La operación, afirma Binance, no comenzó con una irrupción dramática. Comenzó con un sondeo paciente de su equipo de billeteras en junio, cuando un ingeniero descargó una versión manipulada de una herramienta de software ampliamente utilizada. El exchange afirma que la campaña fue más sofisticada y más engañosa que cualquier otra a la que se hubiera enfrentado anteriormente.¹

Para septiembre, los atacantes habían pasado a la ingeniería social. Alguien que se hacía pasar por director de proyecto contactó a un ingeniero de software de Binance a través de una plataforma de empleo y luego organizó dos entrevistas, incluida una videollamada con un supuesto representante de recursos humanos. La «tarea» final enviada a la computadora de trabajo del empleado contenía código malicioso que las herramientas de seguridad de Binance no detectaron.¹

El 20 de octubre, según el relato de Binance, los hackers utilizaron la máquina comprometida y una herramienta interna de IA para tomar el control de las computadoras de dos ingenieros del equipo de billeteras. Uno tenía permiso para desplegar software. Nueve días después, ese acceso abrió un servicio de firma de transacciones, lo que permitió a los atacantes vaciar billeteras calientes —fondos mantenidos para retiros rápidos— durante casi cuatro horas.¹

El propio veredicto de Binance fue contundente: «Esto no debería haber ocurrido».¹ La empresa afirma que simplemente detener los retiros no podía frenar de inmediato el robo porque los atacantes habían obtenido acceso registrado en la propia Ethereum, más allá de los sistemas internos de Binance. Los ingenieros tuvieron que idear una solución alternativa mientras los activos se movían.¹

El FBI dijo el sábado que TraderTraitor, una unidad de hackers norcoreanos, llevó a cabo el ataque; Corea del Norte negó la acusación. Binance afirma que ha bloqueado otros 57 presuntos intentos de hackeo norcoreanos este año, presentando el episodio como parte de una amenaza sostenida y no como un fallo aislado.¹

Para el martes, Binance afirmó que aproximadamente 2.850 millones de dólares habían sido congelados o interceptados, que el 98 % de los tokens afectados habían sido repuestos y que los clientes serían reembolsados. Ha reconstruido los sistemas afectados, reemplazado las computadoras comprometidas y planea una revisión de seguridad externa, medidas que podrían tranquilizar a los usuarios, pero que no pueden borrar cómo una entrevista de trabajo fraudulenta ayudó a desencadenar una pérdida de 6.300 millones de dólares.¹