Todo comenzó con una oferta laboral. En septiembre, un ingeniero de Binance fue contactado mediante una plataforma de empleo legítima por un supuesto director de proyectos. Tras dos entrevistas —la última vía mensajería con un presunto CEO—, se le solicitó resolver una prueba técnica. El ingeniero descargó el archivo en su computadora de trabajo; la empresa era inexistente y el archivo contenía un malware de día cero que reemplazaba librerías legítimas y abría una conexión reversa a los atacantes, evadiendo las defensas corporativas.
Semanas después, el 29 de octubre, se drenaron fondos de las hot wallets de Binance en diez cadenas de bloques distintas (incluyendo Bitcoin, Ethereum, Solana y Tron). En cerca de 20 minutos se extrajeron unos US$6.340 millones, consolidándose como el mayor exploit en la historia cripto, cuatro veces superior al de Bybit en 2025. El FBI atribuyó el ataque a TraderTraitor, grupo vinculado a Corea del Norte.
Binance aclaró que las llaves privadas no se filtraron ni se vulneraron las cold wallets. Los atacantes tomaron el control de equipos de ingenieros con privilegios de administración para emitir órdenes de retiro válidas desde dentro de la red. La operación venía gestándose desde meses atrás: en junio, un desarrollador había descargado accidentalmente un binario modificado de Homebrew al buscar una herramienta de IA. Aunque ese equipo fue reemplazado y sus credenciales rotadas, los atacantes ya habían mapeado el organigrama del equipo. En octubre, usando una herramienta interna de IA para pivotar lateralmente, infectaron las computadoras de otros dos ingenieros, obtuvieron un token con permisos de despliegue y ejecutaron el script malicioso en el servicio de firma de transacciones.
El vector de ataque mediante reclutamiento falso ya tiene antecedentes directos: en 2024 afectó al desarrollador de wallets Ginco (provocando el robo de US$300 millones a DMM Bitcoin) y al proveedor Safe{Wallet} en el incidente de Bybit. Pese a que Binance realiza simulacros mensuales de phishing y su fundador, Changpeng Zhao, había advertido sobre estos señuelos norcoreanos, firmas de ciberseguridad como Talion criticaron que la arquitectura permitiera comprometer miles de millones a partir de unos pocos equipos sin esquemas de autorización más segregados.
La naturaleza del botín determinó su destino. Mientras que los emisores centralizados de stablecoins (Tether y Circle) congelaron con rapidez US$2.850 millones, en activos como BTC y ETH no existe una entidad central con capacidad de reversión; la única barrera es interceptar los fondos si tocan exchanges centralizados. Según el FBI, los atacantes han estado convirtiendo la mayor parte de los activos a Ether antes de intentar liquidar vía fiat, fondos que las autoridades señalan destinados a programas militares norcoreanos.
Binance aseguró que los saldos de los usuarios están cubiertos mediante su tesorería y el fondo SAFU (creado tras el robo de 7.000 BTC en 2019). Tras suspender los retiros durante dos días y enfrentar una salida masiva de capital y una caída transitoria de Bitcoin superior al 4% (hasta los US$76.000), el flujo de depósitos volvió a estabilizarse. En mercados locales como Chile, el hecho recordó que el exchange opera como entidad extraterritorial fuera de la supervisión de la CMF y la Ley Fintec.
El incidente deja dos recordatorios críticos: los usuarios deben cuidarse del phishing secundario con falsas "compensaciones", y los desarrolladores deben extremar precauciones al ejecutar código de pruebas técnicas de ofertas laborales remotas en plataformas como LinkedIn o Upwork. La brecha más costosa de la industria cripto no se abrió rompiendo criptografía, sino explotando ingeniería social en el eslabón humano.