La operación, según Binance, comenzó discretamente en junio, cuando los atacantes empezaron a sondear a su equipo de billeteras y un ingeniero descargó una versión manipulada de una herramienta de software muy utilizada. El exchange afirma que la campaña fue más elaborada que los intentos anteriores a los que se había enfrentado, basada en ingeniería social en lugar de un ataque directo contra sus sistemas.¹

Para septiembre, los atacantes presuntamente se hicieron pasar por un director de proyecto en una plataforma de reclutamiento y atrajeron a un ingeniero de software de Binance mediante dos entrevistas, incluida una videollamada con un supuesto representante de RR. HH. La «asignación» final descargada en la computadora de trabajo del empleado contenía código malicioso que las herramientas de seguridad de Binance no detectaron.¹

El 20 de octubre —nueve días antes del robo—, Binance afirma que la máquina comprometida y una herramienta interna de IA se utilizaron para tomar el control de las computadoras de dos ingenieros del equipo de billeteras. Uno de ellos tenía privilegios de despliegue de software. Los atacantes luego accedieron a un servicio de firma de transacciones y, durante casi cuatro horas, comenzaron a vaciar las billeteras activas del exchange. «Esto no debería haber sucedido», afirmó Binance.¹

La intrusión no terminó cuando se detuvieron los retiros. Binance afirma que los atacantes obtuvieron control parcial de una cuenta de Ethereum mediante sistemas comprometidos; debido a que esa autorización estaba registrada en la cadena de bloques y no únicamente dentro de Binance, revocarla rápidamente resultó difícil. Los ingenieros tuvieron que idear una solución alternativa mientras los fondos seguían moviéndose a través de aproximadamente 12.000 billeteras, según Elliptic.¹

El FBI dijo el sábado que el grupo de hackers norcoreano TraderTraitor llevó a cabo el ataque, una acusación que Pionyang niega. Binance afirma que ya había interceptado otros 57 intentos presuntamente norcoreanos este año.¹

Binance afirma que se han congelado o interceptado 2.850 millones de dólares, se ha repuesto el 98 % de los tokens afectados y los clientes serán compensados íntegramente. Ha reconstruido los sistemas comprometidos, reemplazado las computadoras afectadas y planea una revisión de seguridad externa, medidas que llegan tras un fallo que ahora reconoce que nunca debería haber ocurrido.¹