Los atacantes combinaron una falsa entrevista laboral, malware y accesos internos para llegar a las billeteras de Binance. La empresa reportó pérdidas por unos 6,340 millones de dólares; su investigación sigue abierta.
El robo de Binance no comenzó con una inteligencia artificial que decidió vaciar billeteras. Según el primer informe de la empresa, fue el desenlace de una campaña que se extendió durante meses y combinó engaños dirigidos a empleados, programas maliciosos y credenciales comprometidas. La IA tuvo un papel concreto en esa cadena: ayudó a los atacantes a avanzar dentro de los sistemas de la compañía.
La secuencia empezó en junio, cuando un ingeniero del equipo que desarrolla la infraestructura de billeteras descargó una instalación manipulada de una herramienta de programación. Binance detectó actividad anómala, reemplazó el equipo y cambió las credenciales relacionadas. Aun así, los atacantes obtuvieron información sobre el puesto del empleado y sus colegas, un dato que más adelante les serviría para elegir a quién acercarse.
En septiembre, otro ingeniero recibió una oferta de trabajo que parecía legítima. El proceso incluyó entrevistas por videollamada y, después, una supuesta prueba de programación que el empleado descargó en su computadora de trabajo. El archivo escondía código malicioso. Así, los atacantes comprometieron otro equipo dentro de la empresa.
El siguiente paso llegó el 20 de octubre. Desde la computadora ya infectada, los atacantes usaron una herramienta interna de IA para alcanzar los equipos de dos integrantes del equipo de billeteras. Binance no ha publicado detalles suficientes para saber qué herramienta era, qué instrucciones recibió ni si la IA generó código. El informe la describe como un medio para avanzar hacia otros sistemas, no como el mecanismo que ordenó por sí mismo las transferencias.
Nueve días después, los atacantes entraron al equipo de otro ingeniero con credenciales robadas, desplegaron un contenedor —un paquete de software que puede ejecutarse de manera aislada— y activaron un script malicioso. Ese acceso les permitió llegar al servicio que autoriza las operaciones de las billeteras conectadas a internet de Binance.
El 29 de octubre, cinco de esas billeteras enviaron 233.46 millones de XRP en cuatro minutos a una dirección controlada por los atacantes. Después salieron otros criptoactivos. Binance detectó transferencias de gran volumen e intentó frenar los movimientos, pero algunas autorizaciones ya estaban registradas en la red y no dependían del sistema habitual de retiros. El último movimiento no autorizado se confirmó casi cuatro horas después del inicio.
Binance calcula que el incidente afectó activos por unos 6,340 millones de dólares. La empresa dice que congeló o interceptó alrededor de 2,850 millones y que repuso 98% de los activos afectados con recursos propios. El FBI atribuyó el ataque a Corea del Norte; el gobierno norcoreano negó su participación. La investigación de Binance continúa y la empresa encargó una revisión independiente.
El episodio deja una lección más amplia para las empresas que incorporan IA a sus operaciones: una herramienta interna puede ampliar el alcance de un atacante si se usa desde un equipo comprometido y con permisos que permiten acceder a sistemas sensibles. Pero en este caso, la IA fue una parte de la ruta. El engaño inicial, el malware, las credenciales robadas y los controles sobre las billeteras también fueron decisivos. No hay datos públicos para asignar un porcentaje del ataque a cada componente.
