Security Alliance (SEAL), una organización sin fines de lucro dedicada a la ciberseguridad, afirma que TraderTraitor, un actor de amenazas vinculado a Corea del Norte, probablemente obtuvo acceso a los sistemas de Binance en septiembre, aproximadamente ocho semanas antes de que Binance revelara que había sufrido un ataque que explotó una vulnerabilidad y le costó 6.300 millones de dólares el 29 de octubre. En un análisis publicado el jueves, SEAL sostiene que la intrusión comenzó meses antes de lo que indicaría el periodo del incidente conocido públicamente, lo que dio tiempo a los atacantes para operar sin llamar la atención y analizar los controles internos.
SEAL también vincula a TraderTraitor con una red de empresas pantalla utilizadas durante estafas de contratación en 2026, e identifica al menos cuatro dominios asociados con la campaña. Los hallazgos de la organización también destacan un patrón recurrente en las principales brechas de seguridad del sector cripto: un acceso en varias etapas que puede persistir durante semanas antes de que finalmente se sustraigan los fondos.
Conclusiones clave
SEAL estima que TraderTraitor obtuvo acceso a los sistemas de Binance en septiembre, unas ocho semanas antes del exploit del 29 de octubre, que provocó pérdidas de 6.300 millones de dólares.
El informe sugiere que los atacantes mantuvieron un «alto grado de sigilo» tras la intrusión inicial, lo que les permitió desplazarse por la red interna durante un periodo prolongado.
SEAL identificó al menos cuatro «empresas pantalla» de 2026 vinculadas a las campañas de reclutamiento de TraderTraitor: citalab.net, citalab.com, bitfit.io y oddium.io.
SEAL señala que hubo cronologías similares en otros hackeos de criptomonedas, lo que sugiere que los atacantes suelen mantener el acceso durante semanas antes de perpetrar el exploit.
Binance atribuyó el hackeo a una falsa entrevista de trabajo que comprometió el dispositivo de un empleado y provocó el robo de credenciales. Binance ha dicho que la campaña se remonta a junio.
El acceso inicial podría remontarse mucho más atrás que la brecha que acaparó los titulares
La afirmación central de SEAL es que el compromiso operativo de Binance no comenzó cuando se produjo el exploit público. En el informe del jueves, el grupo escribió que la intrusión de TraderTraitor en los sistemas de Binance probablemente comenzó en septiembre y que los actores de amenazas pudieron permanecer dentro durante un periodo prolongado con un sigilo considerable.
Esto es importante para los equipos de defensa y los participantes del mercado porque la «fecha del incidente» suele convertirse en el único hito visible para el público. Si los atacantes pueden permanecer en los sistemas durante semanas antes de ejecutar una brecha de gran impacto, el periodo real de exposición podría abarcar deficiencias de supervisión interna, higiene de credenciales y controles de acceso que quizá no se detecten hasta después de que se produzcan los daños.
Vínculos con estafas de reclutamiento e infraestructura
SEAL también dijo haber identificado al menos cuatro «empresas pantalla» vinculadas a las campañas de reclutamiento falsas de TraderTraitor en 2026. Los dominios citados en el análisis —citalab.net, citalab.com, bitfit.io y oddium.io— se presentan como parte de un esfuerzo más amplio por generar credibilidad, atraer a las víctimas y crear vías de acceso a las organizaciones objetivo.
Esta línea de análisis coincide con lo que Binance ha descrito públicamente. Informes anteriores citados por SEAL indican que Binance atribuyó el hackeo de 6.300 millones de dólares a una falsa entrevista de trabajo, que permitió a los atacantes comprometer el dispositivo de un empleado y robar credenciales que utilizaron para vulnerar la infraestructura de billeteras del exchange.
Cómo dice SEAL que esto coincide con otros grandes hackeos de criptomonedas
Además del caso de Binance, SEAL recurrió a otros incidentes de gran repercusión para sostener que las intrusiones en varias etapas son una característica recurrente de los ataques a gran escala contra el sector cripto. La organización estimó los periodos aproximados de acceso previos a la explotación en varios casos, entre ellos:
Unas seis semanas de acceso antes del hackeo de Bitget, que provocó pérdidas de 388 millones de dólares.
Unas seis semanas de acceso a LayerZero antes de la vulnerabilidad que condujo al exploit de Kelp DAO, que provocó pérdidas de 293 millones de dólares.
Unas tres semanas antes de la ejecución del exploit de AFX, que provocó pérdidas de 24 millones de dólares.
Aunque las cronologías varían según el incidente, el hilo conductor es que el compromiso puede preceder al exploit por semanas. En la práctica, esto desplaza el debate sobre seguridad de la mera preparación para responder a incidentes hacia la detección temprana: reconocer la presencia persistente de atacantes, patrones de acceso anómalos y exposición de credenciales mucho antes de que se transfieran los activos.
La versión de Binance y el debate más amplio sobre la atribución
Las estimaciones de SEAL plantearon preguntas sobre cuándo y cómo comenzó la intrusión, y Cointelegraph intentó verificar el análisis contactando a Binance para solicitar comentarios. Cointelegraph informó que Binance no respondió antes de la publicación.
Binance había descrito anteriormente una secuencia de hechos distinta. Según Binance, la campaña de ataque se remonta a junio, cuando se comprometió el dispositivo de otro empleado. Binance dijo que detectó esa intrusión anterior y reemplazó el dispositivo, pero añadió que los atacantes quizá ya habían recopilado información sobre el personal y la infraestructura de billeteras de Binance. Binance también señaló el mecanismo de la falsa entrevista de trabajo como la vía que finalmente permitió el exploit, cuyos detalles se hicieron públicos después del incidente del 29 de octubre.
La atribución también ha sido objeto de controversia en el plano geopolítico. El Buró Federal de Investigaciones de Estados Unidos atribuyó el ataque a TraderTraitor, de Corea del Norte, en un informe publicado el sábado, mientras que Kim Yo Jong —hermana del líder norcoreano Kim Jong Un— rechazó las acusaciones, según una cobertura anterior citada por Cointelegraph.
En conjunto, la disputa pone de relieve una asimetría habitual en los incidentes cibernéticos: los investigadores y las organizaciones afectadas pueden hacer hincapié en distintas fases de una misma cadena de ataque (acceso inicial, robo de credenciales o vulneración final de las billeteras). La aportación de SEAL consiste en centrarse en cuándo probablemente se obtuvo acceso a los sistemas y cuánto tiempo podrían haber permanecido dentro los atacantes antes de la fecha del exploit público.
Quienes sigan esta noticia deberían prestar atención a si surgen nuevos detalles técnicos que permitan conciliar la cronología del compromiso en junio descrita por Binance con la estimación de SEAL de que el acceso a los sistemas se produjo en septiembre, y a si futuros informes sobre incidentes en otros exchanges y protocolos revelan más patrones de «acceso durante semanas».
Este artículo se publicó originalmente con el título «Los hackers de Binance tuvieron acceso durante 8 semanas antes del exploit de 6.300 millones de dólares, afirma una alianza», en Crypto Breaking News, tu fuente de confianza para noticias sobre criptomonedas, Bitcoin y actualizaciones de blockchain.