La operación, según Binance, comenzó con sondeos discretos en junio, cuando los atacantes apuntaron a su equipo de billeteras y un ingeniero descargó una versión manipulada de una popular herramienta de software. El posterior engaño de reclutamiento se diseñó para resultar creíble: un supuesto director de proyecto contactó a un ingeniero de software a través de una plataforma de empleo en septiembre, seguido de dos entrevistas, incluida una videollamada con un falso representante de RR. HH. La “tarea” final contenía malware que los sistemas de seguridad de Binance no detectaron.¹

El 20 de octubre, los atacantes utilizaron ese ordenador comprometido y una herramienta interna de IA de Binance para tomar el control de las máquinas de trabajo de dos ingenieros del equipo de billeteras. Uno de los ingenieros tenía autorización para desplegar software. Nueve días después, ese acceso abrió un servicio de firma de transacciones; los atacantes vaciaron entonces las billeteras activas —fondos mantenidos listos para los retiros de clientes— durante casi cuatro horas. La evaluación contundente de Binance: «Esto no debería haber ocurrido».¹

El exchange afirma que detener los retiros por sí solo no podía frenar el robo porque los atacantes habían obtenido control parcial de una cuenta de Binance en Ethereum, donde ese acceso estaba registrado fuera de los propios sistemas de Binance. Con el control distribuido entre varios sistemas, los ingenieros tuvieron que idear una solución alternativa en lugar de simplemente revocar el acceso.²

La brecha superó el récord anterior de robo de criptomonedas, aproximadamente 1.500 millones de dólares sustraídos de Bybit en febrero de 2025. El FBI ha atribuido el ataque a Binance a TraderTraitor, una unidad de hackers norcoreanos; Corea del Norte niega la acusación. Binance afirma haber bloqueado este año otros 57 intentos sospechosos de Corea del Norte.¹

Binance afirma que unos 2.850 millones de dólares han sido congelados o interceptados, que se ha repuesto el 98 % de los tokens afectados y que los clientes serán resarcidos. Ha reconstruido los sistemas comprometidos, sustituido los ordenadores afectados y planea una revisión de seguridad externa; medidas que abordan las consecuencias, no la vergüenza central: un falso proceso de contratación llegó al corazón del mayor exchange del mundo.²