Recopilado por: Big Pliers
El 3 de noviembre, Binance publicó un informe de investigación preliminar sobre el incidente de seguridad del 29 de octubre, en el que reveló el proceso completo del ataque y la ruta de infiltración de los atacantes detrás de él. El informe muestra que los atacantes tomaron gradualmente el control de los dispositivos de varios empleados mediante falsas entrevistas de reclutamiento, malware y herramientas de IA internas comprometidas, obteniendo finalmente permisos de firma de billetera, y utilizaron el mecanismo de autorización EIP-7702 para eludir el proceso normal de retiro y transferir activos.
El incidente involucró activos totales de aproximadamente 6.340 millones de dólares estadounidenses. Hasta la publicación del informe, aproximadamente 2.850 millones de dólares estadounidenses en activos habían sido congelados o interceptados, y el 98% de los activos de tokens afectados habían sido repuestos. Binance declaró que las pérdidas relevantes serán asumidas por la plataforma, y ha comenzado a reconstruir los sistemas afectados, reforzar las protecciones de seguridad y contratar a un tercero independiente para llevar a cabo una revisión adicional. El informe también señaló que la información más reciente del Buró Federal de Investigaciones muestra que Corea del Norte es responsable de este incidente.
A continuación se presenta el texto completo:
El 29 de octubre de 2026, Binance sufrió un incidente de seguridad grave y altamente complejo. Este incidente no debería haber ocurrido, y nos disculpamos profundamente por la preocupación, la interrupción del negocio y la incertidumbre que ha causado a los usuarios, socios y a toda la industria.
Proteger a los usuarios es siempre nuestra responsabilidad principal. Las pérdidas financieras causadas por los fondos robados en este incidente serán asumidas por Binance y no se trasladarán a los usuarios. Hemos reservado más del 100% del monto de la pérdida para cubrir las pérdidas. Hasta el 31 de octubre de 2026, el 98% de los activos de tokens afectados habían sido repuestos, y los usuarios pueden verificarlo a través de la página de Prueba de Reservas. Para la parte de activos menos líquidos que aún no se ha repuesto, estamos en proceso de adquisición.
El monto total de los activos digitales involucrados en este incidente fue de aproximadamente 6.340 millones de dólares estadounidenses. Hasta la publicación de este informe, aproximadamente 2.850 millones de dólares estadounidenses en activos digitales habían sido congelados o interceptados; el monto específico aún necesita una verificación adicional y puede verse afectado por las fluctuaciones de los precios de mercado.
Tomamos medidas de inmediato para contener el impacto del incidente y reforzar la seguridad de los sistemas afectados. Todos los puntos de entrada de intrusión confirmados explotados por los atacantes han sido cerrados, y los sistemas involucrados en la ruta del ataque también han sido reconstruidos o reemplazados. Además, hemos reforzado aún más las medidas de control de dispositivos, fortalecido los controles de riesgo para los servicios de billetera y ampliado las capacidades de detección de comportamiento anómalo basadas en IA.
Este informe es un informe de investigación preliminar que abarca la situación que entendemos actualmente y las mejoras de seguridad que se han completado. La investigación aún está en curso, y los hallazgos relevantes también estarán sujetos a una revisión independiente adicional. Para evitar que atacantes maliciosos utilicen la información relevante para planificar ataques, algunos detalles técnicos permanecerán confidenciales. Estamos contratando a una empresa de seguridad independiente para llevar a cabo una revisión adicional.
La información más reciente publicada por el Buró Federal de Investigaciones (FBI) muestra que la República Popular Democrática de Corea (RPDC) es responsable de este incidente.
Elegimos publicar este informe preliminar porque solo cuando toda la industria aprenda las lecciones juntas se podrá seguir mejorando el nivel de seguridad.
Qué ocurrió el 29 de octubre
El ataque se desarrolló rápidamente a través de múltiples redes.
Los atacantes utilizaron un acceso no autorizado al servicio interno de firma de billetera para iniciar transacciones fuera del proceso normal de retiro.
Entre las 20:05 y las 20:09 UTC, cinco de las billeteras calientes de Binance transfirieron 233,46 millones de XRP a direcciones controladas por los atacantes.
Posteriormente, las billeteras calientes de Binance desplegadas en las redes Solana y Optimism transfirieron aproximadamente 970.500 SOL y 44,2 millones de OP, respectivamente, a direcciones controladas por los atacantes.
Después de eso, Binance recibió una alerta interna sobre una gran transferencia de activos e inició de inmediato una investigación.
Una de las billeteras calientes de Binance transfirió entonces 18.270 BTC a una dirección controlada por los atacantes.
Posteriormente, los atacantes utilizaron el servicio de firma para abusar aún más del mecanismo de autorización EIP-7702 de Ethereum.
EIP-7702 permite a una cuenta delegar autoridad de ejecución parcial a un contrato inteligente sin exponer la clave privada. En este incidente, los atacantes utilizaron este mecanismo para otorgar a un contrato inteligente controlado por ellos autoridad de ejecución parcial sobre una de las billeteras calientes de Binance.
Binance lanzó inmediatamente múltiples medidas de emergencia, incluyendo la suspensión de retiros para limitar mayores salidas de fondos, la coordinación con socios para congelar los tokens afectados y la adopción de medidas para revocar permisos no autorizados. A través de estas acciones, se congelaron un total de 2.850 millones de dólares en activos.
Sin embargo, la suspensión de retiros por sí sola no fue suficiente para detener todas las transferencias de activos no autorizadas. La autorización maliciosa de EIP-7702 ya existía en la cadena y operaba independientemente de la infraestructura normal de retiros de Binance.
Los atacantes enviaron un total de 50 transacciones firmadas, estableciendo autorizaciones de delegación maliciosas mediante la manipulación del nonce de la cuenta (número de secuencia de transacciones). Una vez establecidas estas autorizaciones, los atacantes pudieron eludir la infraestructura normal de retiros de Binance y continuar transfiriendo activos. Binance tuvo que iniciar transacciones adicionales para revocar estas autorizaciones en la cadena.
Todo el proceso de control de activos también enfrentó otras complejidades técnicas. Debido a que las billeteras calientes involucradas utilizaban tecnología de computación multipartita (MPC), no había una única clave privada que pudiera usarse directamente para revocar inmediatamente la autorización maliciosa de EIP-7702. Para ello, el equipo necesitó desarrollar y ejecutar especialmente un proceso de revocación especial, lo que también requirió tiempo adicional.
Además, suspender los retiros y apagar los servicios de billeteras calientes no invalida automáticamente las autorizaciones existentes en la cadena.
Estos desafíos prolongaron el tiempo necesario para controlar completamente las transferencias de activos no autorizadas. Estamos revisando el proceso de respuesta de emergencia, la cobertura de la política de firma y las medidas de control de billeteras calientes para este incidente, y buscando oportunidades para mejorar aún más la velocidad de respuesta ante futuras amenazas.
La última transferencia no autorizada fue de 2.961,9 ETH, que finalmente se confirmó en la cadena a las 23:56 UTC. Esta transacción había sido transmitida previamente y estaba en estado pendiente antes de ser finalmente confirmada. No se han observado otras transferencias no autorizadas desde entonces.
A las 00:10 UTC del 30 de octubre de 2026, Binance ejecutó una nueva transacción de autorización a la dirección cero a través de la billetera caliente Binance14, borrando el código de delegación de EIP-7702.
Proceso de preparación del ataque
La investigación actual muestra que este incidente fue una compleja operación de ataque de múltiples etapas, no un evento de intrusión único y aislado, ni un simple ataque de phishing.
Los atacantes utilizaron una combinación de múltiples medios técnicos, incluyendo ataques de ingeniería social mediante entrevistas de reclutamiento falsas, inducción a la descarga de malware, uso de herramientas de IA internas comprometidas, compromiso de dispositivos de punto final de empleados y empleo de técnicas avanzadas de autorización de transacciones.
Junio de 2026 — Ataque a la cadena de suministro. El Ingeniero A del equipo de DevOps de Wallet buscó una herramienta de programación de IA popular en un motor de búsqueda, descargó un paquete de instalación de Homebrew manipulado e intentó instalar la herramienta relevante a través de ese paquete. El equipo de seguridad de Binance detectó la anomalía, reemplazó proactivamente el dispositivo y rotó todas las credenciales relacionadas. Sin embargo, la información del rol del Ingeniero A y la información sobre colegas relevantes en el equipo de infraestructura de billeteras ya habían quedado expuestas a los atacantes.
A lo largo de 2026 — Ataques cibernéticos continuos. Desde 2026, el equipo de seguridad de Binance ha detectado y bloqueado 57 incidentes de amenazas cibernéticas sospechosas relacionadas con Corea del Norte. Estos ataques reflejan que los atacantes respaldados por el Estado continúan apuntando a la industria de las criptomonedas. Los métodos de ataque relevantes incluyen entrevistas de reclutamiento falsas, malware disfrazado de herramientas de desarrollo populares, paquetes de software y extensiones de navegador manipulados, aplicaciones de videoconferencia falsas y ataques de ingeniería social diseñados para robar credenciales o desplegar malware de acceso remoto.
Septiembre — Ataque de ingeniería social. El Ingeniero de Software B recibió información de contacto a través de una plataforma de empleo legítima de una persona que afirmaba ser director de proyecto. El perfil del Ingeniero B en la plataforma mencionaba su experiencia trabajando en Binance. La otra parte organizó una ronda de entrevistas dirigida por un representante de recursos humanos, seguida de una segunda ronda de entrevistas que involucraba a una persona que afirmaba ser el CEO de una empresa ficticia.
En la primera ronda de entrevistas, la persona que afirmaba ser representante de RR. HH. realizó una entrevista en video en tiempo real con el Ingeniero de Software B. Para generar confianza, el entrevistador también compartió sus cuentas de redes sociales con el Ingeniero B, incluyendo fotos personales y videos publicados por el entrevistador en la plataforma. Esta táctica fue más sofisticada y engañosa que los métodos de ataque de ingeniería social observados anteriormente.
La segunda ronda de entrevistas se realizó a través de una popular aplicación de chat social. Cerca del final de la entrevista, se le pidió al Ingeniero B que descargara un archivo llamado "assignment" en la computadora de trabajo, el cual contenía un repositorio de código malicioso. El código malicioso del repositorio se ejecutó automáticamente durante la instalación, desencadenando una serie de operaciones no autorizadas.
El malware utilizó técnicas sofisticadas de ofuscación de código y evasión de detección, incluida la sustitución de un componente legítimo de herramienta de desarrollo por una versión maliciosa para ejecutar comandos y establecer comunicación con servidores externos controlados por los atacantes. En ese momento, las herramientas de protección de seguridad de endpoints no lograron detectar este malware de día cero (0-day). Los atacantes también tomaron medidas para ocultar la actividad maliciosa y borrar los rastros relevantes, aumentando aún más la dificultad de detección y la investigación posterior.
El script evadió la detección de seguridad mediante técnicas de ofuscación de código y realizó específicamente las siguientes operaciones:
20 de octubre — Uso de herramientas internas de IA como trampolín de ataque. El atacante utilizó la computadora comprometida del Ingeniero B para tomar aún más el control de los dispositivos del Ingeniero DevOps de Wallet A y de otro Ingeniero de Software de Wallet C a través de las herramientas internas de IA de Binance. El atacante descubrió rápidamente que la computadora del Ingeniero DevOps de Wallet A contenía un token con privilegios de despliegue de contenedores.
29 de octubre — Penetración en las operaciones de firma de la wallet. Entre las 17:15 y las 19:56 del 29 de octubre, el atacante inició sesión en la computadora del Ingeniero de Software C, utilizó credenciales robadas al Ingeniero DevOps de Wallet A para desplegar un contenedor y activó un script malicioso, lanzando finalmente este ataque.
Medidas adoptadas
A partir del 3 de noviembre de 2026, hemos adoptado las siguientes medidas:
Reconstruimos el sistema de wallet afectado en un entorno completamente nuevo.
Reconstruimos las herramientas internas de IA afectadas y sus sistemas de control de acceso.
Reemplazamos los dispositivos afectados.
Revocamos las credenciales y los tokens asociados con los ingenieros afectados.
Completamos escaneos de seguridad reforzados de todos los dispositivos de los empleados.
Mejoramos las capacidades de detección de anomalías de comportamiento basadas en IA.
Reforzamos las medidas de control de riesgos para los servicios de wallet.
Colaboramos con agencias de aplicación de la ley, empresas de inteligencia blockchain y socios del sector para rastrear y congelar los activos afectados.
A medida que continúa la investigación, seguiremos reforzando las medidas de seguridad pertinentes. Algunas de las medidas de seguridad que hemos implementado y estamos implementando permanecerán confidenciales para evitar que atacantes maliciosos utilicen la información pertinente para socavar nuestros sistemas de protección de seguridad.
Acciones de seguimiento
Estamos impulsando de inmediato el siguiente trabajo:
- Realizar una revisión independiente de ciberseguridad
Estamos contratando a expertos independientes en ciberseguridad de terceros para realizar una revisión exhaustiva de este incidente, verificar los hallazgos de la investigación existente y proponer recomendaciones adicionales de mejora de la seguridad. El alcance de la revisión y los resultados finales proporcionarán la base para nuestro trabajo de remediación posterior.
- Aumentar la inversión en seguridad de IA y defensa proactiva
Aumentaremos la inversión en áreas como la detección de amenazas impulsada por IA, la protección de endpoints, la seguridad del entorno de desarrollo y el monitoreo de anomalías de comportamiento.
- Establecer un fondo de investigación de seguridad y promover la colaboración del sector
Estamos colaborando con empresas líderes de IA, participantes del sector y empresas de seguridad, y planeamos establecer un fondo de investigación de seguridad y llevar a cabo proyectos de investigación especializada y colaboración del sector en torno a la seguridad de la IA en entornos blockchain.
A medida que la investigación avance, continuaremos divulgando proactivamente la información pertinente al público.
