El ataque contra Binance que terminó con el robo de criptoactivos valorados en unos 6.300 millones de dólares comenzó lejos de la cadena de bloques. Los responsables utilizaron una falsa oferta de empleo, infectaron ordenadores de empleados y aprovecharon después herramientas internas de la plataforma para acercarse a los sistemas que gestionan la custodia y las transacciones.
Binance publicó el martes un informe de investigación en el que reconstruye el proceso. Según la plataforma, la operación se prolongó durante meses y combinó técnicas de ingeniería social, programas maliciosos y acceso a sistemas utilizados por varios desarrolladores.
Una entrevista de trabajo como puerta de entrada
La fase más visible del ataque comenzó en septiembre. Un desarrollador de software de Binance recibió, a través de un portal de empleo, un mensaje de una persona que se hacía pasar por el director de proyectos de una empresa. El contacto derivó en una entrevista mediante una aplicación de mensajería.
Durante la conversación, el supuesto responsable de la compañía propuso al empleado una prueba de programación. Para realizarla, debía descargar varios archivos que aparentaban ser legítimos. En realidad, contenían software malicioso. Una vez instalados, los atacantes pudieron acceder al ordenador sin que el empleado lo advirtiera.
Binance sostiene que aquella entrevista no fue un contacto aislado, sino parte de una preparación más amplia. Los responsables habían reunido previamente información sobre trabajadores de la plataforma y sobre las funciones que desempeñaban dentro de la compañía.
El informe sitúa en junio otro episodio relevante. En ese momento, un segundo desarrollador instaló sin saberlo un programa malicioso al intentar utilizar una herramienta de programación con inteligencia artificial que era popular. Ese acceso permitió a los atacantes obtener información relacionada con su trabajo y con otros compañeros encargados de los monederos digitales de Binance.
El acceso alcanzó los sistemas de custodia
Con la información obtenida y el control sobre uno de los ordenadores, los atacantes fueron ampliando su presencia dentro de los sistemas de la plataforma. El 20 de octubre, nueve días antes de la ejecución del robo, utilizaron una herramienta interna de inteligencia artificial para acceder a los ordenadores de otros dos desarrolladores de software.
Esos empleados trabajaban con los sistemas que Binance utiliza para custodiar criptomonedas y procesar transacciones. De acuerdo con la investigación publicada por la plataforma, el acceso terminó proporcionando a los responsables la capacidad necesaria para llevar a cabo operaciones no autorizadas.
El robo se ejecutó el 29 de octubre. En un periodo de tiempo breve, los atacantes sustrajeron criptoactivos por un valor aproximado de 6.300 millones de dólares de los monederos digitales de Binance.
Una operación preparada durante meses
La secuencia descrita por Binance muestra un ataque escalonado. Primero se obtuvo información sobre empleados y se introdujo código malicioso en sus equipos. Después, los responsables utilizaron ese acceso para identificar a trabajadores vinculados a los monederos y a la gestión de transacciones. Finalmente, penetraron en los sistemas con capacidad para autorizar movimientos.
Richard Teng, codirector ejecutivo de Binance, afirmó que el ataque se preparó durante meses. La plataforma atribuye el resultado a la combinación de falsas entrevistas de trabajo, programas maliciosos y técnicas basadas en inteligencia artificial.
El caso también deja una diferencia relevante respecto a la percepción habitual de estos incidentes: el robo no comenzó con una vulneración directa de la cadena de bloques, sino con el engaño a empleados y el compromiso progresivo de los sistemas internos que daban acceso a los activos digitales.
