Binance explica cómo le robaron: paquetes manipulados, una falsa entrevista de trabajo y una herramienta interna de IA

Es el primer relato oficial del ataque del 29 de octubre. Binance cifra el impacto en unos 6.340 millones de dólares y dice que unos 2.850 millones están congelados o interceptados, «sujeto a conciliación y a la volatilidad de precios».

La cadena empezó en junio, cuando un ingeniero de operaciones de monederos instaló un paquete de Homebrew manipulado.

En septiembre, otro ingeniero cayó en una falsa entrevista de trabajo con un repositorio malicioso.

El 20 de octubre el atacante usó una herramienta interna de IA para llegar a otros ingenieros, y el 29 de octubre lanzó el script desde el equipo de uno de ellos.

Con acceso al servicio interno de firma de monederos, usó EIP-7702 para dar a un contrato suyo permisos parciales sobre un monedero caliente. Binance cita la alerta del FBI que atribuye el ataque a Corea del Norte y dice haber detectado 57 casos sospechosos vinculados a ese país en 2026.

Según el informe, a 31 de octubre había repuesto el 98 % de los tokens afectados. Anuncia una auditoría de ciberseguridad independiente, más detección con IA y un fondo de investigación en seguridad.

El 29 de octubre de 2026, Binance sufrió un incidente de seguridad grave y altamente sofisticado. Esto no debería haber ocurrido, y pedimos disculpas por la preocupación, las molestias y la incertidumbre que causó a nuestros usuarios, socios y al sector en general.

Nuestra principal responsabilidad es proteger a los usuarios. Binance asumirá el impacto financiero de los fondos robados, no nuestros usuarios. Ya hemos reservado más del 100 % de los fondos necesarios para cubrir la pérdida. Al 31 de octubre de 2026, el 98 % de los tokens afectados se han repuesto y se pueden verificar en nuestra página de Prueba de Reservas . Estamos en proceso de adquirir los tokens restantes, que son menos líquidos.

El incidente afectó a activos digitales por un valor aproximado de 6340 millones de dólares. Al momento de esta actualización, se han congelado o interceptado activos digitales por un valor aproximado de 2850 millones de dólares, sujetos a conciliación y a la volatilidad de los precios del mercado.

Hemos tomado medidas inmediatas para contener el incidente y reforzar los sistemas implicados. Los puntos de entrada identificados como utilizados en el ataque han sido bloqueados. Los sistemas afectados por el ataque han sido reconstruidos o reemplazados. Asimismo, hemos implementado controles de dispositivos más estrictos, mejorado los controles de riesgo del servicio de monedero y ampliado la detección de anomalías de comportamiento basada en IA.

Este es nuestro informe inicial. En él se recoge la información actual y las mejoras que ya hemos implementado. La investigación continúa y nuestros hallazgos serán sometidos a una revisión independiente. Algunos detalles técnicos se mantendrán confidenciales para evitar que actores malintencionados los utilicen en la planificación de ataques. Estamos colaborando con empresas de seguridad independientes para una revisión más exhaustiva. 

La información más reciente publicada por la Oficina Federal de Investigación (FBI) indica que la República Popular Democrática de Corea es responsable de este incidente.

Compartimos este informe inicial porque la seguridad mejora cuando la industria aprende en conjunto.

¿Qué ocurrió el 29 de octubre?

El ataque se propagó rápidamente a través de varias redes.

El atacante aprovechó el acceso no autorizado a un servicio interno de firma de monedero para iniciar transacciones fuera del proceso normal de retiro.

Entre las 20:05 UTC y las 20:09 UTC , cinco monederos activos de Binance enviaron 233,46 millones de XRP a una dirección controlada por el atacante.

Las carteras en caliente de Binance en Solana y Optimism enviaron aproximadamente 970.500 SOL y 44,2 millones de OP a direcciones controladas por los atacantes.

Posteriormente, Binance recibió una alerta interna sobre transferencias de gran volumen e inmediatamente comenzó a investigar.

La billetera digital de Binance envió 18.270 BTC a una dirección controlada por un atacante. 

El atacante utilizó el servicio de firma para explotar el mecanismo de autorización EIP-7702 de Ethereum. EIP-7702 permite que una cuenta delegue ciertos derechos de ejecución a un contrato inteligente sin exponer la clave privada. En este caso, el atacante utilizó dicho mecanismo para otorgar a un contrato inteligente bajo su control derechos de ejecución parciales sobre una billetera activa de Binance. 

Binance implementó de inmediato diversas medidas de contención, incluyendo la suspensión de retiros para restringir salidas de fondos, la coordinación con socios para congelar los tokens afectados y la revocación de permisos no autorizados. Estas medidas congelaron un total de 2850 millones de dólares en activos.

Sin embargo, suspender los retiros por sí solo no bastaba para detener todos los movimientos de activos no autorizados. Las autorizaciones maliciosas EIP-7702 existían en la cadena de bloques y operaban independientemente de la infraestructura de retiros habitual de Binance. Los atacantes enviaron 50 transacciones de firma para manipular el nonce de la cuenta y establecer autorizaciones de delegación maliciosas. Una vez establecidas, estas autorizaciones les permitieron seguir moviendo activos independientemente de la infraestructura de retiros habitual de Binance. Binance necesitó transacciones adicionales para revocar estas autorizaciones en la cadena de bloques.

El proceso de contención implicó complejidades técnicas adicionales. Dado que la billetera en caliente utilizaba computación multipartita (MPC), no existía una única clave privada que pudiera usarse para revocar de inmediato las autorizaciones maliciosas EIP-7702. Por lo tanto, el equipo desarrolló y ejecutó un procedimiento especializado para revocar dichas autorizaciones, lo que requirió tiempo adicional. Además, la suspensión de retiros y el cierre de los servicios de la billetera en caliente no invalidaron automáticamente las autorizaciones existentes en la cadena de bloques.

Estos desafíos prolongaron el tiempo necesario para contener por completo los movimientos de activos no autorizados. Estamos revisando el proceso de respuesta a incidentes, la cobertura de las pólizas de suscripción, los controles de monederos digitales e identificando oportunidades para fortalecer aún más nuestra capacidad de respuesta rápida ante futuras amenazas.

La última transferencia no autorizada de 2961,9 ETH se completó en la cadena de bloques a las 23:56 UTC . La transacción se había transmitido previamente y permaneció pendiente antes de finalizarse. No se observaron más transferencias no autorizadas posteriormente.

A las 00:10 UTC del 30 de octubre de 2026 , Binance ejecutó una nueva autorización desde la billetera caliente Binance14 a la dirección cero, borrando el código de delegación EIP-7702.

Preparación del ataque 

Nuestra investigación actual indica que se trató de una campaña sofisticada y multifase. No fue una brecha aislada ni un simple incidente de phishing. Los atacantes combinaron diversas técnicas, incluyendo ingeniería social mediante entrevistas de trabajo falsas, descargas de software malicioso, herramientas internas de IA comprometidas, vulneración de puntos finales y un método avanzado de autorización de transacciones.

• Junio ​​de 2026: Ataque a la cadena de suministro. El ingeniero A del equipo de Desarrollo y Operaciones de la Cartera descargó una instalación manipulada de Homebrew para instalar una popular herramienta de programación de IA tras buscarla en un motor de búsqueda. Nuestro equipo de seguridad detectó la anomalía, reemplazó el dispositivo y cambió todas las credenciales relacionadas como medida preventiva. Sin embargo, el rol del ingeniero A y el de sus compañeros en nuestro equipo de infraestructura de cartera quedaron expuestos al hacker. 
• A lo largo de 2026, el equipo de seguridad de Binance detectó y previno 57 casos de ciberamenazas presuntamente vinculadas a Corea del Norte. Estos intentos reflejan la persistente amenaza que representan los actores patrocinados por estados que atacan al sector de las criptomonedas. Las técnicas empleadas incluyen entrevistas de trabajo fraudulentas, software malicioso disfrazado de herramientas populares para desarrolladores, paquetes de software y extensiones de navegador comprometidos, aplicaciones falsas de videoconferencia y campañas de ingeniería social diseñadas para robar credenciales o desplegar malware de acceso remoto.
• Septiembre de 2026: ingeniería social. El ingeniero de software B fue contactado a través de una plataforma legítima de búsqueda de empleo por una persona que se hacía pasar por director de proyecto. El ingeniero de software B tenía un perfil en la plataforma donde mencionaba su experiencia en Binance. El supuesto director de proyecto concertó una primera entrevista con un representante de recursos humanos, seguida de una segunda entrevista con una persona que afirmaba ser el director ejecutivo de una empresa ficticia.
  • En la primera ronda, el supuesto representante de Recursos Humanos realizó una entrevista por video en directo con el ingeniero de software B. Para ganarse su confianza, el entrevistador compartió con él su cuenta de redes sociales, incluyendo fotos y vídeos personales publicados en la plataforma. Esta táctica resultó más sofisticada y engañosa que las técnicas de ingeniería social vistas anteriormente. 
  • La segunda entrevista se realizó a través de una popular aplicación de chat. Casi al final de la entrevista, se le indicó al ingeniero B que descargara una «tarea» que contenía un repositorio de código malicioso en su computadora de trabajo. El repositorio contenía código malicioso que se ejecutaba durante el proceso de instalación, iniciando una serie de actividades no autorizadas.
  • El malware empleó técnicas sofisticadas de ofuscación y evasión, incluyendo la sustitución de un componente legítimo de una herramienta de desarrollo por una versión maliciosa para ejecutar comandos y establecer comunicación con un servidor externo controlado por el atacante. En ese momento, las herramientas de protección de seguridad de los endpoints no detectaron el malware de día cero. El atacante también tomó medidas para ocultar la actividad maliciosa y eliminar rastros de la intrusión, lo que dificultó su detección e investigación posterior.
  • El script ejecutó los siguientes pasos aplicando técnicas de ofuscación para evadir la detección de seguridad.

CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_  

MODIFICAR pyenv_ → 3.414 B  

ELIMINAR …/libexec/pyenv (3.344 B) ← eliminar el pyenv válido

CAMBIAR EL NOMBRE DE pyenv_ → pyenv (3414 B) ← reemplazarlo con una versión maliciosa

ELIMINAR /opt/homebrew/bin/pyenv (3.414 B)

ln (crear un nuevo enlace simbólico) + spawn zsh

• 20 de octubre de 2026: uso de una herramienta interna de IA como punto de partida. El atacante aprovechó el ordenador comprometido del ingeniero B y utilizó una herramienta interna de IA para obtener el control del ingeniero de DevOps de la billetera A y de otro ingeniero de software de la billetera C. El atacante pronto descubrió que el ingeniero de DevOps de la billetera A tenía un token de permiso de implementación de contenedores en su ordenador.
• 29 de octubre de 2026: acceso no autorizado a las operaciones de firma de monederos. El 29 de octubre, entre las 17:15 y las 19:56, el atacante accedió al ordenador del ingeniero de software C, utilizó las credenciales robadas al ingeniero de desarrollo de monederos A, desplegó un contenedor y activó un script malicioso para lanzar el ataque.

Lo que hemos hecho

A fecha de 3 de noviembre de 2026, hemos tomado las siguientes medidas:

• Reconstruí el sistema de billetera afectado en un nuevo entorno.
• Se reconstruyó la herramienta de IA interna afectada y los controles de acceso.
• Se sustituyeron los dispositivos afectados.
• Credenciales y tokens desactivados relacionados con los ingenieros afectados.
• Se han completado análisis de seguridad reforzados en todos los dispositivos de los empleados.
• Detección mejorada de anomalías de comportamiento basada en IA.
• Se han reforzado los controles de riesgo del servicio de monedero electrónico.
• Colaboramos con las fuerzas del orden, empresas de inteligencia de blockchain y socios del sector para rastrear y congelar los activos afectados.

Continuaremos reforzando nuestras medidas a medida que avance la investigación. Hemos implementado y estamos implementando diversas medidas de seguridad que se mantendrán confidenciales para evitar que agentes malintencionados comprometan nuestra seguridad.

Acciones adicionales

Tomaremos las siguientes medidas de inmediato.

1. Revisión independiente de ciberseguridad

Hemos contratado a expertos independientes en ciberseguridad para que realicen una revisión exhaustiva del incidente, validen nuestros hallazgos y recomienden medidas adicionales. El alcance y las conclusiones de dicha revisión servirán de base para las labores de mitigación que seguiremos llevando a cabo.

2. Mayor inversión en seguridad y prevención de la IA.

Estamos incrementando la inversión en detección basada en IA, protección de endpoints, seguridad del entorno de desarrollo y monitorización de anomalías de comportamiento.

3. Fondo de investigación en seguridad e iniciativas de la industria.

Estamos trabajando en la creación de un fondo de investigación en seguridad e iniciativas específicas con empresas líderes en IA, participantes de la industria y firmas de seguridad centradas en la seguridad de la IA en entornos blockchain