Binance reconoció que una entrevista laboral falsa fue una de las vías de entrada del ataque que permitió sustraer aproximadamente USD 6.340 millones en criptomonedas. La compañía difundió sus primeras conclusiones sobre el incidente del 29 de octubre y describió una operación desarrollada durante varios meses.
El engaño apuntó a un desarrollador, contactado mediante una plataforma de empleo por personas que simulaban representar a otra empresa. Después de dos entrevistas, le pidieron descargar un supuesto ejercicio de programación en su computadora corporativa.
La tarea contenía software malicioso que permitió a los atacantes acceder al equipo. Según la reconstrucción presentada por la plataforma, ese acceso se combinó posteriormente con credenciales robadas y una herramienta interna de inteligencia artificial para avanzar hacia los sistemas de billeteras.
Cómo construyeron la entrevista falsa
El proceso de selección comenzó en septiembre, cuando los delincuentes se presentaron como integrantes de una compañía ficticia. Una supuesta representante de recursos humanos realizó una videollamada y compartió perfiles con fotografías personales para generar confianza.
Después organizaron una segunda conversación con quien decía ser el director ejecutivo de la empresa. Al terminar, enviaron el ejercicio técnico que el empleado debía descargar como parte de la evaluación.
La maniobra no fue el primer contacto de los atacantes con la infraestructura de
. En junio, otro ingeniero había descargado una versión alterada de una herramienta de desarrollo; aunque la empresa detectó ese episodio y reemplazó el dispositivo, los intrusos obtuvieron información sobre el equipo de trabajo.
Del equipo comprometido a las transferencias
El 20 de octubre, los atacantes utilizaron la computadora infectada y una herramienta interna de inteligencia artificial para ampliar el acceso a otros equipos. Así consiguieron credenciales que permitían desplegar servicios dentro de la infraestructura de producción.
Nueve días después, emplearon esos permisos para ejecutar un programa malicioso y acceder al servicio encargado de autorizar operaciones de las billeteras calientes. Estas son las billeteras conectadas a internet que la plataforma utiliza para procesar movimientos.
La sustracción afectó activos distribuidos en diez redes blockchain e incluyó bitcoin, ether y otras criptomonedas. Binance suspendió retiros para contener el ataque, aunque algunas autorizaciones maliciosas continuaron operando fuera de sus procedimientos habituales.
Qué informó la empresa sobre los fondos
En su actualización del 3 de noviembre, la compañía indicó que aproximadamente USD 2.850 millones habían sido congelados o interceptados. Aclaró que esa cifra estaba sujeta a conciliación y a las variaciones de los precios de los activos.
Binance aseguró que absorberá el impacto económico y que reservó fondos suficientes para cubrir las pérdidas. También informó que había repuesto el 98% de los activos afectados, una medida distinta de la recuperación del dinero sustraído.
Como respuesta, reconstruyó los sistemas comprometidos, reemplazó dispositivos y revocó credenciales de los ingenieros afectados. Además, anunció una revisión independiente de ciberseguridad y mayores inversiones en detección de amenazas y protección de los entornos de desarrollo.