Binance dice que los atacantes llegaron el 29 de octubre al servicio que firma las transacciones de sus hot wallets tras dos entradas previas: un Homebrew envenenado en junio y una entrevista de trabajo falsa en septiembre. Una hot wallet es la billetera en línea con la que el exchange envía monedas rápido. Homebrew es un instalador de programas en Mac.

Homebrew alterado en junio

En junio un ingeniero de DevOps de billeteras buscó un asistente de código con IA y descargó un instalador de Homebrew que ya venía alterado. El personal de seguridad lo notó, le cambió la computadora y rotó los accesos de la máquina vieja. El exchange dice que su puesto y los compañeros del equipo de infraestructura de billeteras siguieron a la vista de los intrusos.

Entrevistas en un sitio de empleo real

Luego vino septiembre. Ese ingeniero tenía un perfil en un sitio real de empleo que nombraba su paso por Binance. Un desconocido, con el título de director de proyecto, armó dos conversaciones. La primera fue una videollamada con alguien que hacía de reclutador y compartió una cuenta de red social con fotos y clips personales. La segunda, en una app de chat común, fue con quien se presentó como jefe de una empresa que no existe.

Al cierre le pidieron copiar un repositorio en la laptop de la empresa y usarlo como prueba. En la instalación, el repositorio cambió una herramienta normal por un sustituto hostil, capaz de correr órdenes y de llamar a un servidor de los intrusos. Binance dice que sus herramientas de protección nunca habían visto ese programa, así que no lo detectaron, y que después los intrusos intentaron borrar las huellas.

Según CoinDesk, Richard Teng dijo a los periodistas, en inglés, que el ataque «was a campaign, built over many months».

Una herramienta interna de IA el 20 de octubre

El 20 de octubre, dice Binance, los intrusos pasaron de la laptop de septiembre, por una herramienta interna de IA, a la máquina del ingeniero de DevOps de junio y a la de un segundo ingeniero de software de billeteras. En la de DevOps encontraron un token para desplegar contenedores.

El 29 de octubre usaron la computadora del segundo ingeniero desde las 17:15 hasta las 19:56. Con ese token lanzaron un contenedor y un script contra el servicio interno que firma las transacciones de las billeteras.

Las salidas y EIP-7702

Binance sitúa la primera salida a las 20:05 UTC. En los cuatro minutos siguientes, cinco hot wallets movieron 233,46 millones de XRP a una dirección de los intrusos. Billeteras en Solana y en Optimism enviaron cerca de 970.500 SOL, junto con 44,2 millones de OP. Una alarma interna por el tamaño puso al personal a revisar. Luego una billetera de bitcoin movió 18.270 BTC, cifras que también recoge CryptoBriefing.

El servicio que firma apuntó a EIP-7702 de Ethereum. Esa regla deja que una cuenta dé a un contrato un poder limitado para actuar por ella, y la clave privada sigue en su sitio. El contrato era de los intrusos y cubría una sola hot wallet de Binance. Cincuenta transacciones de firma hicieron avanzar el nonce, el contador de la cuenta, hasta fijar la delegación hostil. Después se podía mover monedas sin el canal habitual de retiros.

Pausar los retiros y apagar el servicio de hot wallets dejó esos permisos en la cadena. El pedido a los socios fue congelar tokens. Limpiar la delegación tardó porque, con cómputo multipartito, nadie tiene una clave única para cancelarla. El equipo armó y ejecutó un procedimiento para ese caso. El último envío que el exchange marca como no autorizado, 2.961,9 ether, entró en un bloque a las 23:56 UTC tras quedar pendiente. A las 00:10 UTC del 30 de octubre, una autorización nueva de la hot wallet Binance14 hacia la dirección cero limpió la delegación.

El congelamiento y la reposición

La actualización de Binance pone los activos afectados cerca de 6.340 millones de dólares y la parte congelada o interceptada cerca de 2.850 millones, suma que aún puede moverse con la conciliación y los precios. Al 31 de octubre ya estaba repuesto el 98% de los tokens afectados, visible en la página de prueba de reservas. La reserva apartada supera la pérdida, siguen las compras de los tokens menos líquidos, y la pérdida corre por cuenta de Binance, no de los usuarios.

Binance, al citar el último comunicado del FBI, dice que el organismo señala a Corea del Norte como responsable. El reporte de PTYcoin sobre esa atribución está aquí.

Lo que ya cambiaron

Para el 3 de noviembre, dice Binance, ya reconstruyó en otro entorno el software de billeteras afectado y la herramienta interna de IA, con reglas de acceso nuevas, cambió las máquinas de esa ruta y dio de baja accesos y tokens. Volvió a escanear los dispositivos del personal, amplió las revisiones con IA para conducta fuera de lo habitual y ajustó los controles del servicio de billeteras. Empresas externas de ciberseguridad van a revisar la intrusión y las conclusiones del exchange. El presupuesto adicional cubre detección con IA, defensa de equipos y máquinas de desarrollo, y hay un fondo de investigación en preparación con empresas de IA y de seguridad.