💻 ¡Ofertón Office! ¡Office 2024 Pro Plus desde 16,66 € por PC! [ Saber más ]
Una entrevista de trabajo puede parecer una puerta a una nueva etapa profesional. En el caso de un ingeniero de Binance, acabó siendo una de las vías de entrada de un ataque que permitió sustraer unos 6.340 millones de dólares en criptomonedas (aproximadamente 5.671 millones de euros) el pasado 29 de octubre.
La plataforma ha explicado cómo se encadenaron las intrusiones y se ha comprometido a asumir las pérdidas. El caso deja una lección incómoda: una conversación aparentemente legítima puede ser el primer paso para comprometer una infraestructura que mueve cantidades enormes de dinero.
Una oferta de empleo que escondía código malicioso
Según la reconstrucción del incidente, en septiembre un desarrollador recibió una propuesta para cambiar de trabajo. El proceso incluyó entrevistas con una empresa ficticia e incluso una reunión virtual con quien se presentaba como su consejero delegado, antes de pedirle que descargara un repositorio de código para realizar una prueba.
Aquella tarea contenía software malicioso. La trampa no consistía simplemente en pedir una contraseña: aprovechaba una actividad habitual en la contratación de perfiles técnicos para conseguir que el candidato introdujera código del atacante en su ordenador de trabajo.
La campaña tenía un antecedente en junio, cuando otro empleado del equipo de monederos descargó software manipulado. Binance detectó aquel episodio, sustituyó el dispositivo y cambió credenciales, pero los atacantes habían obtenido información sobre el empleado y sus compañeros. El 20 de octubre utilizaron el equipo comprometido en septiembre y una herramienta interna de IA para acceder a otros sistemas; el día 29 lanzaron el ataque con credenciales robadas.
El patrón de fondo resulta familiar: ganarse la confianza de alguien para acceder a recursos que controla. En Teknofilo ya contamos cómo la ingeniería social contra empleados estuvo detrás del hackeo masivo de Twitter. Cambian las plataformas, pero la confianza sigue siendo una parte crítica de la seguridad.
La IA fue una pieza de la intrusión, no toda la explicación
El uso de una herramienta interna de IA no demuestra, por sí solo, que un modelo actuara de forma autónoma para robar fondos. Lo que describe la investigación es su aprovechamiento dentro de una cadena de accesos comprometidos. Confundir ambas cosas ocultaría el papel del malware, las credenciales y los permisos.
Chainalysis sitúa las entrevistas fraudulentas dentro de una estrategia más amplia de actores vinculados a Corea del Norte. La firma ha atribuido más de 14,3 millones de dólares (unos 12,8 millones de euros) en pérdidas durante los últimos 18 meses a otros ataques similares, contra particulares, monederos y organizaciones.
Su análisis plantea que esos golpes anteriores pudieron servir para perfeccionar el método antes de buscar objetivos de mayor valor. También distingue dos vertientes del fraude laboral: hacerse pasar por reclutadores para infectar a candidatos y presentarse como trabajadores legítimos para infiltrarse en empresas. No son exactamente la misma operación, aunque ambas explotan la contratación.
Por su parte, el FBI atribuye el robo a la actividad norcoreana que identifica como TraderTraitor; Corea del Norte lo ha negado. La agencia estadounidense afirma haber observado conversiones de los activos sustraídos principalmente a Ether y ha pedido a los operadores del sector que bloqueen las transacciones asociadas a las direcciones identificadas.
Qué ocurre con el dinero y los usuarios de Binance
Binance asegura que las pérdidas no se trasladarán a sus clientes. En su informe inicial del 3 de noviembre señaló que había reservado más del importe necesario para cubrirlas y que, a fecha de 31 de octubre, había repuesto el 98 % de los activos afectados. Todavía estaba comprando los restantes, menos líquidos.
La compañía también comunicó el bloqueo o la interceptación de unos 2.850 millones de dólares (aproximadamente 2.549 millones de euros). Conviene separar ambos conceptos: reponer activos con recursos de la empresa no equivale a recuperar lo robado, y bloquear fondos tampoco significa que ya hayan regresado a sus monederos.
Entre las medidas anunciadas figuran reconstruir los sistemas afectados y la herramienta interna de IA, reemplazar dispositivos, revocar credenciales y reforzar los controles. Binance prepara además una revisión independiente y más inversión en detección. Son actuaciones que deberán evaluarse junto con las conclusiones definitivas de una investigación aún abierta.
Las retiradas se están restableciendo por fases: el 3 de noviembre Binance anunció la reapertura progresiva de más combinaciones de activos y redes, sujeta a comprobaciones de seguridad. Por tanto, la disponibilidad debe consultarse para cada activo y red. El compromiso de cubrir las pérdidas y la recuperación operativa son dos cuestiones distintas.