Binance, una de las plataformas de intercambio de criptomonedas más grandes del mundo, ha publicado su informe inicial de investigación tras sufrir un incidente de seguridad grave el pasado 29 de octubre de 2026.
La empresa ha calificado el ataque como: «altamente sofisticado y de múltiples etapas». El suceso dejó al descubierto vulnerabilidades complejas que involucraron ingeniería social avanzada, herramientas internas de inteligencia artificial y una explotación pionera del mecanismo de autorización EIP-7702 en Ethereum.
A pesar de que aproximadamente USD 6.34 mil millones en activos digitales se vieron afectados durante el ataque, Binance confirmó que asumirá por completo el impacto financiero de los fondos.
Al 31 de octubre, el 98% de los activos en tokens afectados ya han sido repuestos y pueden verificarse en la página oficial de Prueba de Reservas de la compañía. El porcentaje restante, correspondiente a activos de menor liquidez, se encuentra en proceso de adquisición.
Gracias a la rápida contención, la suspensión temporal de retiros y la coordinación con socios de la industria, también se lograron congelar o interceptar cerca de USD 2.85 mil millones antes de que salieran del control de las redes de recuperación.
Con base en la información del FBI, el informe señala directamente a Corea del Norte como la responsable intelectual y ejecutiva de la campaña.
La investigación detalla que la brecha no fue un simple ataque de phishing ni una falla aislada, sino una operación meticulosa tejida a lo largo de varios meses de infiltración. Todo comenzó en junio de 2026 con un ataque a la cadena de suministro cuando un ingeniero del equipo Wallet DevOps descargó una versión manipulada de una herramienta de desarrollo tras buscarla en un motor de búsqueda.
Aunque la anomalía fue detectada y los dispositivos reemplazados preventivamente, el rol y las conexiones del ingeniero quedaron expuestos.
Meses después, en septiembre, un segundo ingeniero de software fue contactado en una plataforma de empleo por falsos reclutadores que se hicieron pasar por directores de proyectos y CEOs de empresas ficticias. Durante las entrevistas en videollamada, los atacantes utilizaron información personal real para generar confianza, culminando con la descarga de una «tarea» que contenía un repositorio de código malicioso capaz de evadir la detección de herramientas comunes de seguridad.
El 20 de octubre, usando la computadora comprometida de este segundo ingeniero, los atacantes aprovecharon una herramienta interna de IA para obtener control sobre las credenciales de despliegue del primer ingeniero, culminando el 29 de octubre entre las 17:15 y las 19:56 UTC al desplegar un contenedor malicioso que drenó masivamente fondos en hot wallets de XRP, Solana, Optimism y Bitcoin, incluyendo 18,270 BTC.
En una fase avanzada, el atacante utilizó el servicio de firma para manipular el mecanismo EIP-7702 de Ethereum, el cual permite delegar derechos de ejecución a smart contracts sin exponer la clave privada, otorgando a contratos maliciosos permisos parciales sobre una hot wallet. Esto obligó a Binance a desarrollar un procedimiento técnico especializado debido a la complejidad de las firmas descentralizadas Multi-Party Computation (MPC) para revocar estas autorizaciones on-chain, finalizando la última transferencia a las 23:56 UTC y eliminando el código de delegación a las 00:10 UTC del 30 de octubre.
Para responder a esta crisis, Binance ha implementado un plan de remediación inmediato que incluye la reconstrucción total de los sistemas de wallets y herramientas de IA en entornos nuevos, el reemplazo masivo de equipos de trabajo, la desactivación de credenciales comprometidas y la ampliación de los sistemas de detección de anomalías de comportamiento basados en IA.
De cara al futuro, la compañía ha anunciado tres líneas de acción urgentes: una revisión independiente de ciberseguridad a cargo de expertos externos, un aumento histórico en la inversión de prevención mediante IA y seguridad en entornos de desarrollo, y la creación de un fondo de investigación de seguridad en colaboración con empresas líderes tecnológicas y firmas de análisis blockchain.
«Este no debió ocurrir, y pedimos disculpas por la preocupación, interrupción e incertidumbre que causó a nuestros usuarios, socios y a la industria en general. Compartimos este informe inicial porque la seguridad mejora cuando la industria aprende en conjunto», concluyó el comunicado oficial de la compañía.
