El hackeo de Binance empezó con una entrevista de trabajo

Binance publicó el 3 de noviembre su primer informe sobre el hackeo de Binance del 29 de octubre, el mayor robo de criptoactivos registrado hasta ahora, con 6.340 millones de dólares afectados. La versión oficial describe una campaña sofisticada de varias etapas, atribuida por el FBI a Corea del Norte, que combinó entrevistas de trabajo falsas, malware y una herramienta interna de inteligencia artificial. Leído con calma, el informe cuenta algo menos épico, porque nadie rompió una clave privada. Lo que falló fue más barato y más común, un ingeniero con su paso por Binance publicado en un portal de empleo, una laptop de trabajo usada para una entrevista con desconocidos y un token de despliegue guardado en otra computadora.

En junio, un ingeniero de DevOps del equipo de wallets buscó una herramienta de programación con IA y descargó una instalación alterada de Homebrew, el gestor de paquetes habitual en Mac. El equipo de seguridad detectó la anomalía, reemplazó el equipo y rotó las credenciales, pero los atacantes ya se habían llevado lo que necesitaban, el cargo del ingeniero y los nombres de sus colegas en la infraestructura de wallets. Desde ese momento tenían una lista de objetivos y cuatro meses para trabajarla.

En septiembre, un segundo ingeniero recibió por una plataforma de empleo legítima el contacto de un supuesto director de proyecto, pasó una entrevista en video con una falsa representante de recursos humanos y otra con el supuesto CEO de una empresa que no existe. Al final de la segunda llamada le pidieron descargar una "tarea" en su computadora de trabajo. El repositorio reemplazó un componente de pyenv, una herramienta de uso diario para quien programa en Python, por una versión que ejecutaba órdenes de un servidor externo, y la protección de endpoints no detectó nada.

El 20 de octubre los atacantes usaron esa computadora y una herramienta interna de IA de Binance para tomar el control de otros dos equipos del área de wallets, y en uno de ellos encontraron un token con permiso para desplegar contenedores. El 29 de octubre, entre las 17:15 y las 19:56, usaron esas credenciales para desplegar un contenedor y ejecutar el script que vació las hot wallets. Dos horas y cuarenta minutos dentro del sistema y después, según la medición de TRM Labs, unos 20 minutos para sacar los fondos de diez blockchains.

Binance presenta como mérito que su equipo detectó y frenó 57 casos vinculados a Corea del Norte en 2026, muchos con el mismo guion de entrevistas falsas y herramientas de desarrollo con malware. El dato funciona al revés, porque la empresa conocía la técnica exacta, la había visto 57 veces, y aun así un empleado pudo descargar código de un desconocido en una laptop con acceso a la infraestructura de wallets. El caso 58 costó 6.340 millones de dólares. Tampoco cuadra que un solo token de despliegue bastara para llegar al servicio de firma de wallets sin que una segunda persona tuviera que aprobar nada. Para un exchange que afirma custodiar fondos de más de 335 millones de usuarios, ese era el control que importaba.

La primera puerta se abrió cuando un ingeniero buscó una herramienta de IA para programar, el salto a las otras dos computadoras se hizo con una herramienta interna de IA, y la respuesta de Binance es invertir más en seguridad basada en IA. Las medidas anunciadas, reconstruir el sistema de wallets, reemplazar equipos, revocar tokens y contratar una revisión externa, son razonables, pero ninguna explica cómo el perímetro de una infraestructura que mueve miles de millones llegó a depender del navegador de un empleado.

Binance dice que repuso el 98% de los activos afectados con fondos propios, que está comprando en el mercado el resto, más ilíquido, y que tiene congelados o interceptados unos 2.850 millones de dólares, cifra sujeta a conciliación. Los usuarios no pierden, y eso es cierto porque la empresa tenía con qué. Lo que sí pasó es que, al reabrir los retiros el 1 de noviembre, los clientes sacaron 4.649 millones de dólares y depositaron 1.010 millones, un flujo neto de salida de 3.640 millones en los primeros días. Reponer el dinero resultó más fácil que retener a quien lo tenía depositado.

En América Latina la plataforma pesa más que en casi cualquier otra región, con Argentina por encima del 7% de su tráfico global según un informe de Similarweb de 2024 citado por Infobae, y los retiros en pesos argentinos, pesos mexicanos, reales y bolívares volvieron a estar disponibles el 2 de noviembre. Para un exchange o una fintech regional que custodia activos de clientes, la lectura es más incómoda que para los usuarios, porque el ataque no requirió vulnerar código, requirió un reclutador falso con paciencia, y ese tipo de reclutador también escribe a los ingenieros de Buenos Aires o Ciudad de México. Binance pudo cubrir 6.340 millones de dólares con su tesorería y un fondo de emergencia creado en 2018. Casi nadie más en la industria puede absorber ni una fracción de eso.

Richard Teng, co-CEO de Binance, dijo que publican el informe completo porque las lecciones van más allá de su empresa. La principal quizás sea que la industria sigue midiendo la seguridad por la fortaleza de sus claves, cuando el atacante decidió hace tiempo que la forma más barata de entrar es con una oferta de trabajo. Queda por ver cuántos operadores van a revisar esta semana qué token tiene guardado cada ingeniero en su laptop, y cuántos van a seguir pensando que eso es un problema de Binance.