Según Binance, fue una falsa entrevista de trabajo lo que permitió comprometer un ordenador de un ingeniero de la compañía y abrir el camino al robo de 6.340 millones de dólares en criptomonedas del pasado 29 de octubre. Según el informe inicial publicado por la plataforma, los atacantes utilizaron después una herramienta interna de inteligencia artificial para acceder a los equipos de otros dos empleados y obtener permisos con los que llegaron al sistema de firma de sus carteras.
Una falsa entrevista de trabajo
La explicación amplía la versión preliminar de Binance, que había situado el posible origen del ataque en el portátil de un ingeniero. El nuevo documento describe una operación con falsas identidades, software malicioso y movimientos entre varios equipos hasta alcanzar la infraestructura que autoriza las transferencias.
El contacto que permitió comprometer el ordenador se produjo en septiembre, a través de una plataforma real de búsqueda de empleo. Un supuesto director de proyecto organizó una primera entrevista con una persona que se presentó como responsable de recursos humanos y una segunda con quien decía dirigir una empresa que, según Binance, era ficticia.
Durante la primera conversación por vídeo, la entrevistadora compartió un perfil en redes sociales con fotografías y vídeos personales para generar confianza. Al terminar la segunda entrevista, pidieron al ingeniero que descargara un ejercicio de programación en su ordenador de trabajo. El repositorio contenía código malicioso que se ejecutó durante la instalación.
Binance afirma que el programa sustituyó un componente legítimo de una herramienta de desarrollo por una versión manipulada, estableció comunicación con un servidor de los atacantes y trató de ocultar sus rastros. Las herramientas de protección del equipo no detectaron el software malicioso en aquel momento.
IA para llegar a otros empleados
El siguiente paso llegó el 20 de octubre. Según la investigación de Binance, los atacantes utilizaron el ordenador comprometido y una herramienta interna de IA para acceder a los equipos de un ingeniero de operaciones de carteras y otro ingeniero de software. En el ordenador del primero encontraron un token con permisos para desplegar contenedores, entornos utilizados para ejecutar programas. El 29 de octubre accedieron al equipo del otro empleado y utilizaron las credenciales sustraídas para desplegar un contenedor y ejecutar el programa que lanzó el ataque.
La empresa también revela un incidente ocurrido en junio. Un ingeniero del equipo de operaciones de carteras descargó una instalación manipulada de Homebrew cuando intentaba instalar una herramienta de programación con IA que había buscado en internet. Binance detectó la anomalía, sustituyó el dispositivo y cambió las credenciales relacionadas.
Sin embargo, reconoce que aquel episodio expuso a los atacantes las funciones del empleado y su relación con otros integrantes del equipo de infraestructura de carteras.
Un servicio interno de firma
Los atacantes consiguieron utilizar un servicio interno de firma para ordenar transferencias fuera del procedimiento habitual de retiradas. El robo afectó a carteras de distintas redes, entre ellas Bitcoin, Ethereum, Solana y XRP Ledger.
En Ethereum utilizaron el mecanismo EIP-7702, que permite delegar determinadas funciones de una cuenta en un contrato inteligente. Según Binance, los atacantes lo emplearon para conceder a un contrato bajo su control permisos sobre una cartera de la plataforma.
Esas autorizaciones quedaron registradas en la blockchain y podían seguir funcionando aunque Binance suspendiera las retiradas y apagara sus servicios de carteras. Por ello, detener los sistemas internos no anuló automáticamente la capacidad de los atacantes para mover activos.
La plataforma sostiene que la revocación se complicó porque la cartera utilizaba un sistema de firma distribuida, conocido como MPC. Según su explicación, tuvo que desarrollar y ejecutar un procedimiento específico para cancelar las autorizaciones maliciosas.
La última transferencia no autorizada, de 2.961,9 ethers, se confirmó a las 23:56 UTC del 29 de octubre. Binance precisa que había sido enviada previamente y permanecía pendiente. A las 00:10 UTC del día siguiente ejecutó una nueva autorización para eliminar la delegación de la cartera afectada.
El 98% de los activos repuestos
Binance cifra en aproximadamente 6.340 millones de dólares los activos afectados y en 2.850 millones los fondos congelados o interceptados. La empresa afirma que ha reservado más del importe necesario para asumir las pérdidas y que, a 31 de octubre, había repuesto el 98 % de los activos afectados.
Tras el ataque, Binance asegura haber reconstruido los sistemas de carteras afectados, sustituido dispositivos y retirado las credenciales de los ingenieros implicados. También ha anunciado una revisión con especialistas externos en ciberseguridad.
