Binance atribuye a una falsa entrevista laboral el robo de 6.340 millones de dólares en criptomonedas

El 3 de noviembre de 2026, Binance informó de que hackers norcoreanos utilizaron una falsa entrevista laboral para conseguir que un empleado instalara malware y comprometer posteriormente la infraestructura de carteras de la compañía. El ataque culminó el 29 de octubre con el robo de aproximadamente 6.340 millones de dólares en activos digitales.

Según Binance, el empleado fue contactado en una plataforma legítima de búsqueda de empleo por alguien que se hacía pasar por un Project Director de una empresa ficticia. Tras dos entrevistas, recibió un ejercicio de programación alojado en un repositorio de código. El repositorio contenía malware personalizado que no fue detectado por las herramientas de seguridad del dispositivo.

El código malicioso sustituyó un componente legítimo de una herramienta de desarrollo en macOS para ejecutar comandos y comunicarse con un servidor controlado por los atacantes. Para el 20 de octubre, los atacantes habían utilizado el equipo comprometido y una herramienta interna de IA para acceder a otros dos empleados de Binance que trabajaban en la infraestructura de carteras, además de obtener credenciales y un token de despliegue de contenedores.

El 29 de octubre, los atacantes emplearon esas credenciales para desplegar un script malicioso y acceder sin autorización al servicio de firma de carteras de Binance. Desde allí transfirieron criptomonedas en varias cadenas de bloques y abusaron del mecanismo de autorización EIP-7702 de Ethereum para continuar los robos después de que la compañía suspendiera las retiradas.

Binance indicó que había reconstruido los sistemas afectados, sustituido los dispositivos comprometidos y revocado las credenciales expuestas. A 3 de noviembre, aproximadamente 2.850 millones de dólares en activos robados habían sido congelados o interceptados, mientras que el 98 % de los activos afectados había sido repuesto a 31 de octubre. La compañía mantiene abierta la investigación y ha incorporado firmas de seguridad independientes para revisar sus conclusiones.

El FBI atribuyó anteriormente el ataque a hackers patrocinados por Corea del Norte identificados como TraderTraitor, también rastreados como Lazarus Group, Jade Sleet y APT38. Binance no vinculó el compromiso con una campaña concreta, aunque el método presenta similitudes con Contagious Interview y Operation Dream Job.

Fuente: BleepingComputer.