Los atacantes robaron 6.300 millones de dólares a Binance tras pasar de un portátil de un empleado comprometido a sistemas capaces de autorizar retiradas de criptomonedas, Dark Reading informó el 2 de noviembre. La plataforma afirma haber repuesto con fondos propios aproximadamente el 95 % de los activos afectados. Mientras tanto, la vía de ataque descrita plantea interrogantes para las organizaciones cuyos sistemas internos de confianza pueden aprobar transacciones de alto valor.
El robo se produjo la semana anterior, según el informe. Basándose en las declaraciones de Binance, Dark Reading describió un ataque que llegó a una hot wallet, es decir, un monedero conectado a sistemas en línea, y vació miles de millones de dólares en unos 20 minutos. El informe también señalaba que el FBI atribuyó el ataque al grupo norcoreano TraderTraitor.
Para los custodios de criptomonedas, el problema inmediato es si un dispositivo de un empleado comprometido puede convertirse en una vía hacia los fondos. La misma pregunta se aplica a las empresas cuyos servicios internos pueden liberar pagos, acceder a bases de datos de clientes o autorizar despliegues de software, según explicaron a Dark Reading especialistas en seguridad.
Del portátil de un desarrollador a la autoridad para retirar fondos
Los primeros hallazgos de Binance identificaron un portátil de empleado como punto de partida. La investigación posterior encontró puntos de compromiso adicionales, lo que amplió el incidente más allá de ese dispositivo.
Los atacantes usaron el portátil comprometido del desarrollador para acceder a un contenedor de servicio interno, un entorno que ejecutaba software con permiso para iniciar solicitudes de retirada. Desde allí, explotaron otros puntos de compromiso y un mecanismo de delegación de cuentas de Ethereum, que permite asignar la autoridad sobre una cuenta, para obtener la autoridad de aprobación de transacciones sobre una hot wallet.
Los atacantes parecen haber eludido los controles de aprobación habituales de Binance. La empresa afirmó que no había encontrado pruebas de que en el robo se hubieran usado claves de monedero filtradas. Estas claves privadas autorizan las transferencias de criptomonedas, pero protegerlas por sí solas no asegura todos los sistemas autorizados a solicitar su uso.
Waseem Ahmed, responsable de ingeniería de Secure.com, explicó a Dark Reading que la información disponible sugiere que los atacantes usaron el propio sistema de firma de Binance para firmar las transferencias. Eso explicaría cómo una transferencia no autorizada pudo llevar una firma criptográfica válida: el proceso de firma pudo funcionar, mientras que la decisión de aprobar la transacción fue incorrecta.
La secuencia exacta de las aprobaciones no autorizadas y las salvaguardas vigentes siguen sin estar claras mientras continúa la investigación de Binance. Tras el ataque, la plataforma congeló unos 3.000 millones de dólares. Su afirmación aparte de haber repuesto aproximadamente el 95 % de los activos afectados describe una reposición con fondos de la empresa, y no la recuperación de las criptomonedas robadas.
Controles independientes sobre activos valiosos
Tim Rawlins, asesor sénior y director de seguridad de NCC Group, afirmó que las plataformas que custodian activos digitales necesitan capas de seguridad independientes, de modo que el compromiso de un componente no pueda autorizar una transferencia. Recomendó separar los fondos entre monederos calientes (hot wallets) y monederos fríos (cold wallets), que mantienen las claves sin conexión, para limitar cuánto puede exponer un solo compromiso.
Rawlins también recomendó estaciones de trabajo con acceso privilegiado dedicadas para los desarrolladores y administradores que realizan operaciones críticas, separadas de los dispositivos usados para el correo electrónico y la navegación web. La monitorización continua debería ayudar a identificar terminales comprometidos y actividad inusual antes de que los atacantes exploten el acceso privilegiado.
Según dijo, la revisión debe abarcar los componentes y los roles privilegiados cuyo compromiso podría dar a alguien el control de los fondos, incluidos los sistemas que solicitan y aprueban el uso de las claves. El modelado de amenazas, es decir, la identificación de las formas plausibles en que un atacante podría llegar a un activo valioso, y la prueba de todo el proceso de transacciones forman parte de ese trabajo.
John Bruggeman, director de seguridad de la información virtual (vCISO) de la firma de servicios de TI CBTS, afirmó que las grandes plataformas deben examinar qué pueden hacer las identidades y los sistemas de confianza, junto con las defensas perimetrales y la autenticación. Sus recomendaciones incluyeron la gestión de claves privadas, la autenticación multifactor para el uso de claves, límites de tamaño para las transferencias, alertas por transferencias grandes, detección de endpoints en todos los dispositivos de los empleados y análisis del comportamiento de los usuarios.
También pidió límites de frecuencia para las retiradas, controles que protejan los monederos y la custodia de criptomonedas, y segregación de funciones: un mismo usuario no debería poder tanto iniciar como finalizar una transferencia.
Ahmed recomendó la aprobación humana antes de las acciones que mueven dinero o datos, con límites aplicados de forma conjunta en todos los sistemas. Según dijo, los equipos de seguridad deberían probar la ruta completa desde el portátil de un empleado hasta un pago. Por ejemplo, sustituir el servicio de retiradas por un sistema corporativo de pagos plantea una pregunta similar: ¿puede un dispositivo comprometido llegar a un servicio de confianza capaz de liberar dinero?
Un patrón más amplio de robos de criptomonedas
Dark Reading describió el robo a Binance como la mayor brecha de una plataforma de criptomonedas por valor económico. Las plataformas se enfrentan a muchas amenazas que los bancos también conocen, pero, según el informe, no han estado sujetas al mismo nivel de supervisión en materia de riesgo operativo y seguridad.
Incidentes anteriores ilustran varias vías hacia los fondos: Bybit perdió unos 1.500 millones de dólares en febrero de 2025 después de que los atacantes manipularan el proceso de aprobación de un monedero frío de Ethereum; Binance perdió 7.000 bitcoins en mayo de 2019 después de que los atacantes obtuvieran claves API de usuarios y códigos de autenticación de dos factores; y los atacantes comprometieron un script de terceros en el sitio web de Polymarket en octubre de 2026 para mover fondos de algunos monederos de usuarios.
Dark Reading informó de que actores norcoreanos fueron responsables del 76 % del dinero que los operadores habían reportado como robado hasta ahora en 2026, y de al menos un tercio de los robos de criptomonedas denunciados en seis de los últimos nueve años.
Robert Coles, director sénior de inteligencia de amenazas en seguridad de Black Duck, afirmó que las organizaciones deben evaluar cuánto daño puede causar un atacante una vez obtenido el acceso inicial. Para los equipos de seguridad que revisan el ataque a Binance, la tarea práctica consiste en identificar los sistemas críticos y las cuentas privilegiadas, y después comprobar qué controles independientes impedirían que un dispositivo comprometido llegue a ellos y ejecute una acción de alto impacto.
