Cinco días después de haber sufrido el hackeo más grande de la hisotria, Binance hizo pública su primera investigación acerca de sus causas y sus culpables. Las revelaciones de la plataforma de criptomonedas más grande del mundo acerca de cómo le robaron USD 6.300 millones relatan un plan extenso y minucioso. En su informe preliminar, Binance reconoció que sufrió "un incidente de seguridad grave y altamente sofisticado" en el que se mezclaron distintas estrategias, que incluyeron hasta la ingeniería social propia de los fraudes digitales cotidianos.
En relación con los responsables del ataque, Binance consignó además que "la información más reciente publicada por el Federal Bureau of Investigation (FBI) indica que la República Popular Democrática de Corea es responsable de este incidente".
El informe señala que la operación fue compleja y desarrollada en varias etapas: "No fue una única brecha aislada ni un simple incidente de phishing. Los atacantes combinaron una variedad de técnicas, incluyendo ingeniería social mediante entrevistas de trabajo falsas, descargas de software malicioso, herramientas internas de IA comprometidas, compromiso de endpoints y un método avanzado de autorización de transacciones".
La empresa reafirmó que asumirá el impacto financiero del robo, que en ningún caso recaerá sobre los usuarios. Al 31 de octubre de 2026, "el 98% de los activos en tokens afectados han sido repuestos y pueden verificarse en la página de Prueba de Reservas. Estamos en proceso de adquirir los activos restantes, que tienen menor liquidez", dijo. Del monto total sustraído, cerca de USD 2850 millones en activos digitales "han sido congelados o interceptados, sujeto a conciliación y a la volatilidad de los precios de mercado".
Binance aclaró que la investigación continúa, que incorporará nuevas revisiones con investigadores independientes y que en el informe inicial omitió algunos detalles técnicos para evitar que otros ciberdelincuenbtes los utilicen para planificar ataques.
Según el informe de Binance, el ataque comenzó cuando un intruso consiguió "un acceso no autorizado a un servicio interno de firma de wallets" y lo empleó para iniciar movimientos al margen del circuito habitual de retiros. Así, hubo un primer movimiento desde 5 hot wallets de Binance hacia direcciones de los hackers.
La plataforma detectó una alerta por transferencias de gran volumen y abrió una investigación mientras los fondos salían desde redes. Como respuesta, activó "múltiples medidas de contención", entre ellas la suspensión de retiros, la coordinación con socios para congelar tokens y acciones para revocar permisos indebidos. La compañía informó que esas gestiones permitieron bloquear USD 2.850 millones en activos.
Sin embargo, advirtió que el freno a los retiros no bastaba: las autorizaciones maliciosas de las transferencias estaban registradas en la cadena y funcionaban "de forma independiente de la infraestructura normal de retiros de Binance". Para anularlas, debió ejecutar transacciones adicionales y un procedimiento, ya que su billetera operaba con computación multipartita, sin una única clave privada disponible.
Binance relató que en junio de este año el "Ingeniero A", un empleado del equipo de billeteras al que no identifica, descargó un programa modificado después de buscar una herramienta de inteligencia artificial. El equipo de seguridad detectó la situación, cambió su computadora y renovó sus accesos. Sin embargo, en ese momento el atacante obtuvo información sobre las funciones de ese ingeniero de Binance y otros compañeros.
A lo largo de 2026, Binance ya había detectado y frenado 57 casos sospechosos relacionados con grupos vinculados a Corea del Norte. Las maniobras incluyeron falsas ofertas de empleo, programas que parecían útiles y mensajes para conseguir claves de acceso. La empresa señaló que los intentos apuntaban a organizaciones del sector de criptomonedas.
En septiembre aparecieron las maniobras de ingeniería social. Un supuesto director de proyecto contactó al "Ingeniero B" por una plataforma de empleo. El perfil del trabajador mencionaba su experiencia en Binance. Primero hubo una entrevista falsa de trabajo por videollamada con alguien que decía ser representante de recursos humanos. Luego otro contacto se presentó como el CEO de una empresa ficticia.
Cerca del final de esa segunda entrevista laboral falsa, le pidieron al "Ingeniero B" que descargara una "tarea" en su computadora laboral que contenía software malicioso. El archivo activó acciones sin autorización y dio al atacante una vía para comunicarse con el equipo afectado. También ocultó la actividad y dificultó su detección.
El 20 de octubre el atacante usó la computadora afectada del "Ingeniero B" para ingresar a una herramienta interna y alcanzar al "Ingeniero A" y al Ingeniero C. Así encontró en el equipo de A un permiso que permitía instalar programas en otros equipos. La maniobra amplió su acceso.
Por último, el 29 de octubre de 2026 el atacante entró en la computadora del Ingeniero C. Usó datos robados del Ingeniero A, instaló un programa y activó una orden que puso en marcha el ataque. Con ese paso, logró intervenir el manejo de las billeteras digitales.
A partir de allí, Binance tomó una serie de medidas tendientes a fortalecer controles, reemplazar los dispositivos afectados en el ataque, reconstruir las herramientas de IA involucradas y trabajar con gobiernos, firmas de inteleigencia blockchain y socios para rastrear y congelar los activos afectados.
"Continuaremos fortaleciendo nuestras medidas a medida que avance la investigación. Existen varias medidas de seguridad que hemos implementado y estamos implementando que permanecerán confidenciales para evitar que actores maliciosos comprometan nuestra seguridad", concluyó el informe de Binance.
