El ataque, según Binance, no comenzó con una vulneración espectacular de sus billeteras. Comenzó meses antes con reconocimiento —y un señuelo dirigido a un empleado.

En junio, los atacantes presuntamente comenzaron a sondear al equipo de billeteras del intercambio, incluso mediante una versión manipulada de una popular herramienta de software. Luego, en septiembre, alguien que se hacía pasar por director de proyecto contactó a un ingeniero de software de Binance a través de una plataforma de búsqueda de empleo. Siguieron dos entrevistas, incluida una videollamada con un supuesto representante de recursos humanos. La «asignación» final era un archivo para descargar en la computadora laboral del ingeniero; contenía código malicioso que las herramientas de seguridad de Binance no detectaron.¹

El engaño estaba diseñado para parecer normal. Binance afirmó que el falso entrevistador utilizó una cuenta de redes sociales repleta de fotos y videos personales para reforzar su credibilidad —un nivel de pulido que la empresa describió como más sofisticado y engañoso que las tácticas que había encontrado anteriormente.²

El 20 de octubre, aproximadamente una semana antes del robo, los atacantes utilizaron la máquina comprometida y una herramienta interna de IA de Binance para tomar el control de las computadoras de dos ingenieros del equipo de billeteras. Uno de los ingenieros tenía autoridad para desplegar software. Nueve días después, ese acceso abrió un servicio de firma de transacciones, lo que permitió a los atacantes vaciar las billeteras calientes —fondos mantenidos para retiros rápidos— durante casi cuatro horas. «Esto no debería haber ocurrido», dijo Binance.¹

Detener los retiros por sí solo no fue suficiente, dijo Binance. Los atacantes habían obtenido control parcial de una cuenta de Ethereum de una manera registrada en la cadena de bloques, en lugar de únicamente dentro de los sistemas de Binance, lo que obligó a los ingenieros a idear una solución alternativa mientras el robo continuaba.²

El FBI dijo el sábado que la unidad de hackeo TraderTraitor de Corea del Norte llevó a cabo la operación; Corea del Norte ha negado la acusación. Binance afirma que ha bloqueado otros 57 presuntos intentos de hackeo norcoreanos este año. Dice que unos 2.850 millones de dólares han sido congelados o interceptados y que ha repuesto el 98% de los tokens afectados, mientras reconstruye sistemas e incorpora revisores externos de seguridad.¹