La plataforma de intercambio digital «Binance» explicó que el reciente hackeo, que resultó en la apropiación de activos por valor de 6.340 millones de dólares, fue el resultado de una campaña compleja que duró varios meses y que se dirigió a los ordenadores de tres de sus ingenieros de infraestructura de carteras. La campaña incluyó un hackeo mediante una entrevista de trabajo falsa y una tarea de programación maliciosa, además de la explotación de una herramienta de inteligencia artificial interna.
Según el informe preliminar emitido por la plataforma, las autoridades y los equipos de respuesta han logrado congelar y recuperar cerca de 2.850 millones de dólares en activos robados hasta ahora, mientras que la Oficina Federal de Investigación de EE. UU. (FBI) atribuyó el ataque al grupo de infiltración cibernética «TraderTraitor», vinculado a Corea del Norte.
Detalles de la infiltración de los atacantes mediante ingeniería social
El proceso de infiltración comenzó en junio, cuando un ingeniero de operaciones de carteras (Wallet DevOps) intentó descargar una herramienta de programación basada en inteligencia artificial a través de un motor de búsqueda, lo que provocó la instalación de una versión modificada y maliciosa del paquete (Homebrew). Aunque el equipo de ciberseguridad de la plataforma detectó la amenaza, reemplazó el dispositivo del ingeniero y restableció sus credenciales, los atacantes lograron recopilar información valiosa sobre la naturaleza de su trabajo y su equipo.
En septiembre, los atacantes se dirigieron a un segundo ingeniero mediante un engaño de contratación, en el que se le realizaron dos entrevistas: la primera con un representante de recursos humanos falso que presentó cuentas sociales verificadas con fotos personales para ganarse su confianza, y la segunda con una persona que afirmaba ser el CEO de una empresa ficticia. La entrevista terminó con la solicitud de descargar una "tarea de programación" para probar sus habilidades, la cual contenía un repositorio de código malicioso que se ejecutó inmediatamente tras su preparación. El software malicioso reemplazó un componente clave en las herramientas de desarrollo y abrió un canal de comunicación con el servidor de control de los atacantes sin que los sistemas de detección y respuesta de endpoints (EDR) lo detectaran, ya que se basó en una vulnerabilidad desconocida (0-day).
Explotación de la herramienta de inteligencia artificial y vulnerabilidades de protocolos
El 20 de octubre, los atacantes utilizaron el ordenador infectado junto con una herramienta de inteligencia artificial interna para acceder al sistema del primer ingeniero y al sistema de un tercer ingeniero del equipo de carteras. El 29 de octubre, accedieron al ordenador del tercer ingeniero y plantaron un entorno de contenedores (Container) utilizando las credenciales del primer ingeniero, para luego ejecutar un script malicioso para transferir los activos.
Los atacantes explotaron el acceso no autorizado al servicio de firma de carteras calientes para transferir criptomonedas como XRP, SOL, OP y BTC. También aprovecharon el mecanismo (EIP-7702) en la red Ethereum para otorgar a un contrato inteligente específico facultades de ejecución parcial sobre la cartera caliente. Dado que la cartera estaba protegida con la tecnología de computación multipartita (MPC), no había claves únicas que pudieran revocar la autorización de forma inmediata, y las transferencias continuaron hasta que la autorización fue cancelada después de la medianoche.
¿Por qué es importante esta noticia para el sector tecnológico y cibernético?
Este incidente revela un cambio cualitativo en los métodos de ingeniería social; la amenaza ya no se limita a los mensajes de phishing tradicionales, sino que se ha extendido para incluir entrevistas de trabajo totalmente planificadas y el sabotaje de las herramientas de desarrollo diarias. Asimismo, destaca el doble desafío que supone la integración de herramientas de inteligencia artificial en los entornos corporativos sin restricciones estrictas de permisos, ya que pueden ser explotadas como un puente para acceder a sistemas sensibles y realizar movimientos laterales (Lateral Movement) entre dispositivos autorizados.
Recuperación y medidas de seguridad adoptadas
Binance confirmó la reconstrucción desde cero del sistema de carteras y de la herramienta de inteligencia artificial afectada, así como la sustitución de los dispositivos y la revocación de todos los tokens y credenciales anteriores. Además, contó con la ayuda de empresas de seguridad independientes para revisar el incidente y anunció la creación de un fondo de investigación especializado en la seguridad de la inteligencia artificial dentro de los entornos blockchain.
Por su parte, el co-CEO Richard Teng mencionó que el 98% de los activos afectados han sido compensados y su estabilidad ha sido restaurada, y que los retiros se han habilitado gradualmente para los usuarios, en paralelo con la publicación de pruebas de conocimiento cero (Zero-Knowledge Proofs) para confirmar la cobertura total de las reservas de la plataforma.