La investigación apunta a un ataque complejo en el que habrían intervenido varios factores, entre ellos el acceso a un portátil comprometido de un ingeniero de DevOps.
Los investigadores están analizando cómo unos piratas informáticos han robado 6,3 mil millones de dólares (5,6 mil millones de euros) de la plataforma de intercambio de criptomonedas Binance, en lo que se describe como el "mayor ciberataque de la historia", y los indicios apuntan a que detrás del ataque estaría un grupo de hackers norcoreano.
PUBLICIDAD
PUBLICIDAD
Las cifras implicadas superan con creces las de anteriores robos de criptodivisas, como los de Bybit (1,5 mil millones de dólares, 1,39 mil millones de euros), Poly Network (610 millones de dólares, 545 millones de euros) y Ronin Network (540 millones de dólares, 482 millones de euros). El incidente de Binance es el último de una serie de episodios de ciberseguridad ocurridos este octubre, y los expertos en seguridad informática atribuyen en gran medida el aumento de vulnerabilidades al uso cada vez mayor de la inteligencia artificial para detectarlas.
Binance es la mayor plataforma de intercambio de criptomonedas del mundo y controla aproximadamente el 35% de la cuota total de mercado de las criptodivisas, según la propia compañía. Funciona como un pilar clave del ecosistema cripto, al permitir que las personas compren y vendan criptomonedas.
Al igual que las casas de cambio de divisas tradicionales, mantiene las monedas de sus clientes en monederos que controla y procesa las retiradas desde algunos de esos monederos que permanecen conectados en línea todo el tiempo.
El ataque tuvo lugar en algo menos de cuatro horas, cuando los hackers obtuvieron acceso a varios monederos a través de un ordenador portátil comprometido y enviaron los fondos desde los monederos de Binance a los suyos. Afortunadamente, Binance y sus socios han conseguido congelar 2,7 mil millones de dólares (2,4 mil millones de euros) de los fondos robados, pero el resto permanece intacto en los monederos del atacante.
Esta es la cronología de cómo ocurrió:
Este jueves
22:29 CET Binance afirmó que estaba investigando activamente informes de un posible problema de seguridad y tranquilizó a los clientes al asegurar que sus fondos estaban "completamente seguros", aunque advirtió de posibles "estafas".
23:15 CET La empresa indicó que estaba realizando comprobaciones de seguridad y que las retiradas se reanudarían en cuanto se resolviese el problema de seguridad.
Este viernes
00:06 CET La empresa suspendió la negociación de Binance Alpha y señaló que las operaciones se reanudarían una vez resuelto el problema de seguridad. Volvió a asegurar a los clientes que sus fondos seguían siendo seguros.
00:22 CET Binance realizó su primer anuncio de que los activos estaban viéndose afectados. La compañía dijo que era consciente de los informes sobre fondos congelados y precisó que en ese momento se habían bloqueado 2,54 mil millones de dólares (2,26 mil millones de euros). Añadió que esa cifra podría aumentar a medida que trabajaba estrechamente con las fuerzas de seguridad y las autoridades competentes para rastrear y congelar activos.
01:13 CET Binance emitió un comunicado en el que afirmaba que "cubrirá todas las pérdidas" y que, como medida de precaución, todos los depósitos y retiradas habían sido suspendidos temporalmente.
01:52 CET La empresa actualizó la cifra de activos congelados, que había aumentado hasta los 3 mil millones de dólares (2,68 mil millones de euros).
03:25 CET Binance reveló que el impacto total ronda los 6,3 mil millones de dólares (5,6 mil millones de euros) y su investigación apuntó a que el posible punto de entrada del ataque habría sido el ordenador portátil comprometido de un ingeniero de DevOps, lo que permitió acceder a un contenedor de servicio y presentar transacciones de retirada no autorizadas.
La compañía añadió que no había pruebas de ninguna filtración de claves privadas de monederos. Como medida de precaución, había revocado la autorización de la dirección afectada y había recurrido a las fuerzas de seguridad y a socios de la cadena de bloques para rastrear y recuperar fondos, además de congelar cuentas.
05:36 CET En una nueva actualización, la empresa indicó que el incidente se debía a múltiples factores y no solo al portátil comprometido.
09:47 CET Binance confirmó su declaración anterior de que un portátil comprometido pudo haber sido el punto de entrada, pero señaló que los investigadores habían detectado otras brechas en lo que calificó de "ataque complejo". La compañía aseguró que mantenía el objetivo de reanudar los servicios de retirada en 45 horas.
11:55 CET La empresa informó de que había comenzado a recuperar los activos afectados para los usuarios y que cubriría las pérdidas con fondos propios, reservando 6,34 mil millones de dólares (5,66 mil millones de euros) para afrontar el incidente.
"Superaremos esta tormenta", afirmó la compañía en la red social X.
¿Cómo lo hicieron?
Binance ha señalado que el incidente fue un "ataque complejo" derivado de múltiples factores.
Su investigación inicial sugiere que el incidente de seguridad podría implicar el ordenador portátil comprometido de un ingeniero de DevOps, que permitió al atacante acceder a un contenedor de servicio y presentar transacciones de retirada no autorizadas.
La empresa de infraestructura de datos de cadena de bloques Bitquery informa de que el propio sistema de retiradas de Binance firmó transacciones por valor de 6,3 mil millones de dólares (5,6 mil millones de euros) desde 17 de sus monederos calientes en algo menos de cuatro horas, desde la noche del jueves a las 21:04 hasta las 00:56 CET del viernes por la mañana.
Según Bitquery, esto llevó a los emisores de stablecoins Tether, Circle y Arbitrum, junto con otros cuatro emisores más pequeños, a congelar 2,7 mil millones de dólares para evitar que los fondos fueran robados, mientras que Bitcoin confirmó que en total se habían congelado 3 mil millones de dólares.
El atacante intercambió otros 729 millones de dólares en stablecoins antes de que comenzaran las congelaciones. Al final, el atacante seguía poseyendo aproximadamente 3,1 mil millones de dólares, principalmente en Ether y Bitcoin, según Bitquery.
Bitquery también informa de que los fondos se enviaron a nuevas direcciones repartidas en nueve cadenas de bloques, siendo Ethereum, Bitcoin y TRON las más afectadas.
La empresa sigue investigando el problema en coordinación con las fuerzas de seguridad y socios de inteligencia de cadena de bloques para rastrear y recuperar fondos.
Binance ha suspendido temporalmente los depósitos y las retiradas mientras se completan las comprobaciones de seguridad, ha revocado la autorización de la dirección afectada y ha recurrido a las fuerzas de seguridad y a socios de inteligencia de cadena de bloques para rastrear y recuperar fondos.
La compañía ha indicado que publicará un informe técnico detallado una vez que concluya la investigación y se hayan verificado los hechos.
También planea publicar una actualización de su prueba de reservas una vez completadas las medidas de remediación.
¿Quién estaba detrás?
La empresa de inteligencia de cadena de bloques y ciberseguridad TRM Labs sostiene que TraderTraitor, un grupo de hackers norcoreano, estuvo detrás del ataque.
"Con base en una sólida inteligencia dentro y fuera de la cadena, hacemos este juicio con un alto grado de confianza", señaló la empresa en un comunicado.
También señala que el FBI nombró al mismo grupo como responsable del ataque a Bybit de 1,5 mil millones de dólares (1,34 mil millones de euros) registrado en febrero de 2025.