🔴 ¿Cómo ocurrió el hackeo de 6.300 millones de dólares a Binance? Una intrusión de 5 meses; el robo se ejecutó en 20 minutos
Junio: Un ingeniero de DevOps de Wallet que intentaba configurar una herramienta de programación con IA descargó un instalador de Homebrew manipulado.
Septiembre: Un falso reclutador contactó a otro ingeniero con una falsa entrevista de trabajo y consiguió que descargara un repositorio de código malicioso.
20 de octubre: Usando esos ordenadores y la herramienta interna de IA de Binance, los atacantes tomaron el control de los equipos de otros dos ingenieros. También obtuvieron un token con permisos para desplegar contenedores.
29 de octubre: Desde el ordenador del ingeniero C y usando credenciales robadas, desplegaron un contenedor y ejecutaron un script malicioso. Este llegó al servicio interno de firma de billeteras de Binance y eludió las comprobaciones habituales de retiro.
En Ethereum, 50 autorizaciones EIP-7702 prefirmadas delegaron la billetera caliente Binance 14 al contrato de los atacantes, que sustrajo 167.464 ETH + 1.615 millones de USDT. En 10 cadenas, incluidos 233,46 millones de XRP, ~970.500 SOL y 18.270 BTC, el total fue de ~6.340 millones de dólares; la mayor parte, en 20 minutos.
¿Por qué suspender los retiros no lo detuvo? Las delegaciones maliciosas EIP-7702 ya estaban en la cadena, y la billetera MPC no tiene una única clave privada que revocar: hacía falta un procedimiento especial.
¿Quiénes? TRM Labs y el FBI lo atribuyen a TraderTraitor, de Corea del Norte (el mismo grupo que robó 1.500 millones de dólares a Bybit); Corea del Norte lo niega. Binance afirma que no encontró pruebas de que se filtrara una clave privada.
Estado actual: ~2.850 millones de dólares congelados o interceptados; Binance afirma que ha repuesto ~el 98 %.
Nota: Esto se basa en el informe preliminar de Binance del 3 de noviembre y en los hallazgos de TRM Labs y el FBI; el informe completo posterior al incidente y la revisión independiente aún no se han publicado.
Junio: Un ingeniero de DevOps de Wallet que intentaba configurar una herramienta de programación con IA descargó un instalador de Homebrew manipulado.
Septiembre: Un falso reclutador contactó a otro ingeniero con una falsa entrevista de trabajo y consiguió que descargara un repositorio de código malicioso.
20 de octubre: Usando esos ordenadores y la herramienta interna de IA de Binance, los atacantes tomaron el control de los equipos de otros dos ingenieros. También obtuvieron un token con permisos para desplegar contenedores.
29 de octubre: Desde el ordenador del ingeniero C y usando credenciales robadas, desplegaron un contenedor y ejecutaron un script malicioso. Este llegó al servicio interno de firma de billeteras de Binance y eludió las comprobaciones habituales de retiro.
En Ethereum, 50 autorizaciones EIP-7702 prefirmadas delegaron la billetera caliente Binance 14 al contrato de los atacantes, que sustrajo 167.464 ETH + 1.615 millones de USDT. En 10 cadenas, incluidos 233,46 millones de XRP, ~970.500 SOL y 18.270 BTC, el total fue de ~6.340 millones de dólares; la mayor parte, en 20 minutos.
¿Por qué suspender los retiros no lo detuvo? Las delegaciones maliciosas EIP-7702 ya estaban en la cadena, y la billetera MPC no tiene una única clave privada que revocar: hacía falta un procedimiento especial.
¿Quiénes? TRM Labs y el FBI lo atribuyen a TraderTraitor, de Corea del Norte (el mismo grupo que robó 1.500 millones de dólares a Bybit); Corea del Norte lo niega. Binance afirma que no encontró pruebas de que se filtrara una clave privada.
Estado actual: ~2.850 millones de dólares congelados o interceptados; Binance afirma que ha repuesto ~el 98 %.
Nota: Esto se basa en el informe preliminar de Binance del 3 de noviembre y en los hallazgos de TRM Labs y el FBI; el informe completo posterior al incidente y la revisión independiente aún no se han publicado.
