El ataque, según el relato de Binance, comenzó mucho antes de que se moviera el dinero. En junio, los hackers ya estaban sondeando al equipo de billeteras; en septiembre, alguien que se hacía pasar por director de proyecto contactó a un ingeniero de software a través de una plataforma de empleo.¹

La propuesta de contratación fue diseñada para parecer real. Tras dos entrevistas —incluida una videollamada con un supuesto representante de recursos humanos—, el ingeniero descargó una «tarea» en una computadora de trabajo. Contenía código malicioso que las herramientas de seguridad de Binance no detectaron.¹ La empresa dijo más tarde, sin rodeos: «Esto no debería haber ocurrido».¹

El 20 de octubre, los atacantes utilizaron esa máquina comprometida y una herramienta interna de IA de Binance para tomar el control de las computadoras de dos ingenieros del equipo de billeteras. Uno de los ingenieros podía desplegar software. Nueve días después, los intrusos usaron ese acceso para llegar a un servicio de firma de transacciones y vaciaron billeteras calientes —fondos mantenidos disponibles para retiros rápidos— durante casi cuatro horas.¹

El relato más detallado de Binance indica que simplemente detener los retiros no podía frenar de inmediato el robo: los atacantes habían adquirido control parcial de una cuenta de Ethereum, cuyo acceso estaba registrado en la cadena de bloques y no únicamente dentro de los sistemas de Binance. Los ingenieros tuvieron que idear una solución alternativa porque la configuración de seguridad distribuida de la cuenta dificultaba una revocación rápida.²

El FBI dijo el sábado que TraderTraitor, una unidad de hackers norcoreana, llevó a cabo el ataque. Corea del Norte negó la acusación. Binance afirma que bloqueó otros 57 presuntos intentos de hackeo norcoreanos este año, presentando la brecha como parte de una presión sostenida y no como un fallo aislado.¹

El exchange afirma que aproximadamente 2.850 millones de dólares han sido congelados o interceptados, que los clientes serán compensados íntegramente y que se ha repuesto el 98% de los tokens afectados. Ha reconstruido los sistemas comprometidos, reemplazado las computadoras afectadas y planea una revisión de seguridad externa: una costosa prueba de si su solución puede igualar la paciencia de sus atacantes.²