Binance publicó el 3 de noviembre su primer informe detallado sobre el robo de unos US$ 6.340 millones de sus billeteras calientes el 29 de octubre, el mayor robo de criptomonedas jamás registrado. Según el exchange, no fue un solo clic ni una clave privada filtrada: fue una campaña de varios meses que combinó un instalador manipulado, una entrevista falsa de trabajo y el uso indebido de una herramienta interna de inteligencia artificial.
Del instalador manipulado a la entrevista falsa
Todo comenzó en junio, cuando un ingeniero de DevOps que buscaba una herramienta de IA para programar instaló una versión manipulada del gestor de paquetes Homebrew. El equipo de seguridad detectó el problema, reemplazó la laptop y rotó las credenciales afectadas, pero los atacantes volvieron en septiembre por otro camino.
En septiembre, los atacantes aplicaron la entrevista falsa: una persona que se hacía pasar por directora de proyectos contactó a un ingeniero de software en una plataforma legítima de empleo. Tras una entrevista por video con una supuesta representante de RR. HH. y una segunda ronda con alguien que decía ser el CEO de una empresa que no existe, el ingeniero descargó una “prueba” de programación en su computadora de trabajo. La instalación reemplazó la herramienta de desarrollo pyenv por una copia maliciosa que se comunicaba con un servidor de los atacantes.
La herramienta interna de IA y el robo
El 20 de octubre, los atacantes usaron una herramienta interna de IA de Binance para tomar el control de las computadoras de otros dos ingenieros. El día 29, desde la computadora de un tercer ingeniero y con credenciales robadas, desplegaron un contenedor y ejecutaron un script que llegó al servicio interno de firma de retiros. Con unas 50 transacciones de firma, manipularon nonces y usaron el mecanismo EIP-7702 de Ethereum para delegar derechos de ejecución a un contrato que controlaban, sin necesitar la clave privada, ya que la billetera usaba computación multipartita (MPC).
El 31 de octubre, el FBI atribuyó el robo al grupo TraderTraitor, vinculado a Corea del Norte, una atribución que Pyongyang negó. Binance afirmó que unos US$ 2.850 millones fueron congelados o interceptados con ayuda de autoridades y socios, y que el 98% de los activos afectados ya había sido repuesto el 31 de octubre, sin pérdidas para los clientes. La empresa también dijo haber bloqueado otros 57 intentos sospechosos de hackers norcoreanos este año.
Lo que el informe aún no explica
El informe sigue siendo preliminar: Binance no divulgó la familia del malware ni hashes, dominios o direcciones IP de las etapas en los equipos, y el post mortem técnico completo sigue pendiente, bajo revisión de empresas independientes. Por eso, los detalles de la ruta de ataque deben leerse como la versión de la propia Binance, corroborada en parte por análisis independientes de empresas como TRM Labs y Reversing Labs.
Actualización: este artículo actualiza la cobertura anterior de Geekiki sobre el caso — Binance diz que fundos estão seguros após ataque de US$ 6,3 bi, Binance diz ter reposto 90% dos ativos e mantém saques para 1º de novembro y Binance reabre saques em fases a partir da rede Bitcoin após roubo de US$ 6,3 bilhões — con la información nueva del informe del 3 de noviembre.
Crédito de la imagen: logotipo de Binance (BNB), vía Wikimedia Commons, a partir de material oficial de Binance.
Fuentes: FinanceFeeds, Reversing Labs, ten10, CoinDesk. Binance también compartió el informe en su cuenta de X el 3 de noviembre.
Transparencia: este artículo fue producido con ayuda de inteligencia artificial, cruzando publicaciones públicas en X y fuentes de internet. Consulte siempre las fuentes originales citadas.
Muse
