Binance, la mayor plataforma de criptomonedas del mundo, publicó el 3 de noviembre el informe preliminar sobre la intrusión que sacó cerca de 6.300 millones de dólares en activos digitales de su infraestructura, el mayor robo de criptomonedas registrado. El documento no describe una falla aislada, sino una campaña que se extendió por meses y empezó con un proceso de selección que nunca existió.
La cronología que reconstruyó la empresa
Según el informe, reseñado por el sitio The Block:
- Junio — los atacantes alcanzaron a un ingeniero de DevOps del área de carteras mediante una instalación adulterada de Homebrew, gestor de paquetes común entre desarrolladores. Binance detectó el problema, sustituyó el equipo y cambió las credenciales. Según la reconstrucción de Fortune, el ingeniero llegó al archivo adulterado por un anuncio y no por el canal oficial; y, hasta ser descubierta, la operación ya había mapeado su función y la de quienes administraban las carteras de la empresa.
- Septiembre — los atacantes se presentaron como ejecutivos en un proceso de reclutamiento ficticio. Un supuesto "director de proyectos" buscó a un ingeniero en una plataforma de empleo, concertó una primera entrevista con un "representante de RRHH" y una segunda con alguien que se decía presidente de una empresa inexistente. El objetivo era que el profesional descargara un "ejercicio" de programación, que era el malware.
- 20 de octubre — a partir de esa máquina y de una herramienta interna de inteligencia artificial, los atacantes tomaron el control de los equipos de otros dos ingenieros, donde encontraron un permiso para desplegar contenedores.
- Unos nueve días después — con credenciales robadas, desplegaron un contenedor y ejecutaron el script que disparó el ataque a las carteras, autorizando transacciones por la infraestructura de firma de la plataforma.
Cuánto volvió
Binance afirma haber bloqueado o interceptado cerca de 2.850 millones de dólares y recompuesto el 98% de los activos afectados con reservas propias y otras fuentes; el 2% restante, en monedas de menor circulación, seguía siendo adquirido. Fortune informó que Tether y Circle congelaron las stablecoins robadas, lo que viabilizó la recuperación de unos 2.500 millones de dólares.
Los retiros quedaron suspendidos cerca de 48 horas y se reabrieron el fin de semana, según Fortune; el 3 de noviembre la plataforma informó que la liberación seguía por etapas y que el volumen de depósitos por hora pasó a superar el de retiros.
Atribución y reacción
Binance dice que el FBI vinculó el ataque a Corea del Norte. Su propia investigación identificó ingeniería social, malware y el uso indebido de herramientas internas de IA. El 2 de noviembre, la hermana del líder norcoreano Kim Jong-un calificó las afirmaciones del FBI como una "grave provocación política".
La empresa afirma haber detectado e impedido 57 intentos de ataque atribuidos a Corea del Norte en 2026.
El copresidente ejecutivo Richard Teng resumió el episodio: "No fue un error ni una brecha única: fue una campaña de meses." La plataforma también pidió disculpas: "Esto no debería haber ocurrido, y pedimos disculpas por la preocupación, la interrupción y la incertidumbre que causamos a nuestros usuarios."
Entre las medidas listadas están el cierre de los puntos de entrada, la reconstrucción o sustitución de los sistemas afectados, controles más estrictos sobre los equipos y la ampliación de la detección de anomalías por IA. La empresa también contratará una auditoría independiente de ciberseguridad.
El detalle que importa
Ninguna etapa de la cadena descrita depende de quebrar la criptografía. El camino fue humano al principio — un currículum, una entrevista, un archivo — y administrativo al final: un permiso para desplegar contenedores. La herramienta interna de IA, pensada para dar productividad a quien trabaja dentro de la empresa, funcionó como corredor entre máquinas.
Con información de The Block y Fortune.
