Una entrevista de trabajo, una supuesta prueba técnica y un software malicioso instalado en el ordenador de un empleado. La operación no comenzó con un sofisticado asalto informático, sino con una oportunidad laboral que nunca existió. Un supuesto proceso de selección permitió a los atacantes ganarse la confianza de un ingeniero de Binance y convertir su ordenador en una vía de acceso a los sistemas de la compañía. Así comenzó el ataque que sacudió el pasado 30 de octubre a Binance, la mayor plataforma de intercambio de criptomonedas del mundo, y que terminó con el robo de 6.300 millones de dólares. La compañía ha reconstruido ahora el incidente y ha reconocido que los hackers llevaban meses preparando una operación que combinó ingeniería social, espionaje corporativo e infiltración informática.
La primera fase se remonta a septiembre de 2026. Un ingeniero de Binance recibió un contacto a través de una plataforma de búsqueda de empleo de alguien que se presentaba como director de proyectos. El supuesto responsable organizó una primera entrevista con un empleado de recursos humanos, que compartió perfiles en redes sociales, fotografías y vídeos personales para generar confianza. Posteriormente, llegó una segunda conversación con una persona que afirmaba ser el consejero delegado de una empresa ficticia, esta vez mediante una popular aplicación de mensajería.
El engaño culminó cuando el falso directivo pidió al ingeniero que descargara una supuesta tarea técnica en su ordenador de trabajo. El archivo contenía código malicioso que permitió ejecutar actividades no autorizadas dentro de los sistemas de Binance. Las herramientas de seguridad no detectaron la intrusión, mientras los atacantes ocultaban sus movimientos y eliminaban rastros para dificultar tanto su identificación como la investigación posterior.
Una intrusión anterior, la llave del ataque
Sin embargo, los hackers no partían de cero. El informe de Binance sitúa una de las claves de la operación en junio, cuando uno de los ingenieros posteriormente afectados descargó accidentalmente una versión manipulada de una herramienta de programación asistida por inteligencia artificial. En aquel momento, la compañía detectó el incidente, sustituyó el equipo comprometido y renovó las credenciales.
Aunque Binance creyó haber neutralizado la amenaza, aquella primera intrusión permitió a los atacantes recopilar información sobre la organización, datos como qué trabajadores desarrollaban determinados sistemas, quién administraba los monederos digitales y cómo se distribuían las responsabilidades dentro de la empresa. Un conocimiento que resultaría decisivo meses después.
Nueve días antes del robo, los ciberdelincuentes utilizaron el ordenador del empleado engañado para infiltrarse en los equipos de otros dos ingenieros encargados de gestionar los monederos de Binance. Según la compañía, recurrieron a una herramienta interna de inteligencia artificial para conseguir el acceso. Los tres trabajadores habían sido seleccionados por su posición estratégica dentro de la organización.
El consejero delegado de Binance, Richard Teng, ha descrito el episodio como una campaña sofisticada y de múltiples fases. “Esto no fue un solo error o una sola brecha: fue una campaña de varios meses”, ha señalado recientemente, subrayando que la operación no puede explicarse únicamente por un fallo individual.
El rastro norcoreano y una amenaza creciente
Las investigaciones apuntan al Lazarus Group, también conocido como TraderTraitor, un colectivo de hackers vinculado a Corea del Norte. Tanto las firmas de análisis blockchain TRM y Chainalysis como el FBI han señalado a este grupo como responsable del ataque, una atribución que Pyongyang ha rechazado.
La operación encaja con una estrategia que preocupa especialmente al sector, basada en infiltrarse en empresas mediante trabajadores informáticos o procesos de contratación aparentemente legítimos. Chainalysis advierte de que los grupos vinculados a Corea del Norte recurren cada vez más a estas prácticas para obtener acceso privilegiado a sistemas corporativos y ejecutar robos de gran magnitud.
La amenaza no es nueva. Según Chainalysis, estos hackers sustrajeron 2.020 millones de dólares en criptomonedas durante 2025, un 51% más que el año anterior. Entre sus golpes más conocidos figura el robo de 1.400 millones de dólares a Bybit, otra plataforma de intercambio, en 2025. Binance asegura que este año ha detectado y bloqueado 57 incidentes sospechosos relacionados con grupos norcoreanos.
Tras el ataque, la compañía ha restablecido las retiradas de fondos y asegura haber cubierto prácticamente todas las pérdidas con recursos propios y su fondo de reservas. Además, los activos congelados por sus socios Tether y Circle ascienden a 2.800 millones de dólares. Binance ha anunciado una auditoría independiente para revisar integralmente sus sistemas y reforzar sus medidas de seguridad.
La auditoría independiente anunciada por Binance deberá esclarecer cómo una intrusión detectada en junio terminó facilitando el acceso a los monederos digitales meses después. La compañía sostiene que ha cubierto prácticamente todas las pérdidas con recursos propios y su fondo de reservas, mientras sus socios han conseguido congelar activos por valor de 2.800 millones de dólares. La investigación sobre la autoría sigue abierta, aunque las principales firmas de análisis blockchain y el FBI apuntan al Lazarus Group.
Añadir ElPlural.com como fuente preferida de Google.
Mantente informado con las últimas noticias de actualidad.