Binance ha bloqueado hasta ahora en 2026 57 ciberataques presuntamente vinculados a Corea del Norte, según afirmó el director de Seguridad, Jimmy Su, en una charla informal con los codirectores ejecutivos Yi He y Richard Teng. También explicó que el ataque que logró infiltrarse comenzó con una falsa entrevista de trabajo. Los ejecutivos aprovecharon la sesión para responder preguntas de la comunidad sobre el incidente de seguridad del 29 de octubre y explicar cómo Binance está reforzando sus defensas.
«Detuvimos 57 de estos intentos. No los detuvimos todos», afirmó Su, quien lo describió como «la realidad con la que conviven hoy todas las grandes plataformas».
Una operación dirigida preparada durante meses
El ataque comenzó en septiembre, cuando alguien que se hizo pasar por director de proyectos contactó a un ingeniero de software de Binance a través de una plataforma legítima de búsqueda de empleo. El acercamiento hacía referencia a su experiencia en Binance. «El acercamiento fue dirigido, no aleatorio», dijo Su.
Primera entrevista: una videollamada en directo con un falso representante de Recursos Humanos, que compartió una cuenta de redes sociales con fotos y videos personales para generar confianza. Su calificó esto de «más avanzado y engañoso que la ingeniería social que habíamos visto antes».
Segunda entrevista: una popular aplicación de chat, con alguien que afirmaba ser el director ejecutivo de una empresa inventada. Al final, le dijeron al ingeniero que descargara una tarea de programación en su computadora de trabajo. El repositorio de código contenía código malicioso que se ejecutaba durante la instalación.
El malware reemplazó un componente legítimo de una herramienta de desarrollo por una versión maliciosa, lo que le permitió ejecutar comandos y comunicarse con un servidor controlado por el atacante. Era un malware de día cero, es decir, previamente desconocido, y la protección de endpoints de terceros de Binance no lo detectó en ese momento. Los atacantes también ocultaron su actividad y eliminaron rastros.
«No fue una estafa improvisada. Fue una operación paciente», dijo Su. «Los ataques dirigidos a personas son los riesgos más difíciles a los que se enfrenta cualquier organización, no solo en el mundo de las criptomonedas, sino en todas partes».
Por qué pausar los retiros no fue suficiente
Su explicó por qué los fondos siguieron moviéndose durante un tiempo después de que Binance detectara el ataque. El atacante había configurado una autorización en la cadena, que el informe inicial de Binance identificó como una delegación EIP-7702. Funcionaba independientemente de los sistemas de retiro de Binance.
«Pausar los retiros era necesario, pero no bastaba por sí solo», dijo Su. Binance necesitaba realizar transacciones independientes en la cadena para revocar la autorización.
La billetera caliente de Binance utiliza computación multipartita (MPC), que distribuye el control de una billetera entre varias partes para que no exista una única clave privada. Es una medida de seguridad, pero también significaba que no había una sola clave con la que revocar la autorización al instante. El equipo tuvo que crear y ejecutar un procedimiento especial de revocación bajo una presión de tiempo extrema, por lo que la contención tardó horas en lugar de minutos.
«Lo compartimos abiertamente porque cualquier plataforma que utilice una arquitectura similar debe entender este tipo de fallo antes de enfrentarse a él», dijo Su.
Yi He: «Debemos ser sinceros»
Yi He dijo que el asesor legal sénior de Binance y otros altos directivos recomendaron no publicar tantos detalles. «Lo rechacé por completo», dijo.
«Creemos que la sinceridad generará confianza entre la comunidad y Binance», dijo. «Definitivamente no somos perfectos, pero si compartir más detalles puede ayudar a otros actores del sector a entender qué pasó, cómo pasó y cómo mejorar, creo que sigue siendo valioso».
Describió la IA como «la lanza y el escudo»: los atacantes la usan, y Binance la utiliza para reconstruir y defender sus sistemas. Añadió que el equipo de Recursos Humanos de Binance detecta y rechaza con regularidad a candidatos sospechosos que intentan incorporarse a la empresa.
Qué ha corregido Binance y qué viene después
Para el 3 de noviembre, Binance había completado varias medidas de seguridad clave, dijo Su. También mejoró su detección de anomalías basada en IA, reforzó los controles de riesgo en torno a sus servicios de billetera y colaboró con las fuerzas del orden, empresas de inteligencia blockchain y socios del sector para rastrear y congelar los activos afectados.
Binance está realizando ahora cambios más profundos en su arquitectura de seguridad. Entre ellos se incluyen una separación más estricta del tráfico de redes internas y externas, un mejor aislamiento de los datos confidenciales y la separación del almacenamiento de archivos y el acceso a la red en los dispositivos de la empresa. «Aunque el dispositivo de un solo empleado se vea comprometido, eso no debería poder convertirse en un incidente de seguridad sistémico», dijo Su.
Mencionó tres prioridades:
Revisión independiente: expertos externos en seguridad revisarán el incidente y verificarán las conclusiones de Binance. «No queremos simplemente revisar nuestro propio trabajo y declarar que todo es seguro», dijo Su.
Seguridad de la IA: mayor inversión en detección de amenazas con IA, protección de endpoints y seguridad de los entornos de desarrollo. Su dijo que las herramientas internas de IA y los entornos de desarrollo «deben tratarse como infraestructura crítica».
Colaboración del sector: un fondo de investigación en seguridad planificado junto con empresas líderes de IA, firmas de seguridad y otros participantes del sector, centrado en las amenazas relacionadas con la IA en blockchain.
Prepararse para el largo plazo
Yi He dijo que Binance también reconstruirá sus equipos de gestión de riesgos, seguridad y tecnología, tal como reconstruyó su equipo de cumplimiento tras dificultades anteriores. Señaló que el creciente negocio de TradFi y de activos del mundo real (RWA) de la plataforma de intercambio forma parte de su rumbo a largo plazo. Dijo que Binance planea organizar más sesiones abiertas de AMA para que los usuarios puedan hacer preguntas directamente.