Binance atribuye el hackeo del 29 de octubre a una campaña de varias etapas que comenzó meses antes con un instalador manipulado y una falsa entrevista de trabajo. El atacante comprometió equipos de empleados, aprovechó una herramienta interna de inteligencia artificial para avanzar dentro de la organización y terminó accediendo al servicio que firma las transacciones de las billeteras.
La compañía publicó el 3 de noviembre sus hallazgos iniciales en un informe difundido por la cuenta oficial de Binance Latinoamérica en X. En el documento, titulado “Incidente de seguridad del 29 de octubre: Hallazgos iniciales y actualización de respuesta”, Binance cifra en unos 6.340 millones de dólares los activos digitales afectados. De esa cantidad, aproximadamente 2.850 millones fueron congelados o interceptados, una cifra todavía sujeta a conciliación y a la volatilidad del mercado.
Binance asegura que asumirá el impacto financiero de los fondos robados y que los usuarios no sufrirán la pérdida. Al 31 de octubre, la empresa afirmaba haber repuesto el 98% de los activos correspondientes a los tokens afectados y haber apartado más del 100% de lo necesario, mientras compraba el resto, compuesto por monedas con menor liquidez. En una actualización anterior, publicada el 2 de noviembre, había hablado de aproximadamente el 95%. La compañía no detalla en el informe la diferencia entre ambas medidas.
Un ataque preparado durante meses
El primer episodio se remonta a junio de 2026. Un ingeniero del equipo de operaciones de billeteras buscó una herramienta de programación con IA y descargó desde un buscador una versión manipulada de Homebrew, un instalador habitual en ordenadores Mac. El equipo de seguridad detectó la anomalía, sustituyó el dispositivo y rotó las credenciales, pero el atacante ya había podido conocer el rol del empleado y el de otros miembros del equipo.
En septiembre llegó una segunda vía de entrada. Otro ingeniero fue contactado a través de una plataforma legítima de empleo por una persona que fingía ser director de proyectos. Tras una primera videollamada con una supuesta responsable de recursos humanos, el proceso continuó en una aplicación de chat con un falso CEO de una empresa inexistente. La “tarea” técnica consistía en descargar un repositorio de código que contenía un programa malicioso.
El malware, descrito por Binance como una amenaza de día cero, sustituyó un componente legítimo de una herramienta de desarrollo y eliminó sus rastros. Las herramientas de seguridad no lo detectaron. El 20 de octubre, desde ese ordenador, el atacante utilizó una herramienta interna de IA de Binance para tomar el control de los equipos de otros dos ingenieros. En uno de ellos encontró un token con permisos para desplegar contenedores, paquetes de software que pueden ejecutarse en los servidores.
El acceso al sistema que firma las transacciones
El golpe se produjo el 29 de octubre entre las 17:15 y las 19:56 UTC. El atacante entró en el ordenador de un ingeniero, empleó las credenciales robadas de otro, desplegó un contenedor y activó un programa malicioso con acceso al servicio interno de firma de las billeteras.
Entre las primeras operaciones, cinco billeteras calientes enviaron 233,46 millones de XRP a una dirección controlada por el atacante. Después salieron unos 970.500 SOL y 44,2 millones de OP desde billeteras de Solana y Optimism. También se transfirieron 18.270 BTC. Binance recibió una alerta por transferencias de gran volumen y comenzó la investigación, pero la actividad continuó en otros activos. La última transferencia no autorizada, de 2.961,9 ETH, se confirmó a las 23:56 UTC.
En Ethereum, el atacante recurrió a EIP-7702, una función incorporada con la actualización Pectra que permite que una cuenta otorgue determinados permisos a un contrato inteligente sin ceder su clave privada. Según Binance, se enviaron 50 transacciones para manipular el nonce de la cuenta y dejar instalada esa autorización.
La autorización permaneció activa en la cadena de bloques incluso después de que Binance suspendiera los retiros y apagara sus billeteras calientes. La revocación tampoco fue inmediata porque la billetera utilizaba computación multipartita (MPC), un sistema en el que la clave está repartida entre varias partes. El equipo tuvo que crear un procedimiento específico y revocó la autorización maliciosa de la billetera “Binance14” a las 00:10 del 30 de octubre.
Reconstrucción de sistemas y revisión independiente
Binance afirma que reconstruyó en un entorno nuevo el sistema de billeteras afectado y su herramienta interna de IA. También reemplazó los equipos comprometidos, desactivó las credenciales de los ingenieros afectados, revisó los dispositivos de sus empleados y reforzó la detección de anomalías y los controles de las billeteras.
La empresa prepara además una revisión independiente de ciberseguridad, más inversión en seguridad basada en IA y un fondo de investigación con otras compañías del sector. Algunos detalles técnicos, señala, seguirán siendo confidenciales. El informe recuerda que el FBI atribuye el ataque a Corea del Norte y añade que el equipo de seguridad de Binance detectó y frenó 57 intentos vinculados a ese país durante 2026.
