Binance revela cómo la hackearon: una entrevista de trabajo falsa y una herramienta de IA interna

Binance publicó este 3 de noviembre su informe inicial sobre el hackeo del 29 de octubre, y la historia no empieza ese día: empieza meses antes, con una instalación de software manipulada y una entrevista de trabajo falsa a uno de sus ingenieros. Con esa puerta abierta, el atacante usó una herramienta de inteligencia artificial interna de la empresa, robó credenciales y llegó al servicio que firma las transacciones de sus billeteras. Te contamos qué pasó paso a paso, qué cifras da Binance y qué lección deja para cualquiera que trabaje o invierta en cripto.

El informe, titulado “Incidente de seguridad del 29 de octubre: Hallazgos iniciales y actualización de respuesta”, lo publicó la cuenta oficial de Binance Latinoamérica en X. La empresa lo abre con una disculpa: “Esto no debió ocurrir”. Sigue el estado de los retiros y de la prueba de reservas día a día en nuestra página Binance hoy.

Las cifras que da Binance

• Lo afectado: unos US$6.340 millones en activos digitales.
• Lo congelado o interceptado: unos US$2.850 millones, “sujeto a conciliación y a la volatilidad de los precios de mercado”.
• Lo repuesto: al 31 de octubre, el 98% de los activos en tokens afectados, verificable en su prueba de reservas. Binance dice que ya apartó “más del 100%” de lo necesario y que compra el resto, que son monedas con menos liquidez.
• Quién pierde: “Binance asumirá el impacto financiero de los fondos robados, no nuestros usuarios”.

Ojo con el 98%: en su anuncio de recuperación del 2 de noviembre, Binance hablaba de “aproximadamente el 95%” de lo afectado. Son medidas distintas (el 98% se refiere a los tokens afectados) y la empresa no explica la diferencia. Si quieres comprobar tu propio saldo, sigue esta guía de la prueba de reservas.

Cómo se preparó el ataque, según Binance

1. Junio de 2026: una descarga falsa. Un ingeniero del equipo de operaciones de billeteras buscó en un buscador una herramienta de programación con IA y descargó una instalación manipulada de Homebrew, un instalador de programas muy usado en computadoras Mac. Seguridad detectó la anomalía, cambió el equipo y rotó sus credenciales, pero su rol y el de sus colegas quedaron expuestos ante el atacante.
2. Septiembre: la entrevista de trabajo falsa. Otro ingeniero fue contactado en una plataforma legítima de empleo por alguien que se hacía pasar por director de proyectos. Hubo una primera entrevista por videollamada con una supuesta persona de recursos humanos, que incluso le mostró fotos y videos personales para ganarse su confianza, y una segunda en una app de chat con un supuesto CEO de una empresa ficticia. Al final le pidieron descargar una “tarea”: un repositorio de código con un programa malicioso que se ejecutó en su computadora de trabajo. Era un malware nuevo (de “día cero”) que las herramientas de seguridad no detectaron; reemplazó un componente legítimo de una herramienta de desarrollo y borró sus rastros.
3. 20 de octubre: la IA interna como puente. Desde esa computadora, el atacante usó una herramienta interna de IA de Binance para tomar control de los equipos de otros dos ingenieros. En uno encontró un permiso (un “token”) para desplegar contenedores, que son paquetes de software listos para ejecutarse en los servidores.
4. 29 de octubre: el golpe. Entre las 17:15 y las 19:56 UTC, el atacante entró en la computadora de un ingeniero, usó las credenciales robadas del otro, desplegó un contenedor y activó un programa malicioso con acceso al servicio interno que firma las transacciones de las billeteras.

Binance dice que no fue “una única brecha aislada ni un simple incidente de phishing”, sino una campaña de varias etapas. En lo que va de 2026, su equipo de seguridad detectó y frenó 57 intentos vinculados a Corea del Norte. El informe recuerda que el FBI atribuye el ataque a ese país.

La noche del robo, hora por hora (UTC)

• 20:05 a 20:09: cinco billeteras calientes de Binance envían 233,46 millones de XRP a una dirección del atacante.
• Después: salen unos 970.500 SOL y 44,2 millones de OP desde las billeteras de Solana y Optimism. Llega una alerta interna por transferencias de gran volumen y Binance empieza a investigar.
• Luego: una billetera caliente envía 18.270 BTC al atacante.
• Ethereum: el atacante usa EIP-7702 para tomar control parcial de una billetera caliente (abajo te lo explicamos).
• 23:56: se confirma la última transferencia no autorizada, de 2.961,9 ETH. Binance dice que después no hubo más.
• 00:10 del 30 de octubre: Binance revoca la autorización maliciosa en la billetera “Binance14”.

Qué es EIP-7702 y por qué frenar los retiros no bastó

EIP-7702 es una función de Ethereum que llegó con la actualización Pectra. Permite que una cuenta le “preste” ciertos permisos a un contrato inteligente, sin entregar su clave privada. Piensa en darle a alguien una copia de la llave de una sola puerta de tu casa.

El atacante usó el servicio de firma para darle esa copia a un contrato suyo. Según Binance, envió 50 transacciones para manipular el contador de la cuenta (el nonce) y dejar instalada la autorización. El problema es que esa autorización vive en la propia blockchain: aunque Binance suspendió los retiros y apagó sus billeteras calientes, el permiso seguía activo y el atacante podía seguir moviendo fondos.

Revocarlo tampoco era inmediato. La billetera usaba MPC (computación multipartita): la clave está repartida en varias partes y no existe una sola que pueda firmar la revocación al instante. El equipo tuvo que armar un procedimiento especial, y eso alargó la contención.

Qué cambió Binance y qué sigue

Al 3 de noviembre, Binance dice que reconstruyó en un entorno nuevo el sistema de billeteras afectado y la herramienta interna de IA, reemplazó los equipos comprometidos, desactivó las credenciales de los ingenieros afectados, revisó los dispositivos de todos los empleados y reforzó la detección de anomalías y los controles de las billeteras. Anuncia una revisión independiente de ciberseguridad, más inversión en seguridad con IA y un fondo de investigación de seguridad con empresas del sector. Algunos detalles técnicos seguirán siendo confidenciales, dice.

La lección: así entran hoy los atacantes

El informe confirma algo que vale para cualquiera, no solo para los empleados de un exchange:

• Las ofertas de trabajo son un anzuelo. Si una “empresa” te pide descargar un programa o un repositorio como prueba técnica, desconfía, aunque la entrevista parezca profesional y el contacto haya llegado por una plataforma seria.
• Descarga solo desde el sitio oficial. El primer paso del ataque fue un instalador falso encontrado en un buscador. Escribe tú mismo la dirección del sitio o usa la tienda oficial.
• La IA también es una puerta. Las herramientas de IA con acceso a sistemas internos amplían lo que puede hacer quien se cuela en una sola computadora.
• Tus fondos: Binance repite que los usuarios no asumen la pérdida. Nadie de Binance te va a pedir tu contraseña ni que muevas fondos para “protegerlos”.

Contamos el robo desde el primer día en esta nota.

Fuente: Binance Latinoamérica en X, “Incidente de seguridad del 29 de octubre: Hallazgos iniciales y actualización de respuesta” (3 de noviembre de 2026); Binance, “Security Incident | Recovery Update #5” (2 de noviembre). Explicaciones: Criptoinforme.