Binance afirma que bloqueó 57 presuntas amenazas cibernéticas vinculadas a Corea del Norte en 2026 y ha reemplazado el 98% de los tokens robados en su hackeo de 6.340 millones de dólares.
Resumen
- Binance detectó estafas de reclutamiento, herramientas de desarrollo maliciosas y aplicaciones falsas de videoconferencia entre las presuntas amenazas.
- Yi He reconoció el grave costo del ataque que eludió las defensas del exchange.
- El exchange afirma que sigue comprando tokens menos líquidos para completar la reposición de activos.
- Los investigadores estadounidenses han atribuido el robo del 29 de octubre a la actividad TraderTraitor de Corea del Norte.
La cofundadora y co-CEO de Binance, Yi He, describió los intentos de intrusión en una publicación en X del 3 de noviembre, compartiendo los hallazgos del exchange sobre la brecha de seguridad del 29 de octubre.
Su cuenta describió esfuerzos repetidos para contactar a empleados mediante reclutamiento, descargas de software e ingeniería social. Las técnicas incluyeron entrevistas de trabajo fraudulentas, paquetes de software y extensiones de navegador comprometidos, y programas maliciosos presentados como herramientas de desarrollo populares.
Las aplicaciones falsas de videoconferencia fueron otra vía, junto con campañas diseñadas para robar credenciales o instalar malware que otorga a los atacantes acceso remoto a una computadora.
“Interceptamos muchas de ellas, pero el costo de no detener ni siquiera una fue severo, y esto nunca debió haber sucedido”, escribió Yi.
Binance describe cómo una entrevista falsa llegó a un empleado
Según los hallazgos iniciales de Binance, un ingeniero de software fue contactado en septiembre a través de una plataforma legítima de búsqueda de empleo por alguien que se hacía pasar por director de proyecto.
Un supuesto representante de recursos humanos realizó una entrevista por video y compartió un perfil de redes sociales que contenía fotos y videos personales. Un segundo entrevistador, presentado como el director ejecutivo de una empresa ficticia, instruyó al ingeniero a descargar una tarea en una computadora de trabajo.
Binance dijo que la tarea contenía código malicioso que se ejecutó durante la instalación y evadió la detección de las herramientas de seguridad de endpoint en uso.
El 20 de octubre, el atacante utilizó la computadora comprometida y una herramienta de IA interna para llegar a dos ingenieros de billeteras. Las credenciales obtenidas durante esa intrusión posteriormente permitieron el acceso a las operaciones de firma de billeteras.
La cuenta del exchange describe varias etapas de intrusión, aunque la publicación de Yi no desglosa cuántos de los 57 casos sospechosos involucraron señuelos de reclutamiento.
Hallazgos anteriores sobre autorización de billeteras rastrearon parte del robo hasta Binance 14, una billetera caliente de Ethereum. Blockaid identificó 50 autorizaciones EIP-7702 enviadas, una de las cuales delegó con éxito derechos de ejecución a un contrato malicioso.
Binance reporta una reposición del 98% mientras continúan las compras de tokens
En su informe del 3 de noviembre, Binance dijo que el 98% de los activos de tokens afectados habían sido repuestos y que estaba comprando los activos restantes, menos líquidos. La compañía dijo que había reservado más que los fondos necesarios para cubrir la pérdida.
Como crypto.news informó anteriormente, Binance reabrió los retiros de Bitcoin el 1 de noviembre, cuando Richard Teng situó la reposición en aproximadamente el 95%.
El exchange había identificado BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD y ZEC como totalmente respaldados. Su aviso de recuperación indicó que los tokens pendientes fuera de ese grupo tardaron más en comprarse en las cantidades requeridas.
Las compras de reemplazo se han financiado con el Fondo de Activos Seguros para Usuarios, las reservas excedentes del Fondo de Seguros de Futuros y la tesorería corporativa de Binance, según sus divulgaciones de recuperación anteriores.
El acceso a retiros ha seguido restableciéndose a través de activos y redes individuales. El 3 de noviembre, Binance restauró más retiros para 31 activos adicionales en Ethereum y 20 en Solana, tras la reapertura de cinco stablecoins de Ethereum.
Los investigadores estadounidenses identifican la actividad de TraderTraitor
La alerta cibernética del FBI del 31 de octubre atribuyó el robo a Corea del Norte e identificó la actividad como TraderTraitor.
Trabajando con el Servicio Secreto de EE. UU. y la Investigación Criminal del IRS, la oficina observó que los atacantes convertían los activos robados principalmente en Ether. Señaló que se esperaba un mayor blanqueo de capitales a través de finanzas descentralizadas y servicios de intercambio instantáneo.
Las agencias instaron a los exchanges, las empresas de análisis de blockchain, los servicios DeFi y los operadores de infraestructura a bloquear las transacciones que involucren las direcciones enumeradas o los activos derivados de ellas.
Corea del Norte negó su participación el 3 de noviembre. Según la Associated Press, Kim Yo Jong rechazó la acusación del FBI en una declaración difundida por los medios estatales.
Los fondos robados entran en transacciones CoinJoin
Un trabajo de rastreo independiente ha documentado el movimiento de los activos robados mientras Binance compra reemplazos.
Elliptic identificó aproximadamente 28 BTC, por un valor de 2,2 millones de dólares, entrando en 18 transacciones CoinJoin entre el 1 de noviembre y principios del 2 de noviembre. Los bitcoins provenían de activos robados convertidos, mientras que los 18.270 BTC tomados directamente de Binance permanecían en 19 direcciones en esa evaluación.
La investigación de la firma abarcó aproximadamente 12.000 carteras, 11 blockchains y más de 40.000 transacciones. Las direcciones vinculadas al robo aún contenían un estimado de 3.240 millones de dólares, principalmente en Ethereum y Bitcoin.
