ataque de múltiples etapas que terminó comprometiendo un servicio interno encargado de firmar transacciones de billeteras digitales. Los delincuentes consiguieron ejecutar operaciones fuera del procedimiento habitual de retiros y, posteriormente, aprovechar un mecanismo de autorización de Ethereum para mantener el control de determinados movimientos incluso después de que la plataforma suspendiera las extracciones.

El informe constituye la primera reconstrucción detallada del incidente del 29 de octubre de 2026, considerado uno de los mayores robos de activos digitales registrados. Binance aseguró que asumirá las pérdidas y que ya logró congelar o interceptar aproximadamente US$ 2.850 millones.

Uno de los aspectos más relevantes del informe es la forma en que los atacantes consiguieron ingresar a la infraestructura tecnológica de Binance. La investigación sitúa un primer episodio en junio de 2026, cuando un ingeniero del área de operaciones de billeteras descargó una instalación de Homebrew alterada mientras intentaba instalar una herramienta de programación asistida por inteligencia artificial.

El equipo de seguridad detectó entonces la anomalía, reemplazó el dispositivo y renovó las credenciales asociadas. Sin embargo, según Binance, ese episodio permitió a los atacantes identificar funciones y relaciones entre integrantes del equipo responsable de la infraestructura de billeteras. La siguiente etapa se desarrolló en septiembre. Un segundo ingeniero recibió una propuesta laboral a través de una plataforma legítima de búsqueda de empleo. El supuesto reclutador organizó entrevistas por videollamada, presentó perfiles en redes sociales y simuló representar a una compañía tecnológica.

Durante una de las entrevistas, los atacantes solicitaron al empleado descargar en su computadora laboral un repositorio de código como parte de una prueba técnica. El archivo contenía malware que se ejecutó durante el proceso de configuración. El software malicioso reemplazó componentes de una herramienta legítima de desarrollo y estableció comunicaciones con servidores controlados por los atacantes.

Binance afirmó que el malware no fue detectado inicialmente por sus herramientas de protección de dispositivos, debido a técnicas de ocultamiento y evasión que la compañía describe como sofisticadas.

Cómo utilizaron una herramienta interna de inteligencia artificial

La investigación revela que el 20 de octubre los atacantes aprovecharon la computadora comprometida del segundo ingeniero y utilizaron una herramienta interna de inteligencia artificial como punto de apoyo para extender el acceso a otros integrantes del equipo tecnológico. A través de ese entorno consiguieron comprometer a otros dos ingenieros relacionados con los sistemas de billeteras.

Uno de ellos tenía almacenado en su computadora un token con permisos para desplegar contenedores, es decir, entornos de software utilizados para ejecutar aplicaciones y servicios. Ese permiso resultó decisivo. El 29 de octubre, los atacantes accedieron a la computadora de otro ingeniero y utilizaron las credenciales obtenidas previamente para desplegar un contenedor y ejecutar un programa malicioso contra la infraestructura de firma de transacciones.

El caso pone de manifiesto un riesgo creciente para las empresas que incorporan inteligencia artificial a sus procesos de desarrollo: las herramientas internas pueden convertirse en vías de propagación de un ataque cuando quedan conectadas con equipos comprometidos y sistemas que disponen de permisos privilegiados. El informe no afirma que un modelo de IA haya decidido realizar el ataque de manera autónoma. Describe, en cambio, cómo los delincuentes aprovecharon una herramienta interna comprometida para avanzar dentro de la organización.

El FBI atribuyó el ataque a Corea del Norte

El 31 de octubre, el FBI atribuyó el robo a actores vinculados con Corea del Norte, identificados bajo la denominación TraderTraitor. La agencia estadounidense informó que los responsables estaban convirtiendo parte de los activos sustraídos principalmente en Ether y advirtió sobre la posibilidad de que utilizaran servicios de finanzas descentralizadas e intercambios instantáneos para dificultar el seguimiento del dinero.

El FBI solicitó la colaboración de operadores blockchain, plataformas de intercambio y empresas especializadas en análisis de transacciones para bloquear movimientos asociados con las direcciones identificadas. La atribución del FBI aporta una dimensión geopolítica al incidente: el ataque no sería únicamente una operación delictiva contra una empresa privada, sino parte de las actividades de cibercriminalidad que Estados Unidos vincula con actores estatales norcoreanos.

En su comunicación del 3 de noviembre, Binance informó que había reservado recursos superiores al valor de los fondos robados y que, al 31 de octubre, había repuesto el 98% de los activos afectados, mientras continuaba adquiriendo los tokens restantes de menor liquidez. La compañía anunció además la reconstrucción de los sistemas de billeteras comprometidos, el reemplazo de dispositivos afectados, la desactivación de credenciales utilizadas durante el ataque y el fortalecimiento de los controles de seguridad.

Una advertencia para toda la industria financiera

El ataque contra Binance muestra que la seguridad de una plataforma financiera no depende exclusivamente de la fortaleza criptográfica de sus billeteras o de la protección de sus claves privadas. La vulnerabilidad puede encontrarse en la infraestructura organizacional que administra esos sistemas: computadoras de empleados, herramientas de programación, servicios internos de inteligencia artificial, credenciales de despliegue y procedimientos de autorización.

En este caso, Binance informó que no encontró evidencia de una filtración de claves privadas. Los delincuentes consiguieron, en cambio, comprometer los mecanismos utilizados para autorizar transacciones legítimas.

La diferencia es fundamental. Los atacantes no necesitaron quebrar la criptografía de las billeteras para ejecutar transferencias fraudulentas: consiguieron que parte de la infraestructura autorizara operaciones bajo su control. El episodio plantea un desafío que excede a las criptomonedas y alcanza también a bancos, empresas tecnológicas y organismos públicos. A medida que la inteligencia artificial se integra con entornos de desarrollo y sistemas de producción, la administración de permisos, la segmentación de redes y la protección de identidades privilegiadas adquieren una importancia estratégica.

El caso Binance deja una conclusión central: incluso cuando las claves criptográficas permanecen protegidas, un sistema financiero puede quedar expuesto si los atacantes consiguen controlar los procesos y servicios autorizados para utilizarlas.

El artículo se elaboró a partir del informe oficial de Binance del 3 de noviembre de 2026, las comunicaciones iniciales de la compañía y la alerta del FBI publicada el 31 de octubre.