Cinco días después de haber sufrido el hackeo más grande de la historia, Binance hizo pública su primera investigación acerca de sus causas y sus culpables. Las revelaciones de la plataforma de criptomonedas más grande del mundo acerca de cómo le robaron USD 6.300 millones relatan un plan con múltiples etapas y técnicas combinadas. En su informe preliminar, Binance reconoció que sufrió "un incidente de seguridad grave y altamente sofisticado" en el que se mezclaron distintas estrategias, que incluyeron hasta la ingeniería social propia de los fraudes digitales cotidianos. Un primera ataque, fallido, había dado información a los hackers respecto de la seguridad de la empresa. La estocada final incluyó la creación de una empresa falsa que engaló a un programador de Binance con una supuesta búsqueda laboral y que logró hacer que instale un archivo malicioso.
En relación con los responsables del ataque, Binance consignó además que "la información más reciente publicada por el Federal Bureau of Investigation (FBI) indica que la República Popular Democrática de Corea es responsable de este incidente".
El informe señala que la operación fue compleja y desarrollada en varias etapas: "No fue una única brecha aislada ni un simple incidente de phishing". Los atacantes combinaron una variedad de técnicas, incluyendo ingeniería social mediante entrevistas de trabajo falsas, descargas de software malicioso, herramientas internas de IA comprometidas, compromiso de endpoints y un método avanzado de autorización de transacciones.
La empresa reafirmó que asumirá el impacto financiero del robo, que en ningún caso recaerá sobre los usuarios. Al 31 de octubre de 2026, "el 98% de los activos en tokens afectados han sido repuestos y pueden verificarse en la página de Prueba de Reservas. Estamos en proceso de adquirir los activos restantes, que tienen menor liquidez", dijo. Del monto total sustraído, USD 2.850 millones en activos digitales "han sido congelados o interceptados, sujeto a conciliación y a la volatilidad de los precios de mercado".
La empresa aclaró que la investigación continúa, que incorporará nuevas revisiones con investigadores independientes y que en el informe inicial omitió algunos detalles técnicos para evitar que otros ciberdelincuentes los utilicen para planificar ataques.
Según el informe de Binance, el ataque comenzó cuando un intruso consiguió "un acceso no autorizado a un servicio interno de firma de wallets" y lo empleó para iniciar movimientos al margen del circuito habitual de retiros. Así, hubo un primer movimiento desde cinco hot wallets de Binance hacia direcciones de los hackers.
La plataforma detectó una alerta por transferencias de gran volumen y abrió una investigación mientras los fondos salían desde redes. Como respuesta, activó "múltiples medidas de contención", entre ellas la suspensión de retiros, la coordinación con socios para congelar tokens y acciones para revocar permisos indebidos. La compañía informó que esas gestiones permitieron bloquear USD 2.850 millones en activos.
Sin embargo, advirtió que el freno a los retiros no bastaba: las autorizaciones maliciosas de las transferencias estaban registradas en la cadena y funcionaban "de forma independiente de la infraestructura normal de retiros de Binance". Para anularlas, debió ejecutar transacciones adicionales y un procedimiento, ya que su billetera operaba con computación multipartita, sin una única clave privada disponible.
Binance relató que en junio de este año el "Ingeniero A", un empleado del equipo de billeteras al que no identifica, descargó un programa modificado después de buscar una herramienta de inteligencia artificial. El equipo de seguridad detectó la situación, cambió su computadora y renovó sus accesos. Sin embargo, en ese momento el atacante obtuvo información sobre las funciones de ese ingeniero de Binance y otros compañeros.
A lo largo de 2026, Binance ya había detectado y frenado 57 casos sospechosos relacionados con grupos vinculados a Corea del Norte. Las maniobras incluyeron falsas ofertas de empleo, programas que parecían útiles y mensajes de videollamadas y operaciones de ingeniería social destinadas a obtener credenciales o instalar programas maliciosos.
De acuerdo con Binance, en septiembre un empleado identificado como "Ingeniero B" recibió una falsa propuesta laboral. Tras dos entrevistas, descargó en su computadora corporativa una supuesta prueba técnica que incluía código malicioso. La compañía señaló que el programa reemplazó una herramienta legítima de desarrollo y permitió a los atacantes ejecutar comandos y comunicarse con un servidor bajo su control.
El 20 de octubre, los intrusos habrían usado una herramienta interna de inteligencia artificial desde ese equipo comprometido para alcanzar a otros trabajadores del área de wallets. Allí detectaron un token con permisos para desplegar contenedores, según la reconstrucción de la empresa.
El 29 de octubre, entre las 17:15 y las 19:56 UTC, los responsables ingresaron al equipo de un tercer ingeniero, utilizaron las credenciales del empleado de Wallet DevOps y desplegaron un contenedor con un script malicioso. Binance afirmó que esa operación permitió el acceso al sistema de firma de las billeteras.
La compañía informó que reconstruyó los sistemas involucrados, reemplazó los dispositivos comprometidos y anuló las credenciales y tokens relacionados. También anunció una revisión de ciberseguridad independiente y nuevas inversiones en protección de endpoints, detección con inteligencia artificial y monitoreo de operaciones inusuales.
