Binance había identificado meses antes una de las vías que podían permitir a un atacante entrar en su red: las falsas entrevistas de trabajo. En julio, su director de seguridad, Jimmy Su, explicó cómo un supuesto proceso de selección podía terminar con la ejecución de código malicioso en el ordenador de un empleado. En septiembre, un ingeniero de software de la plataforma cayó precisamente en una trampa de ese tipo.
El caso aparece recogido en el informe de investigación publicado por Binance la semana pasada. El empleado descargó en su portátil de trabajo un ejercicio de programación infectado durante una entrevista laboral que no era real. Esa infección se convirtió en el primer paso de un ataque desarrollado en varias fases.
Una amenaza que Binance ya había descrito
Su había detallado el funcionamiento de esta modalidad de fraude en una entrevista concedida a Cointelegraph el pasado verano. Los atacantes se presentan como empleadores y contactan con trabajadores cuyo perfil encaja con el puesto ofrecido. A medida que avanza el proceso, les piden realizar una prueba técnica y ejecutar código en su dispositivo.
El objetivo es comprometer el equipo y recopilar credenciales de acceso. Con ellas, los atacantes pueden tratar de penetrar en la red corporativa, según explicó el responsable de seguridad de Binance.
Ese fragmento de la conversación no fue incluido inicialmente en el artículo publicado en julio por Cointelegraph, pero el medio lo ha difundido ahora. La coincidencia con el ataque posterior ha dado especial relevancia a unas advertencias que, en ese momento, describían un riesgo interno que la compañía consideraba creciente.
El código malicioso se ocultó en una prueba aparentemente normal
El ejercicio descargado por el ingeniero incluía instrucciones que, tomadas por separado, no resultaban inusuales. Entre ellas figuraba la descarga de código desde GitHub. Esa apariencia de normalidad ayuda a explicar por qué este tipo de ataque puede esquivar los controles automáticos: cada acción parece legítima cuando se analiza de forma aislada.
Binance concluyó posteriormente que el código malicioso estaba oculto en el proceso de instalación del ejercicio. Además, utilizaba técnicas de ofuscación, diseñadas para dificultar la lectura del código y evitar que las herramientas de seguridad lo identificaran o lo marcaran como una amenaza.
El 29 de octubre desaparecieron unos 6.300 millones de dólares de los monederos de Binance. Según la fuente, fue el mayor robo registrado hasta entonces en el sector de las criptomonedas y superó en más de cuatro veces el importe del ataque contra Bybit, que ostentaba el récord anterior.
La empresa considera que debe detectar el fraude
Su sostenía que la responsabilidad de contener este riesgo correspondía a Binance. El directivo consideraba legítimo que los empleados explorasen oportunidades profesionales en otras empresas, pero advertía del peligro de hacerlo desde un dispositivo corporativo.
Por esa razón, un equipo interno especializado en simulación de ataques pone a prueba a los trabajadores cada mes. La compañía lleva entre tres y cuatro años realizando ejercicios de suplantación de identidad mediante mensajes falsos destinados a obtener credenciales. Eso equivale, según el cálculo incluido en la fuente, a entre 36 y 48 rondas de pruebas.
Aun así, una sola entrevista falsa y suficientemente convincente bastó para abrir la puerta al ataque. La amenaza tampoco se ha limitado a ese incidente: Binance afirma haber bloqueado este año 57 ciberataques presuntamente vinculados con Corea del Norte, aproximadamente uno cada cinco días. El FBI también atribuye a ese país el ataque sufrido por la plataforma en octubre.
