Actualizado (6 de noviembre a las 05:03 p. m. UTC): Este artículo se corrigió para aclarar la cronología del hackeo de Binance. El artículo también incluye una declaración de un portavoz de Binance.
La organización de ciberseguridad sin fines de lucro Security Alliance (SEAL) estima que unos hackers vinculados a Corea del Norte comprometieron el dispositivo de un empleado de Binance aproximadamente ocho semanas antes del exploit de 6.300 millones de dólares del exchange, ocurrido el 29 de octubre, aunque Binance afirmó que la campaña de ataque más amplia comenzó en junio y que los hackers no obtuvieron acceso a dispositivos adicionales de la infraestructura de billeteras hasta el 20 de octubre.
El grupo de hackers comprometió en septiembre el dispositivo de un ingeniero de software de Binance mediante un falso esquema de contratación, escribió SEAL en un informe del jueves, y añadió que los actores de amenazas pueden desplazarse por sistemas comprometidos con un «alto grado de sigilo durante períodos prolongados» después de la intrusión inicial. La estimación de ocho semanas de SEAL se refiere a la ventana de intrusión de septiembre a octubre, no al inicio de la campaña más amplia descrita por Binance.
Cointelegraph contactó a Binance para solicitar aclaraciones sobre la cronología. Un portavoz dijo que los compromisos iniciales de dispositivos ocurrieron en junio y septiembre, pero que los atacantes no obtuvieron el acceso necesario para llegar a las operaciones de las billeteras hasta el 20 de octubre.
«Como se explicó en nuestro anuncio, los compromisos iniciales de dispositivos ocurrieron en junio y septiembre, pero los atacantes no obtuvieron el acceso necesario para llegar a las operaciones de las billeteras hasta el 20 de octubre, cuando utilizaron esa posición inicial para desplazarse lateralmente y obtener acceso a dispositivos y credenciales adicionales», dijo el portavoz.
SEAL identificó al menos cuatro «empresas fachada» asociadas con las campañas de contratación falsas de TraderTraitor en 2026, entre ellas citalab.net, citalab.com, bitfit.io y oddium.io.
Binance remontó la campaña de ataque a junio, cuando el dispositivo de otro empleado fue comprometido después de que este descargara una instalación manipulada de Homebrew al intentar instalar una herramienta de programación con IA. El exchange detectó el incidente y sustituyó el dispositivo, rotando las credenciales relacionadas. Sin embargo, los atacantes ya habían obtenido información sobre los empleados que trabajaban en la infraestructura de billeteras de Binance, según una publicación del martes en X.
El 20 de octubre, los atacantes utilizaron el ordenador comprometido del ingeniero objetivo de septiembre y una herramienta interna de IA para tomar el control de los dispositivos de dos ingenieros de infraestructura de billeteras, según Binance. Posteriormente descubrieron un token de permisos de despliegue, que se utilizó durante el exploit del 29 de octubre.
El análisis de la organización de ciberseguridad señaló patrones de intrusión similares y de varias etapas en otros hackeos de criptomonedas de alto perfil. Estimó que los atacantes tuvieron acceso durante unas seis semanas antes del hackeo de Bitget de 388 millones de dólares, acceso a LayerZero durante seis semanas antes de la vulnerabilidad que provocó el exploit de Kelp DAO de 293 millones de dólares y unas tres semanas antes de llevar a cabo el exploit de AFX de 24 millones de dólares.
La Oficina Federal de Investigación de Estados Unidos atribuyó el ataque al grupo TraderTraitor de Corea del Norte, en un informe del sábado. Kim Yo Jong, hermana del líder norcoreano Kim Jong Un, rechazó las acusaciones.
Relacionado: El hackeo de Binance podría ser un «revés temporal» para las criptomonedas, afirma Pandl, de Grayscale
