Cómo se infiltraron los atacantes en la infraestructura de Binance
Según el informe, en septiembre uno de los ingenieros de Binance recibió un mensaje en una plataforma legítima de búsqueda de empleo de una persona que se presentó como director de proyecto. Al empleado le propusieron pasar por dos etapas de entrevistas.
Primero se puso en contacto con él alguien que supuestamente era representante de Recursos Humanos de la empresa. Hizo una videollamada y compartió un enlace a su cuenta en una red social, con fotos y vídeos personales, para generar confianza. En la segunda etapa, el ingeniero habló con una persona que se hizo pasar por el director de una empresa inexistente.
Al final de la segunda entrevista, le propusieron al empleado descargar una tarea de prueba —un repositorio con código malicioso— en su ordenador de trabajo. La ejecución del código durante la instalación provocó actividad no autorizada en el dispositivo. Según Binance, el programa malicioso utilizaba técnicas de ofuscación y evasión de las medidas de protección, y los sistemas de seguridad de endpoints que estaban activos en ese momento no detectaron sus componentes.
El exchange también describió un episodio anterior. En junio, otro ingeniero descargó un paquete modificado de Homebrew al intentar instalar una popular herramienta de IA para desarrollo. El equipo de seguridad detectó una anomalía, sustituyó el dispositivo y actualizó las credenciales asociadas. Sin embargo, según Binance, los atacantes ya habían obtenido información sobre el empleado y sus compañeros del equipo responsable de la infraestructura de monederos.
El 20 de octubre, los atacantes utilizaron el ordenador comprometido del primer ingeniero y una herramienta interna de IA de Binance para acceder a los dispositivos de otros dos empleados. Más tarde, encontraron en el ordenador de uno de los ingenieros un token con permisos para desplegar contenedores.
El 29 de octubre, los atacantes utilizaron credenciales robadas, desplegaron un contenedor y ejecutaron un script malicioso que les permitió interferir en las operaciones de firma de transacciones.
Cómo se sustrajeron los fondos
Según Binance, el ataque comenzó con transferencias desde los monederos calientes del exchange en varias redes. Entre las 20:05 y las 20:09 UTC, cinco monederos enviaron 233,46 millones de XRP a una dirección controlada por los atacantes. Además, se sustrajeron alrededor de 970.500 SOL y 44,2 millones de OP de monederos en Solana y Optimism.
A continuación, se transfirieron 18.270 BTC desde un monedero caliente de Binance.
Para seguir moviendo los activos, los atacantes aprovecharon el mecanismo EIP-7702 de Ethereum. Este permite que una cuenta normal delegue en un contrato inteligente ciertos permisos para realizar operaciones sin revelar la clave privada.
En este caso, los atacantes utilizaron el mecanismo para interactuar con el monedero caliente de Binance. Esto les permitió realizar transferencias eludiendo el sistema estándar de retiros del exchange.
Binance detectó las grandes transacciones y comenzó a restringir las operaciones, suspender los retiros, coordinarse con sus socios para congelar los activos y revocar las autorizaciones no autorizadas.
Sin embargo, detener los retiros habituales no interrumpió todos los movimientos de fondos: las autorizaciones EIP-7702 creadas en la blockchain seguían activas independientemente de la infraestructura estándar del exchange. Para revocarlas, fue necesario seguir un procedimiento aparte.
La arquitectura de los monederos calientes de Binance, que utilizan tecnología de computación multipartita (MPC), añadió otra dificultad. Al no existir una clave privada única, el equipo no podía simplemente utilizarla para revocar las autorizaciones de inmediato.
La última transacción no autorizada, por 2.961,9 ETH, se confirmó en la blockchain a las 23:56 UTC del 29 de octubre. A las 00:10 UTC del 30 de octubre, Binance envió una nueva autorización a la dirección cero para eliminar el código delegado EIP-7702.
Binance ha recuperado el 98 % de los activos afectados
Según la estimación del exchange, el incidente afectó a activos digitales por un valor aproximado de 6.340 millones de dólares. De esa cantidad, se logró congelar o interceptar alrededor de 2.850 millones. Esta estimación podría cambiar tras la conciliación de los datos y teniendo en cuenta la volatilidad de los precios del mercado.
Binance declaró que asumirá las consecuencias financieras del ataque. Al 31 de octubre, la empresa había recuperado alrededor del 98 % de los tokens afectados, y el volumen de fondos reservados supera la cantidad necesaria para cubrir las pérdidas. El exchange también informó que está adquiriendo los activos restantes, de menor liquidez.
Como parte de su respuesta, #Binance reconstruyó los sistemas de monederos afectados y su herramienta interna de IA, sustituyó los dispositivos y revocó las credenciales y los tokens asociados con los empleados afectados. La empresa también reforzó los controles de los dispositivos, la gestión de riesgos de los servicios de monedero y la detección de comportamientos anómalos mediante IA.
El exchange tiene previsto contratar empresas independientes de ciberseguridad para verificar los resultados de la investigación. Además, planea aumentar las inversiones en herramientas de IA para detectar amenazas, proteger los dispositivos de trabajo y los entornos de desarrollo, así como crear un fondo para apoyar la investigación en seguridad de la infraestructura blockchain.
Binance subrayó que el informe publicado es preliminar: la investigación continúa y sus conclusiones serán verificadas por especialistas independientes. La empresa decidió no revelar algunos detalles técnicos para evitar ayudar a posibles atacantes a preparar nuevos ataques.