Actualizado (6 de noviembre a las 17:03 UTC): Este artículo ha sido corregido para aclarar el cronograma del ataque a Binance. El artículo también incluye una declaración de un portavoz de Binance.

La organización sin ánimo de lucro de ciberseguridad Security Alliance (SEAL) estima que hackers vinculados a Corea del Norte comprometieron el dispositivo de un empleado de Binance aproximadamente ocho semanas antes del ataque del 29 de octubre, que causó pérdidas de 6.300 millones de dólares. Sin embargo, Binance indicó que la campaña de ataque en sí comenzó en junio y que los hackers no obtuvieron acceso a dispositivos adicionales de la infraestructura de carteras hasta el 20 de octubre.

Según un informe publicado por SEAL el jueves, el grupo de hackers comprometió el dispositivo de un ingeniero de software de Binance a través de una falsa oferta de empleo. La organización añadió que los atacantes pueden operar en sistemas comprometidos de manera discreta durante períodos prolongados tras la intrusión inicial. La estimación de ocho semanas de SEAL se refiere al intervalo de tiempo de septiembre a octubre, y no al inicio de la campaña más amplia descrita por Binance.

Cointelegraph contactó a Binance para solicitar aclaraciones sobre el cronograma del ataque. Un portavoz de la empresa indicó que las primeras intrusiones ocurrieron en junio y septiembre, pero que los atacantes no lograron el acceso necesario para acceder a las operaciones de las carteras hasta octubre.20. “Como se detalla en nuestro anuncio, los primeros ataques contra los dispositivos ocurrieron en junio y septiembre, pero los atacantes no lograron el acceso necesario para manipular las operaciones de los monederos hasta el 20 de octubre, momento en el que utilizaron esa posición de ventaja para expandir su influencia y obtener acceso a dispositivos y credenciales adicionales”, dijo el portavoz.

TAG14@@SEAL identificó al menos cuatro “compañías fantasma” relacionadas con las campañas de reclutamiento falsas de TraderTraitor en 2026, entre ellas citalab.net, citalab.com, bitfit.io y oddium.io.

Binance rastreó la campaña de ataque hasta junio, cuando el dispositivo de un empleado se vio comprometido después de que este descargó una versión modificada del software Homebrew mientras intentaba instalar una herramienta de programación de inteligencia artificial. La plataforma detectó el incidente, reemplazó el dispositivo y actualizó las credenciales correspondientes. Sin embargo, según un post en X del día martes, los atacantes ya habían obtenido información sobre los empleados que trabajaban en la infraestructura de los monederos de Binance.

El 20 de octubre, los atacantes utilizaron el ordenador comprometido del ingeniero atacado en septiembre, así como una herramienta interna de inteligencia artificial, para tomar el control de los dispositivos de otros dos ingenieros de la infraestructura de monederos, según Binance. Posteriormente, descubrieron un token de permiso de acceso que fue utilizado en el ataque del 29 de octubre.

El análisis de la organización de ciberseguridad señaló patrones de intrusión similares en otros ataques de alto perfil contra criptomonedas.Se estimó que los atacantes tuvieron acceso durante aproximadamente seis semanas antes del robo de Bitget, por un valor de 388 millones de dólares; también tuvieron acceso durante seis semanas a LayerZero antes de que se descubriera la vulnerabilidad que llevó al ataque contra Kelp DAO, por un valor de 293 millones de dólares, y unos tres semanas antes de llevar a cabo el ataque contra AFX, por un valor de 24 millones de dólares. El Buró Federal de Investigación de los EE. UU. atribuyó el ataque a la herramienta informática TraderTraitor, utilizada por Corea del Norte, según un informe publicado el sábado. Kim Yo Jong, hermana del líder norcoreano Kim Jong Un, desacreditó estas acusaciones.