Los atacantes responsables del robo de unos 6.300 millones de dólares en criptomonedas a Binance podrían haber accedido a los sistemas de la plataforma durante ocho semanas antes de ejecutar el ataque, según una nueva estimación de Security Alliance (SEAL). La organización sitúa la posible entrada de los hackers en septiembre y el asalto el 29 de octubre.
El plazo no está confirmado por Binance. SEAL lo presenta como una estimación basada en su investigación, por lo que todavía no está claro durante cuánto tiempo pudieron operar los intrusos sin ser detectados. De confirmarse, el caso apuntaría a una fase prolongada de reconocimiento y preparación antes del robo.
Una intrusión vinculada a una falsa oferta de empleo
Según la información difundida por SEAL, el grupo norcoreano TraderTraitor habría conseguido acceder a los sistemas internos de Binance mediante una entrevista de trabajo ficticia. Los atacantes convencieron a un empleado para descargar un programa malicioso, que les habría permitido entrar en la infraestructura de la compañía.
Durante las semanas posteriores, el grupo habría recopilado información y ampliado progresivamente su acceso. El objetivo, de acuerdo con esta reconstrucción, no habría sido ejecutar el robo de inmediato, sino reunir los datos necesarios para preparar una operación de mayor alcance.
Binance ya había informado de un incidente independiente ocurrido en junio. En aquella ocasión, otro empleado instaló sin saberlo un programa infectado. La empresa sustituyó el dispositivo afectado y revocó las credenciales comprometidas, pero también reconoció que los atacantes habían obtenido información sobre sus empleados y sobre los sistemas utilizados para gestionar los monederos de criptomonedas. Esos datos pudieron servir posteriormente para preparar el ataque multimillonario.
El método se repite en otras empresas del sector
SEAL sostiene que TraderTraitor lleva tiempo utilizando ofertas de empleo falsas contra trabajadores de compañías de criptomonedas. La organización identificó al menos cuatro empresas ficticias empleadas en 2026 para desarrollar este tipo de campañas.
El procedimiento consiste en hacerse pasar por reclutadores y contactar con empleados con propuestas laborales atractivas. En fases posteriores del proceso de selección, los atacantes intentan que las víctimas abran archivos infectados. Si lo consiguen, pueden avanzar desde el equipo inicial hacia áreas más sensibles de la empresa.
La investigación señala que el caso de Binance encaja en un patrón más amplio. En el ataque contra Bitget, que terminó con el robo de unos 388 millones de dólares en criptomonedas, los responsables habrían mantenido el acceso durante seis semanas antes de ejecutar la operación. SEAL también afirma que los atacantes lograron entrar varias semanas antes en los incidentes que afectaron a LayerZero y AFX.
El FBI atribuye el ataque a TraderTraitor
El FBI ha atribuido el ataque contra Binance a TraderTraitor, un grupo que la agencia estadounidense relaciona con Corea del Norte. Pionyang niega su implicación.
Tras el incidente, Binance reconstruyó los sistemas afectados, reemplazó las credenciales de acceso e incorporó controles de seguridad adicionales. La plataforma también trabaja con expertos externos para continuar con la investigación. La compañía ha asegurado que sus clientes no tendrán que asumir las pérdidas económicas derivadas del robo.
Para SEAL, el episodio pone de relieve una debilidad que va más allá de las medidas destinadas a impedir una intrusión inicial. Las empresas de criptomonedas también necesitan detectar con rapidez comportamientos anómalos cuando un atacante ya ha conseguido acceder a sus sistemas. En el caso de Binance, la nueva estimación plantea que ese margen de actuación pudo acercarse a los dos meses.
