Cómo empezó el hackeo de Binance: una descarga falsa y una entrevista de trabajo falsa

Cuando informamos sobre el hackeo de Binance del 29 de octubre, quedaba una pregunta abierta: ¿cómo entraron los atacantes? El 3 de noviembre Binance publicó su primer relato detallado. Según ese relato, el ataque no empezó con código defectuoso, sino con una descarga falsa y una entrevista de trabajo falsa. Esto es lo que Binance dice que ocurrió y lo que cualquiera puede aprender de ello.

Puntos clave: ¿cómo empezó el hackeo de Binance?

• Binance habla de una «campaña de meses», no de un error de una sola persona.
• En junio, un ingeniero que buscaba una popular herramienta de programación con IA descargó una versión manipulada.
• En septiembre, falsos reclutadores dieron a otro ingeniero una prueba de programación con malware oculto.
• Después, los atacantes pasaron de un ordenador de empleado a otro hasta llegar al sistema que aprobaba las transacciones de los monederos.
• Esto es sobre todo el relato de la propia Binance. Una empresa de seguridad externa lo está revisando.
• Los mismos trucos se usan contra la gente común: descargas falsas, ofertas falsas y confianza mal puesta.

¿Cómo entraron los atacantes?

Al principio, Binance dijo que el incidente «podría implicar el portátil comprometido de un ingeniero de DevOps». Su codirector ejecutivo, Richard Teng, rechaza ahora la idea de un único punto débil y dice que los atacantes «pasaron meses abriéndose camino». Según CNBC y The Record, Binance describe cuatro fases:

• Junio: una descarga falsa. Un ingeniero de Binance descargó un instalador manipulado «para instalar una popular herramienta de programación con IA tras buscarla en un buscador». Binance lo detectó, sustituyó el ordenador y cambió las credenciales. Pero dice que los atacantes ya habían averiguado el puesto del ingeniero y quiénes eran sus compañeros del equipo de monederos.
• Septiembre: una entrevista falsa. Los atacantes «se hicieron pasar por reclutadores y realizaron una serie de entrevistas con otro ingeniero», dijo Teng a CNBC. Todo terminó en un ejercicio de programación que contenía «malware oculto diseñado para eludir la seguridad».
• Hasta el 20 de octubre: moverse por dentro. Los atacantes se extendieron a otros ordenadores de empleados, informó The Record. Teng dice que, a través de herramientas internas de IA, llegaron a «el sistema que autorizaba nuestras transacciones de monederos».
• 29 de octubre: el robo. Para las primeras transferencias se usó un servicio interno de firma de transacciones de monederos, informó The Record, seguido de una transferencia de bitcoin por valor de 1.400 millones de dólares y otras 50 transacciones. Binance calcula el total en 6.340 millones de dólares.

Binance ya había dicho que no encontró pruebas de que se filtraran claves privadas de los monederos. Una clave privada es el código secreto que controla un monedero. Así que, según este relato, los atacantes no necesitaron robar las claves. Entraron en el sistema que podía usarlas.

¿Qué se desconoce todavía?

La mayor parte de esto procede de la propia Binance. La empresa dice que ha reconstruido los sistemas afectados y ha contratado a una firma de seguridad para revisar el incidente, y esa revisión aún no se ha publicado. El FBI dice que Corea del Norte fue la responsable. Corea del Norte lo niega, y Teng no ha nombrado él mismo a ningún atacante. Binance dice que ha repuesto el 98 % de los activos afectados con su propio dinero.

¿Por qué te importa si no eres ingeniero?

Tú no gestionas un sistema de monederos. Pero los primeros pasos de este ataque funcionarían con casi cualquiera, porque apuntan a los hábitos y no a la tecnología:

• Confiar en un resultado de búsqueda. La Comisión Federal de Comercio de EE. UU. (FTC) advierte de que los estafadores «colocan anuncios falsos de software en redes sociales y buscadores».
• Confiar en una oportunidad. Una oferta de empleo, una prueba o una herramienta de inversión pueden ser el motivo para abrir un archivo que normalmente ignorarías.
• Confiar con el tiempo. No todas las estafas te meten prisa. Estos atacantes hicieron primero una serie de entrevistas.

¿Cómo detectar un correo o mensaje de phishing?

El phishing es un mensaje que finge venir de alguien en quien confías para que hagas clic, pagues o compartas un secreto. Los consejos de la FTC y de la agencia estadounidense de ciberseguridad CISA se resumen en estas señales:

• Presión: tono urgente o consecuencias graves si no respondes ahora mismo.
• Petición de secretos: tu acceso, datos de pago, datos personales o un código.
• Una dirección rara: un remitente o enlace con una letra cambiada, o un enlace acortado.
• Una sorpresa: un problema con la cuenta, una factura, un reembolso o un premio que no esperabas.
• Un adjunto que no pediste: la FTC advierte de que puede instalar malware, software creado para hacer daño.

Una buena ortografía no demuestra nada: CISA señala que la IA puede redactar mensajes impecables. Y, en palabras de la FTC, «las empresas legítimas no enviarán un correo ni un SMS con un enlace para actualizar tu información de pago».

¿Qué debes hacer y qué no?

• Descarga desde la fuente. Usa la tienda oficial de aplicaciones o escribe tú mismo la dirección web. No hagas clic en anuncios de software.
• No abras ni ejecutes archivos de desconocidos, ni siquiera para una prueba de trabajo, una «herramienta útil» o una hoja de inversión compartida.
• Comprueba por otra vía. Si un mensaje podría ser real, ignora sus enlaces y números. Abre la aplicación oficial o busca el contacto en la web oficial.
• Mantén tus dispositivos actualizados y configura el software de seguridad para que se actualice solo.
• Usa una contraseña distinta para cada cuenta y activa la autenticación de dos factores (2FA), una segunda comprobación además de la contraseña. CISA recomienda las versiones «resistentes al phishing».
• Nunca compartas tu frase de recuperación, tus claves privadas ni tus códigos de un solo uso. Nadie de buena fe los necesita.

¿Y si ya has hecho clic?

Actúa rápido y no te avergüences: estos trucos engañaron a profesionales. El consejo de la FTC sobre malware es:

1. Deja de iniciar sesión en cuentas en línea.
2. Actualiza tu software de seguridad o instala uno.
3. Ejecuta un análisis y elimina lo que encuentre.
4. Cambia tus contraseñas y activa la 2FA.

Si una cuenta de cripto puede estar afectada, contacta con el proveedor a través de su aplicación o web oficial. Desconfía de quien se ofrezca a recuperar tu dinero: el IC3 del FBI llama a esas ofertas «un engaño para volver a perjudicar a quienes ya han perdido dinero».

¿Qué deberías preguntar a cualquier proveedor de cripto?

Tanto si usas una empresa como si guardas tus propias claves, los ataques apuntan a las personas y los sistemas que rodean las claves. Antes de confiar en un proveedor, pregunta:

• ¿Quién guarda las claves: esta empresa o un custodio independiente?
• ¿Cuánto se mantiene en línea y quién puede aprobar una retirada?
• ¿Está autorizado donde vives, y por quién?
• ¿Qué pasa con tu dinero tras un hackeo o una quiebra?

Ninguna respuesta elimina el riesgo. En el hackeo de Bybit de 2025, los atacantes entraron a través del ordenador de un desarrollador de un proveedor externo de software de monederos. Usar otra empresa traslada el riesgo, pero no lo elimina. Encontrarás más en nuestro artículo sobre dónde guarda tus criptomonedas una plataforma de intercambio.

Qué te llevas de esto

La firma de análisis TRM Labs lo considera el mayor robo de criptomonedas registrado. Según el relato de Binance, empezó con un resultado de búsqueda y una oferta de trabajo. La defensa rara vez es complicada: ve más despacio, comprueba por otra vía y nunca ejecutes ni compartas lo que te envíe un desconocido.

Qué puedes hacer ahora

• Crea hábitos cotidianos con nuestra introducción a la seguridad.
• Practica con ejemplos reales en detecta la estafa.
• Aprende cómo funcionan los monederos y las claves en guardar criptomonedas.

Preguntas de los lectores

¿Causó un solo empleado el hackeo de Binance?

Binance dice que no. Describe meses de trabajo a través de los ordenadores de varios ingenieros y de herramientas internas, y no ha culpado a ninguna persona.

¿Las estafas de empleo son un riesgo para la gente común?

Sí. Si te piden instalar un programa o abrir un archivo para una «prueba», comprueba antes la empresa por tu cuenta.

¿Una buena ortografía indica que un mensaje es real?

No. CISA advierte de que la IA puede redactar mensajes impecables, así que comprueba el remitente y lo que te pide.

Los precios de las criptomonedas pueden subir y bajar bruscamente, y podrías perder parte o la totalidad del dinero que inviertas. Las criptomonedas no están cubiertas por la garantía de depósitos. Este artículo tiene fines educativos y no es asesoramiento financiero.