El mayor robo de cripto de la historia: cómo hackers norcoreanos vaciaron billeteras de Binance

El jueves 29 de octubre, pasadas las 17:00 hora chilena, los fondos comenzaron a salir de las billeteras de Binance en diez blockchains distintas —Bitcoin, Ethereum, Solana y Tron, entre otras—. En unos 20 minutos se fue la mayor parte de los alrededor de US$6.300 millones (unos $6,2 billones chilenos) que terminaron en manos de los atacantes. Es el mayor robo de criptomonedas del que se tenga registro, cuatro veces lo que le quitaron a Bybit en febrero de 2025.

Una campaña de cinco meses

El golpe no fue un asalto digital instantáneo, sino el resultado de una operación de inteligencia que duró meses. El informe interno de Binance, que reconstruye el ataque paso a paso, muestra que casi todos los pasos tuvieron que ver con personas antes que con máquinas. En junio, un ingeniero de la compañía buscó en Internet una herramienta popular de programación con inteligencia artificial, hizo clic en un resultado y descargó una versión adulterada de Homebrew, un programa que los desarrolladores usan para instalar software.

El equipo de seguridad de Binance lo detectó, reemplazó el computador y cambió sus credenciales. Pero los hackers ya habían averiguado cuál era su cargo y quiénes eran sus compañeros de equipo. En septiembre, ese mismo ingeniero fue contactado a través de una plataforma de búsqueda de empleo legítima por alguien que se presentaba como director de proyecto de una empresa. Vinieron dos entrevistas. En la segunda, por una aplicación de mensajería, alguien que decía ser el CEO le pidió resolver una prueba técnica, como es habitual en procesos de selección de programadores. El archivo de la “prueba” reemplazaba una pieza de una herramienta de programación legítima por una versión maliciosa, que abría una conexión con un servidor de los atacantes. Era un malware nuevo, de día cero, y las herramientas de seguridad de la empresa no lo detectaron.

Cómo se movieron los miles de millones

Un exchange como Binance funciona, en parte, como un banco. Guarda la mayor parte del dinero de sus clientes en billeteras “frías”, desconectadas de Internet, algo así como una bóveda. Y mantiene una fracción en billeteras “calientes”, conectadas a la red para pagar los retiros al instante, como la caja de una sucursal. Los atacantes asaltaron esa caja, pero sin forzar ninguna cerradura. Binance asegura que no ha encontrado evidencia de que se haya filtrado alguna clave privada, es decir, las contraseñas maestras que controlan las billeteras. Lo que hicieron fue meterse en los computadores de los ingenieros que administran el sistema de billeteras y, desde ahí, dar órdenes de retiro que el sistema creyó legítimas.

El 20 de octubre, desde el computador del primer ingeniero, y valiéndose de una herramienta interna de inteligencia artificial de Binance —la empresa no precisó cuál ni cómo—, los hackers llegaron a los equipos de otros dos ingenieros que trabajaban en las billeteras. Uno de ellos era el mismo ingeniero de junio, ya con su computador nuevo. Ahí encontraron un permiso digital (token) para desplegar programas en los servidores de la compañía. El 29 de octubre, después de nueve días al acecho, se conectaron al computador del tercer ingeniero, usaron el permiso robado y lanzaron un programa que ordenó los retiros a través del sistema interno que firma las transacciones. Richard Teng, co-CEO de Binance, lo describió como “una campaña de meses”.

Un libreto conocido y las lecciones para Chile

La táctica tiene historia. En 2024, un empleado de Ginco, la empresa japonesa que desarrollaba el software de gestión de billeteras del exchange DMM Bitcoin, recibió una oferta de un falso reclutador que le pidió completar una prueba técnica. El enlace llevaba a un código malicioso. Dos meses después, desaparecieron unos US$300 millones en bitcoin. El robo a Bybit, el récord anterior, también partió por un computador comprometido: el de un desarrollador de Safe{Wallet}, el proveedor de la billetera que usaba el exchange. El FBI atribuyó el ataque a Binance a TraderTraitor, una unidad de hackers ligada al régimen de Corea del Norte.

Binance conocía el riesgo. En julio, la propia compañía contó que somete cada mes a sus empleados a ataques de phishing simulados para entrenarlos contra la ingeniería social —el arte de manipular a una persona para que entregue acceso o información—. Y su fundador, Changpeng Zhao, ya había alertado públicamente sobre hackers norcoreanos que se infiltran en la industria con ofertas de trabajo falsas. Las críticas apuntan a otro lado. Liam Salsi, de la firma de ciberseguridad Talion, encuentra asombroso que un puñado de notebooks bastara para mover miles de millones, y recuerda que una buena seguridad reparte los activos para que nadie pueda llevarse todo de un solo golpe. Binance respondió que cerró los puntos de entrada, reconstruyó los sistemas afectados y endureció el control sobre los dispositivos de sus empleados.

Para el usuario chileno de criptomonedas, la lección es práctica: ningún exchange está inmune a ataques que empiezan por engañar a una persona, no por vulnerar un sistema. La recuperación del dinero depende de la moneda. Las stablecoins, como USDT (de Tether) o USDC (de Circle), tienen un emisor central que puede bloquear transferencias, y por eso buena parte del botín quedó congelado rápido. Con bitcoin y ether la historia es otra: no hay emisor que pueda frenarlos, y solo se detienen si el atacante los envía a un exchange dispuesto a bloquearlos o si la policía obtiene las claves privadas. El FBI informó que los hackers están convirtiendo lo robado principalmente a ether. Binance estimó en un comienzo el impacto en US$6.300 millones y en su informe lo ajustó a US$6.340 millones.

Con información de La Tercera