Un ingeniero de software recibió lo que parecía ser un contacto normal de un reclutador. El reclutador tenía una identidad plausible, realizó una entrevista por video en vivo y presentó una tarea técnica en la siguiente ronda.
La tarea contenía malware.
Binance afirma que el proceso de contratación falso fue uno de varios puntos de entrada sospechosos utilizados antes de que los atacantes retiraran aproximadamente $6.36 mil millones de sus billeteras el 29 de octubre de 2026. Desde entonces, el FBI ha atribuido el robo a Corea del Norte y ha identificado la actividad responsable como TraderTraitor.
El incidente se describe como el mayor robo de criptomonedas registrado. Su importancia va más allá de la cantidad robada. Demuestra que los operadores norcoreanos utilizan ambos lados del mercado laboral: haciéndose pasar por desarrolladores para ingresar a empresas de tecnología y como reclutadores para comprometer a las personas que ya trabajan dentro de ellas.
¿Qué Sucedió en el Hackeo de Binance?
Los atacantes transfirieron aproximadamente $6.36 mil millones de las billeteras de Binance a través de 10 blockchains, según la firma de inteligencia blockchain TRM Labs. La mayoría de los fondos se movieron en unos 20 minutos.
Los activos afectados supuestamente incluían tokens en Bitcoin, Ethereum, Solana, XRP, Arbitrum y otras redes. Binance confirmó que una de sus billeteras calientes conectadas estuvo involucrada, al tiempo que afirmó que la mayoría de los activos de los clientes permanecían en almacenamiento en frío fuera de línea.
Binance dijo que había reservado más de $6.34 mil millones de fondos de la empresa para cubrir las pérdidas. El exchange y sus socios blockchain también congelaron aproximadamente $3 mil millones en activos afectados.
Una congelación impide que algunos activos se muevan a través de redes, emisores o servicios participantes. No significa necesariamente que los fondos hayan sido recuperados y devueltos. Los atacantes aún pueden controlar los activos que ya han sido intercambiados, puenteados o movidos más allá del alcance de las organizaciones participantes.
Por Qué el FBI Culpa a Corea del Norte
El FBI atribuyó el ataque a Corea del Norte y lo vinculó a TraderTraitor, una etiqueta utilizada para actividades maliciosas asociadas con las operaciones cibernéticas del país.
La agencia advirtió que se esperaba que los atacantes continuaran lavando los activos robados a través de protocolos de finanzas descentralizadas y servicios de intercambio instantáneo. Estas herramientas permiten a los usuarios intercambiar activos entre tokens o redes, lo que podría complicar el rastro del dinero.
Las transacciones de blockchain siguen siendo visibles, pero la visibilidad no garantiza la recuperación. Los investigadores deben conectar billeteras a través de diferentes redes, determinar qué servicios se utilizaron e identificar a las personas que controlan las direcciones. Una vez que los activos llegan a plataformas que no cooperan con la aplicación de sanciones o las solicitudes de identidad, la recuperación se vuelve más difícil.
TRM Labs dijo que las características del ataque se parecían a robos anteriores vinculados a Corea del Norte. Chainalysis también evaluó que TraderTraitor era probablemente el responsable. La atribución del FBI da peso oficial a la afirmación, aunque el registro forense completo no se ha hecho público.
La Entrevista Falsa Fue un Punto de Entrada
Binance dijo que uno de sus ingenieros fue contactado en septiembre a través de una plataforma legítima de búsqueda de empleo por alguien que afirmaba representar a una empresa ficticia.
Durante la primera entrevista, una persona que se hacía pasar por un representante de Recursos Humanos apareció en una videollamada en vivo. El perfil tenía suficiente contenido personal e historial profesional para parecer creíble.
La segunda ronda incluyó una tarea técnica. Se le pidió al ingeniero que descargara un repositorio de código que había sido modificado para entregar malware.
Binance también descubrió un incidente separado en el que otro ingeniero descargó un instalador de software manipulado mientras intentaba configurar una herramienta de codificación de IA. El equipo de seguridad detectó esa instalación, reemplazó el dispositivo y rotó las credenciales. La compañía dijo más tarde que el empleado y sus colegas aún podrían haber estado expuestos.
Binance identificó múltiples puntos de compromiso sospechosos. Por lo tanto, la evidencia no respalda la reducción de todo el robo a una sola entrevista o un solo empleado. El enfoque de contratación parece haber sido parte de una campaña más amplia que pasó meses atacando a personas con acceso a sistemas valiosos.
Por Qué las Entrevistas de Trabajo Funcionan como Método de Ataque
Una entrevista técnica le da a un atacante algo que un correo electrónico de phishing ordinario no tiene: una razón creíble para pedirle al objetivo que ejecute código.
Los ingenieros de software clonan rutinariamente repositorios, revisan paquetes e instalan herramientas de desarrollo. Una tarea de entrevista construida en torno a esas acciones puede parecer coherente con la práctica normal de contratación. El atacante no necesita crear pánico ni prometer una recompensa implausible. La solicitud encaja en el contexto.
Los solicitantes de empleo también pueden ser más receptivos a nuevos contactos durante un mercado laboral difícil. Un reclutador convincente, un perfil de empresa realista y varias rondas de conversación pueden reducir las sospechas antes de que se descargue cualquier archivo.
Esto es ingeniería social adaptada a los desarrolladores. En lugar de pedir directamente credenciales, el atacante crea una situación en la que el objetivo introduce voluntariamente software malicioso en un entorno de confianza.
Corea del Norte Está Explotando Ambos Lados de la Contratación Remota
La contratación falsa es solo una parte de la operación.
Los trabajadores de TI norcoreanos también han utilizado identidades robadas e historiales de empleo falsificados para obtener trabajos reales en empresas de tecnología y financieras. Sus salarios luego pueden transferirse a través de cuentas, billeteras de criptomonedas e intermediarios antes de llegar a organizaciones conectadas con el gobierno norcoreano.
Una acción del 28 de octubre del Tesoro de EE. UU. sancionó a 10 personas y una entidad conectadas con estos esquemas. Se acusó a dos ciudadanos rusos de convertir aproximadamente $5.5 millones en criptomonedas para redes de trabajadores de TI norcoreanos.
Chainalysis rastreó un flujo desde una billetera que mostraba pagos de stablecoins similares a salarios hasta direcciones de consolidación sancionadas y luego a un intermediario ruso. Los fondos finalmente se enviaron a Garantex, un exchange ruso sancionado, para su conversión.
La investigación de Chainalysis dijo que la red más amplia de trabajadores de TI podría generar entre $250 millones y $600 millones en ingresos anuales para Corea del Norte, citando estimaciones de un panel de las Naciones Unidas.
No hay evidencia pública de que los rusos sancionados el 28 de octubre participaran en el robo de Binance. Los casos revelan diferentes partes de la misma estrategia más amplia en lugar de un grupo probado de acusados.
La IA Está Haciendo que las Falsas Identidades Sean Más Convincentes
Los operadores norcoreanos supuestamente han utilizado IA generativa para preparar currículums, escribir cartas de presentación y practicar entrevistas técnicas. Las fotos de perfil generadas por IA y los videos manipulados pueden ayudar a los solicitantes a ocultar sus identidades reales durante las videollamadas remotas.
Las mismas herramientas pueden respaldar a los reclutadores falsos. Un atacante puede crear una identidad de empresa, producir perfiles de aspecto profesional y mantener conversaciones escritas convincentes sin los errores de lenguaje que antes facilitaban la detección del fraude.
El video deepfake no tiene que ser perfecto. En una entrevista corta realizada a través de una transmisión de video comprimida, los problemas visuales menores pueden parecer problemas de red normales. Un candidato o reclutador también puede culpar a la calidad de la cámara, al ancho de banda o a las preocupaciones de privacidad por mantener el fondo desenfocado.
La IA no creó el esquema subyacente. Redujo el costo de mantener varias identidades falsas y hizo que la detección básica fuera menos confiable.
El Caso de Sanciones Anterior Explica el Flujo Financiero
Las sanciones del 28 de octubre proporcionan un contexto útil sobre lo que sucede después de que los operadores norcoreanos reciben pagos en criptomonedas.
El Tesoro de EE. UU. alegó que el ciudadano ruso Ilya Aleksandrovich Boykov convirtió aproximadamente $3.5 millones en criptomonedas para Alis, una empresa sancionada conectada con trabajadores de TI norcoreanos. Se acusó a Vitold Viktorovich Obertas de convertir casi $2 millones en criptomonedas y procesar al menos $1.25 millones en transacciones de otra moneda para funcionarios norcoreanos.
El Tesoro también sancionó al First Financial and Technical Development Center, una organización controlada por Corea del Norte que opera en Rusia. Se alegó que seis trabajadores conectados con la organización generaron más de $750,000 desde 2025.
Estas designaciones muestran que la operación requiere más que personas que puedan pasar entrevistas técnicas. También necesita gerentes, proveedores de identidad, operadores de portátiles, controladores de billeteras e intermediarios capaces de convertir activos digitales en fondos utilizables.
Sancionar una billetera puede interrumpir una ruta. La red puede responder cambiando direcciones, cadenas, intermediarios o servicios de liquidación. Es por eso que el monitoreo de transacciones debe examinar relaciones y comportamiento en lugar de depender solo de una lista negra estática.
Por Qué las Empresas de Criptomonedas Son Objetivos Atractivos
Las empresas de criptomonedas combinan el trabajo remoto con el acceso directo a valor transferible.
Los desarrolladores pueden tener acceso al código fuente, herramientas de implementación, infraestructura en la nube o sistemas de billeteras internas. Los ingenieros de seguridad pueden trabajar con credenciales que protegen varias redes. Un atacante que compromete un punto final puede buscar un camino hacia sistemas que contienen activos que pueden moverse a cualquier hora.
Las transferencias financieras tradicionales a menudo pasan por sistemas de compensación, bancos y controles de horario comercial. Una transacción de criptomonedas puede liquidarse a través de fronteras en minutos. Esa velocidad beneficia a los usuarios legítimos, pero también acorta el tiempo disponible para detener un robo.
El incidente de Binance demuestra la escala de ese problema. A pesar de que los socios de blockchain supuestamente congelaron cerca de la mitad de los activos robados, miles de millones de dólares se movieron antes de que una respuesta coordinada pudiera tener efecto.
Las Billeteras Calientes Siguen Siendo un Límite de Seguridad Crítico
Las billeteras calientes están conectadas a sistemas en línea para que los exchanges puedan procesar retiros. Esa disponibilidad las hace más expuestas que las billeteras frías, que mantienen las credenciales de firma fuera de línea.
El informe de AP citó a un experto externo en seguridad que cuestionó si una autorización comprometida podría haber proporcionado acceso excesivamente amplio o duradero a la billetera afectada. Binance no ha publicado un relato técnico completo y su investigación aún está en curso.
El problema relevante no es simplemente si un exchange utiliza billeteras calientes. Todas las plataformas de negociación activas necesitan alguna forma de procesar los retiros de los clientes. Las preguntas son cuántos fondos se mantienen en línea, cómo se aplican los límites de transacciones y cuántas aprobaciones independientes se requieren para transferencias inusuales.
Un sistema seguro de almacenamiento en frío puede limitar la pérdida total, pero no puede proteger los activos que ya se han movido a una billetera operativa. La detección y los controles de transacciones aún importan en ese límite.
Congelar $3 Mil Millones No Termina el Proceso de Recuperación
La congelación reportada de aproximadamente $3 mil millones es significativa. También deja una cantidad sustancial sin resolver.
Algunos emisores de blockchain pueden congelar tokens a nivel de contrato. Los exchanges pueden bloquear depósitos conectados a direcciones identificadas. Validadores, puentes y firmas de análisis pueden distribuir alertas rápidamente cuando los activos robados comienzan a moverse.
Otros activos son más difíciles de detener. Los atacantes pueden intercambiar tokens a través de pools descentralizados, moverse entre cadenas, usar herramientas de privacidad o enrutar fondos a través de servicios ubicados en jurisdicciones que no cooperan con las autoridades de EE. UU.
El FBI advirtió específicamente que las DeFi y los servicios de intercambio instantáneo podrían aparecer en el proceso de lavado. Esa advertencia no significa que esos servicios hayan participado a sabiendas. Las herramientas sin permiso pueden ser utilizadas tanto por clientes legítimos como por actores sancionados.
La recuperación dependerá de la rapidez con que los investigadores identifiquen nuevas direcciones y de cuánto del dinero restante llegue a servicios capaces de bloquearlo.
Qué Deben Aprender las Empresas del Ataque
El caso de Binance muestra por qué la seguridad de la contratación no puede pertenecer solo a un departamento de Recursos Humanos.
Un contacto de trabajo de apariencia creíble puede convertirse en una ruta hacia los sistemas de producción. El código recibido durante una entrevista debe tratarse como software no confiable, incluso cuando proviene de una plataforma de empleo reconocida. Probarlo en un dispositivo aislado o en un entorno temporal puede evitar que una conversación profesional ordinaria acceda a credenciales corporativas.
Las verificaciones de identidad también deben continuar después de la contratación. Una empresa que verifica documentos el primer día pero ignora el acceso remoto inusual, las ubicaciones de los dispositivos o los cambios de pago puede pasar por alto las señales de que alguien más ha tomado el control de la cuenta.
La guía del FBI sobre trabajadores de TI norcoreanos recomienda verificar de forma independiente el historial laboral, examinar las inconsistencias de identidad y prestar mucha atención a los dispositivos de la empresa enviados a direcciones de terceros. También advierte sobre software de acceso remoto no autorizado y "granjas de portátiles" con sede en EE. UU. utilizadas para ocultar la ubicación real de un trabajador.
Para las empresas de criptomonedas, los controles de contratación, la seguridad de los dispositivos, los permisos de billetera y la selección de sanciones deben funcionar como un solo sistema. Los atacantes ya los tratan de esa manera.
Tapbit publica análisis de mercado y educación sobre criptomonedas para lectores que siguen las fuerzas que dan forma a los mercados de activos digitales. Explore la cobertura más reciente en Tapbit, acceda a una cuenta existente a través de Tapbit Login, o regístrese en Tapbit para obtener más información sobre la plataforma.
Preguntas Frecuentes
¿Quién hackeó Binance en octubre de 2026?
El FBI atribuyó el robo a Corea del Norte y lo asoció con TraderTraitor. TRM Labs y Chainalysis llegaron a evaluaciones similares basadas en el comportamiento del ataque y los vínculos con incidentes anteriores.
¿Cuánto se robó de Binance?
Aproximadamente $6.36 mil millones en activos criptográficos fueron transferidos desde las billeteras de Binance a través de 10 blockchains. Ha sido descrito como el mayor robo de criptomonedas registrado.
¿Perdió Binance fondos de clientes?
Binance dijo que había reservado más de $6.34 mil millones de fondos de la empresa para cubrir las pérdidas y prometió proteger a los usuarios. La compañía informó que la mayoría de los activos de los clientes permanecieron en almacenamiento en frío fuera de línea.
