Los hackers de Binance pasaron 8 semanas dentro antes del robo
Patricia López · Criptomonedas ·
Security Alliance confirma que TraderTraitor accedió a los sistemas del exchange en septiembre, dos meses antes de extraer $6.300 millones. El patrón se repite en cuatro hackeos vinculados a Corea del Norte.
Security Alliance (SEAL) reveló este jueves que los atacantes vinculados a Corea del Norte que robaron $6.300 millones de Binance el 29 de octubre tuvieron acceso a los sistemas del exchange durante aproximadamente ocho semanas antes de mover un solo dólar. La organización de ciberseguridad sin fines de lucro publicó el hallazgo tras analizar la cronología de intrusión: el acceso inicial se habría producido en septiembre de 2026, mucho antes de la extracción multibloques que paralizó el mayor exchange de cripto por tres días.
La extracción ocurrió entre las 20:04 y las 23:56 UTC del 29 de octubre, afectando diez <abbr title="redes blockchain diferentes donde se procesan transacciones de criptomonedas">blockchains</abbr> en menos de cuatro horas. Tether y Circle congelaron $3.000 millones en <abbr title="criptomonedas cuyo valor está anclado al dólar u otro activo">stablecoins</abbr> robadas dentro de la primera hora; los fondos siguen inmovilizados en cadena.
El patrón de intrusión silenciosa
SEAL identificó un patrón recurrente en hackeos atribuidos a TraderTraitor, el grupo vinculado a Corea del Norte: los atacantes no roban al entrar. Permanecen dentro, reconocen la infraestructura, escalan privilegios y esperan el momento óptimo para extraer activos. La organización documentó tiempos de acceso previo en al menos tres casos adicionales durante 2026.
- Bitget: aproximadamente 6 semanas de acceso antes del robo de $388 millones en septiembre de 2026.
- LayerZero: alrededor de 6 semanas antes del exploit de $293 millones en Kelp DAO.
- AFX: cerca de 3 semanas antes de la extracción de $24 millones.
En el caso de Binance, el vector de entrada fue una falsa oferta de trabajo. Un empleado recibió contacto de un supuesto reclutador, participó en un proceso de entrevista ficticio y ejecutó código malicioso disfrazado de prueba técnica. Ese código comprometió el dispositivo del empleado y permitió robar credenciales para acceder a la infraestructura de <abbr title="billeteras digitales conectadas a internet donde los exchanges custodian activos">billeteras calientes</abbr>.
Por qué importa la detección temprana
El hallazgo de SEAL desplaza el foco regulatorio y asegurador desde la respuesta post-robo hacia la capacidad de detectar presencia no autorizada en etapas tempranas. Un exchange que identifica accesos anómalos en la semana dos de una intrusión puede contener el daño; uno que espera hasta ver activos moviéndose ya perdió la partida.
Para inversores institucionales, la pregunta práctica es qué mecanismos de monitoreo fallaron durante esas ocho semanas. Binance se comprometió a contratar firmas de seguridad independientes para revisión adicional, pero no respondió a la solicitud de comentarios de Cointelegraph sobre las estimaciones de SEAL antes de la publicación del informe.
La aritmética del tiempo es relevante: si los custodios tradicionales como Coinbase Custody o Fidelity Digital Assets enfrentaran una intrusión similar, no cuentan con fondos de reserva equivalentes al <abbr title="fondo de reserva de emergencia que mantiene Binance para cubrir pérdidas">SAFU</abbr> de Binance. El exchange cubrió el 90% de los fondos robados con recursos propios y reanudó retiros en fases desde el 1 de noviembre. Los usuarios no perdieron activos, pero la ventana de vulnerabilidad estuvo abierta durante semanas sin que nadie la cerrara.
El FBI confirmó que la República Popular Democrática de Corea es responsable del incidente. Kim Yo Jong, hermana del líder Kim Jong Un, rechazó las acusaciones. Mientras tanto, las salidas netas de Binance el primer día tras reabrir retiros alcanzaron $3.500 millones, equivalentes al 2,1% de sus activos bajo custodia.
Cuatro hackeos, un solo patrón
La repetición del ciclo plantea una pregunta operativa: ¿por qué los exchanges no comparten indicadores de compromiso (IOC) en tiempo real para acelerar la detección entre plataformas? Si TraderTraitor usa el mismo manual en Binance, Bitget, LayerZero y AFX, un repositorio común de patrones de acceso, direcciones IP sospechosas y técnicas de ingeniería social podría reducir la ventana de exposición.
SEAL señaló que los actores de amenaza pueden navegar sistemas comprometidos con alto grado de sigilo durante períodos prolongados tras la intrusión inicial. La conversación de seguridad en cripto se desplaza ahora hacia la detección de presencia sostenida del atacante, patrones de acceso anormales y exposición de credenciales mucho antes de que se muevan activos. Ocho semanas es tiempo suficiente para mapear toda la infraestructura crítica de un exchange, identificar billeteras con mayor saldo y planificar la ruta de salida óptima.
El robo de Binance superó en 4,2 veces el anterior récord de TraderTraitor: los $1.500 millones extraídos de Bybit en febrero de 2025. Entre ambos eventos, el grupo acumuló al menos $7.000 millones en activos robados desde febrero de 2025, según análisis de blockchain. La cifra no incluye los fondos congelados, que permanecen inmovilizados en cadena sin que Binance haya recuperado el control de esas direcciones.