Binance ha descrito el robo de activos por valor de 6.430 millones de dólares como el resultado de una campaña de varias etapas que implicó ingeniería social, software malicioso y herramientas internas comprometidas. La empresa afirmó que los atacantes se dirigieron a dos ingenieros y, finalmente, accedieron a un servicio interno de firma de monederos para iniciar transacciones al margen del proceso normal de retirada.

La primera etapa comenzó en junio de 2026, cuando un ingeniero del equipo de DevOps de Monederos de Binance descargó un instalador de Homebrew manipulado mientras buscaba una popular herramienta de IA. Binance afirmó que detectó el incidente y rotó las credenciales relacionadas, pero que había quedado expuesta información sobre la función del ingeniero y sus compañeros del equipo de infraestructura de monederos.

En septiembre, los atacantes se pusieron en contacto con un segundo ingeniero a través de una plataforma de búsqueda de empleo, haciéndose pasar por un director de proyecto. Invitaron al ingeniero a dos entrevistas: una con alguien que supuestamente pertenecía al departamento de Recursos Humanos y otra con una persona que afirmaba ser el director ejecutivo de una empresa que, según Binance, no existía. Al terminar la segunda entrevista, le pidieron al ingeniero que descargara en un ordenador de trabajo una tarea que contenía un repositorio de código malicioso.

El código del repositorio se ejecutó durante la configuración. Binance afirmó que el malware empleaba técnicas de ofuscación y evasión, entre ellas la sustitución de un componente legítimo de una herramienta de desarrollo por una versión manipulada para ejecutar comandos y conectarse a un servidor controlado por los atacantes. Estos también eliminaron pruebas forenses relacionadas con la intrusión.

El 20 de octubre, los atacantes utilizaron el ordenador comprometido y abusaron de una herramienta interna de IA para hacerse con el control del primer ingeniero y de otro ingeniero de software de monederos. Binance afirmó que encontraron un token de permiso para implementar contenedores en el ordenador del primer ingeniero. El 29 de octubre, iniciaron sesión en el ordenador del tercer ingeniero con credenciales robadas, implementaron un contenedor y ejecutaron un script malicioso.

Binance afirmó que ha reconstruido el sistema de monederos afectado en un nuevo entorno y ha recreado su herramienta interna de IA y los controles de acceso. La empresa también sustituyó los dispositivos afectados, revocó las credenciales y los tokens relacionados, analizó los dispositivos de los empleados, reforzó los controles de riesgo del servicio de monederos y amplió la detección de anomalías de comportamiento basada en IA. Añadió que está colaborando con las fuerzas del orden, empresas de inteligencia de blockchain y socios del sector para rastrear y congelar los activos afectados.

Binance agregó que ha cerrado los puntos de entrada identificados y ha reconstruido o sustituido los sistemas implicados en el ataque. La empresa también afirmó que ha frustrado 57 casos sospechosos de ciberamenazas vinculadas a Corea del Norte desde principios de año, y describió las falsas entrevistas de trabajo, las herramientas de desarrollo maliciosas y la ingeniería social para robar credenciales como técnicas utilizadas en ataques dirigidos contra el sector de las criptomonedas.

Fuentes: The Hacker News.