Binance rastrea un robo de 6.340 millones de dólares hasta una falsa campaña de contratación de cinco meses

Una intrusión de cinco meses provocó el vaciado de billeteras de Binance

Binance afirma que el robo, cuyo valor estima en 6.340 millones de dólares, comenzó meses antes de que se movieran los activos. En su primer relato público del ataque del 29 de octubre, el exchange describió una campaña que combinó una descarga de software comprometida con un proceso de contratación simulado, malware y el uso indebido de una herramienta interna de IA. El relato desplaza la atención de un único momento en que se vulneraron las billeteras a una serie de pasos que expusieron a personas, dispositivos y credenciales del equipo de ingeniería de billeteras.

El primer punto de acceso descrito por Binance se remonta a junio, cuando un ingeniero de DevOps de billeteras buscó una popular herramienta de programación con IA y descargó un instalador de Homebrew manipulado. Binance detectó una anomalía, sustituyó el dispositivo y cambió las credenciales. Sin embargo, el incidente también reveló las responsabilidades del ingeniero y los nombres de colegas que trabajaban en la infraestructura de billeteras. La respuesta de la empresa abordó el equipo afectado y los datos de acceso, mientras que el relato posterior muestra cómo esa exposición pudo haber servido para orientar nuevos ataques.

En septiembre, alguien que se hizo pasar por director de proyectos contactó a un segundo ingeniero a través de una plataforma legítima de empleo. Según Binance, al contacto le siguieron entrevistas por video con personas que afirmaban representar al equipo de Recursos Humanos y a la dirección de la empresa; además, se compartió una cuenta personal en redes sociales para generar confianza. El supuesto director ejecutivo asignó entonces un repositorio de código para que el ingeniero lo instalara en su equipo de trabajo. El proceso orquestado dio al software malicioso un pretexto creíble para llegar a un dispositivo de trabajo.

Un proceso de contratación se convirtió en una vía de acceso

Según Binance, el repositorio sustituyó un componente legítimo de pyenv por una versión maliciosa y estableció una conexión con un servidor controlado por un atacante. El malware fue descrito como de día cero y, en ese momento, las herramientas de protección de endpoints no lo detectaron. Este detalle apunta a una debilidad práctica de depender únicamente de las alertas convencionales de los dispositivos: una tarea de programación aparentemente relacionada con el empleo podía introducir código que las protecciones existentes no reconocían como malicioso. Binance no ha revelado todos los detalles técnicos de la intrusión.

El 20 de octubre, los atacantes utilizaron el equipo comprometido y una herramienta interna de IA para llegar a otros dos ingenieros de billeteras, uno de los cuales tenía un token de despliegue de contenedores. Binance afirma que el 29 de octubre los intrusos iniciaron sesión en el equipo de un tercer ingeniero, desplegaron un contenedor con credenciales robadas y comenzaron a vaciar activos. La secuencia ilustra cómo el acceso obtenido a través de un empleado puede extenderse mediante herramientas y privilegios internos, aunque el relato de la empresa no especifica todas las interacciones entre los sistemas atacados.

Binance afirma que este año bloqueó otros 57 intentos sospechosos vinculados a Corea del Norte que utilizaron señuelos similares, pero la plataforma no atribuyó por cuenta propia este robo. El FBI atribuyó el ataque a Corea del Norte; Pionyang rechazó esa acusación y Kim Yo Jong la calificó de provocación política en los medios estatales. Estas versiones contrapuestas hacen que la responsabilidad siga siendo objeto de disputa en el registro público. El informe de Binance describe el método y la cronología, pero no resuelve por sí mismo la cuestión de la atribución.

La firma delegada prolongó la respuesta

Las transferencias comenzaron rápidamente el 29 de octubre. Entre las 20:05 y las 20:09 UTC, cinco carteras calientes enviaron 233,46 millones de XRP a una dirección del atacante, seguidos de unos 970.500 SOL y 44,2 millones de OP desde carteras en Solana y Optimism. Después, una cartera caliente de Binance envió 18.270 BTC. La magnitud y la rapidez de estos movimientos muestran por qué la respuesta requirió algo más que identificar credenciales comprometidas: la plataforma también tuvo que detener los canales que podían autorizar transferencias en cadena.

Binance afirma que los atacantes utilizaron un servicio de firma comprometido para invocar el EIP-7702 de Ethereum, que permite a una cuenta delegar derechos de ejecución en un contrato inteligente sin exponer su clave. Un contrato controlado por los atacantes obtuvo control parcial de una billetera caliente de Binance. Suspender los retiros no cerró esa vía, porque los atacantes habían enviado 50 transacciones de firma que establecieron delegaciones en la cadena y operaban al margen de la infraestructura de retiros. El incidente puso de manifiesto una brecha entre los controles de retiro habituales y la ejecución delegada.

La billetera utilizaba computación multipartita, por lo que, según Binance, no había una única clave que pudiera revocarse para cancelar las delegaciones. El equipo tuvo que desarrollar un procedimiento durante el incidente. La última transferencia no autorizada, de 2.961,9 ETH, se liquidó a las 23:56 UTC; Binance anuló la delegación a las 00:10 UTC del 30 de octubre. La empresa reconoció que este desafío prolongó la contención y dijo que está revisando la cobertura de las políticas de firma y los controles de las billeteras calientes. El informe no detalla el nuevo procedimiento.

Recuperación, cambios de seguridad y preguntas sin resolver

Binance informó que congeló o interceptó alrededor de 2.850 millones de dólares de los activos robados y que repuso con fondos propios el 98 % de los tokens afectados; el saldo restante se está comprando en el mercado abierto. Estas cifras describen las medidas de recuperación del exchange y de resarcimiento a los clientes, no un desglose público completo del destino final de cada activo. La empresa también indicó que los retiros se reanudaron por etapas y que el martes se volvieron a habilitar decenas de activos más en nueve redes, tras las restricciones anteriores.

Los flujos de clientes ofrecieron otra medida de las consecuencias inmediatas. Binance afirmó que los usuarios retiraron 10.970 millones de dólares durante las 46 horas posteriores a la reanudación de los retiros el domingo, mientras que las salidas netas fueron de 5.280 millones de dólares. A las 03:00 UTC, los depósitos por hora superaron los retiros, algo que el codirector ejecutivo Richard Teng describió como una estabilización. Las cifras indican que continuaron los retiros sustanciales incluso cuando el saldo por hora pasó a ser positivo; no permiten determinar cómo se comportarán los usuarios durante un período más largo ni si la confianza se ha recuperado por completo.

Binance afirma que reconstruyó su sistema de billeteras y su herramienta interna de IA en nuevos entornos, reemplazó los dispositivos afectados, revocó las credenciales de los ingenieros y amplió la detección de anomalías de comportamiento. Está encargando una revisión independiente, aumentando el gasto en seguridad de terminales y entornos de desarrollo, y planea crear un fondo de investigación sobre seguridad de IA con empresas externas. En Washington, el presidente de la CFTC, Michael Selig, aprovechó la brecha para defender una vía federal de registro para las plataformas de intercambio extraterritoriales. Aún están pendientes las conclusiones de la revisión y las divulgaciones técnicas más completas de Binance; algunos detalles seguirán siendo privados.

Fuente: BitcoinMagazine