Un falso ejercicio de contratación ayudó a los atacantes a llegar a los sistemas de firma de billeteras de Binance, en una campaña que culminó con un robo de 6.340 millones de dólares, según afirmó la plataforma en su informe inicial del incidente, publicado el 3 de noviembre y recogido por SecurityWeek. Los equipos de tres ingenieros fueron comprometidos durante varios meses, y una herramienta de IA interna participó en la expansión de los atacantes por los sistemas de la empresa.
Desde entonces, los clientes han recuperado un acceso amplio a los retiros, según declaró el copresidente ejecutivo Richard Teng el 3 de noviembre, después de que Binance empezara a restablecerlos por fases el 1 de noviembre. Teng también afirmó que el 98 % de los tokens afectados había sido repuesto. Unos 2.850 millones de dólares en activos robados han sido congelados o interceptados.
El relato de Binance describe una serie de compromisos sucesivos que implicaron descargas de software, reclutadores suplantados y credenciales de despliegue robadas. Los atacantes lograron finalmente un acceso que les permitió autorizar transferencias, incluidas las realizadas mediante permisos en la blockchain que siguieron vigentes después de que la plataforma suspendiera los retiros.
Un ejercicio de contratación se convierte en punto de entrada
La primera fase identificada por Binance se produjo en junio. Un ingeniero responsable del desarrollo y las operaciones de las billeteras buscó en internet una popular herramienta de programación con IA y descargó una versión modificada de Homebrew, una herramienta de instalación de software.
Binance detectó ese compromiso, entregó un equipo de reemplazo y restableció las credenciales asociadas. Para entonces, sin embargo, los intrusos ya habían averiguado el trabajo del ingeniero y sus relaciones dentro del equipo de infraestructura de las billeteras.
En septiembre se convirtió en objetivo un segundo ingeniero. Alguien que se presentó como director de proyecto organizó dos entrevistas para un puesto en una empresa que no existía. El primer entrevistador se hizo pasar por representante de recursos humanos y usó un perfil en redes sociales con fotos y vídeos personales para generar confianza.
El siguiente entrevistador afirmó ser el director ejecutivo de la empresa. Esa conversación, mantenida a través de una aplicación de mensajería, llevó a una petición para que el ingeniero descargara una prueba de programación en su equipo de trabajo.
Al preparar la prueba se activó un código malicioso incluido en su repositorio, es decir, el conjunto de archivos del supuesto proyecto. La carga reemplazó un componente legítimo de una herramienta para desarrolladores por una versión suministrada por los atacantes y estableció comunicación con su servidor. Binance lo calificó de «malware 0-day» y afirmó que el software de seguridad del equipo no lo detectó en ese momento.
El 20 de octubre, los intrusos usaron ese equipo comprometido junto con una herramienta de IA interna para tomar el control de los ordenadores del primer ingeniero y de un tercer ingeniero de billeteras digitales, aunque Binance no describió el papel específico de la herramienta.
El equipo del primer ingeniero contenía un token de autorización para desplegar contenedores, que empaquetan software para su ejecución. El 29 de octubre, los atacantes accedieron al equipo del tercer ingeniero y usaron las credenciales robadas al primero para lanzar un contenedor y ejecutar un script malicioso.
Los permisos en blockchain sobreviven a la suspensión de retiros
Binance atribuyó el movimiento de XRP, SOL, OP y BTC desde sus hot wallets, las billeteras usadas para operaciones en línea, al acceso no autorizado a un servicio interno que firma las operaciones de las billeteras.
Ese servicio también permitió abusar del mecanismo EIP-7702 de Ethereum. Los atacantes otorgaron a un contrato bajo su control autoridad parcial para ejecutar acciones a través de una hot wallet. Como esas autorizaciones quedaron registradas en la blockchain, siguieron funcionando de forma independiente de los sistemas de retiro de Binance. Por eso, detener los retiros de los clientes no podía frenar todos los movimientos no autorizados de activos.
La billetera afectada se apoyaba en el cálculo multipartito, o MPC, que reparte las operaciones criptográficas entre varias partes. Binance explicó que eso significaba que no disponía de una clave única con la que revocar de inmediato la autoridad delegada. La última transferencia no autorizada se liquidó a las 23:56 UTC; la delegación se eliminó poco después de medianoche.
La plataforma pidió disculpas a usuarios, socios y al sector en general por las interrupciones y la incertidumbre. También afirmó que había bloqueado este año 57 amenazas sospechosas vinculadas a Corea del Norte.
El FBI atribuyó el robo a TraderTraitor, un grupo de hackers patrocinado por el Estado norcoreano. Corea del Norte rechazó la acusación: en un comunicado difundido por los medios estatales, Kim Yo Jong, hermana del líder Kim Jong Un, la calificó de provocación política y acusó a Estados Unidos de atribuir injustamente ciberdelitos al país.
Recuperación y verificación de reservas
Elliptic señaló que los activos robados pasaron por unas 12.000 billeteras en 11 blockchains en menos de cuatro días. Su análisis detectó automatización, pero ningún indicio de que agentes de IA decidieran cómo blanquear los fondos. Al 3 de noviembre, unos 3.180 millones de dólares seguían en direcciones vinculadas al robo.
Por separado, Chainalysis informó de que una parada temporal de emergencia en THORChain, causada por un problema técnico ajeno, había frenado el blanqueo.
Binance afirma que ha reconstruido el sistema de billeteras afectado y la herramienta de IA interna, ha sustituido los equipos y ha dado de baja las credenciales y tokens de los ingenieros. Se están contratando firmas de seguridad independientes para examinar el incidente, y la plataforma está desarrollando un fondo de investigación sobre seguridad de la IA en entornos blockchain.
Para los clientes que quieran comprobar el respaldo de sus activos, Binance ha completado una prueba de conocimiento cero (zero-knowledge proof), una verificación criptográfica, para su instantánea de reservas del 31 de octubre. Los titulares de 10 tokens principales pueden usarla para verificar que sus saldos están respaldados al menos 1:1.
