Binance afirma que una campaña cibernética de varios meses, en la que se utilizaron un instalador de Homebrew manipulado y un falso proceso de selección de personal, dio a los atacantes acceso a su servicio interno de firma de carteras. La plataforma calcula que el 29 de octubre se robaron aproximadamente 6.340 millones de dólares en criptomonedas.

En un informe de seguridad publicado el 3 de noviembre, Binance describió el incidente como una operación de varias etapas, en lugar de una única vulneración. La plataforma dijo que el primer compromiso conocido se produjo en junio, cuando un ingeniero del equipo de Wallet DevOps descargó una instalación modificada de Homebrew, un gestor de paquetes para macOS, mientras buscaba una herramienta de programación con IA.

Binance detectó actividad inusual, sustituyó el dispositivo del ingeniero y cambió las credenciales asociadas. Sin embargo, según el informe, los atacantes ya habían averiguado cuál era el puesto del ingeniero e identificado a colegas que trabajaban en la infraestructura de carteras de la plataforma.

En septiembre, alguien que se hizo pasar por director de proyectos contactó a un segundo ingeniero a través de una plataforma legítima de búsqueda de empleo. El supuesto reclutador organizó dos entrevistas, incluida una videollamada con una presunta representante de Recursos Humanos que compartía una cuenta de redes sociales con fotos y videos personales. Más tarde, le pidieron al ingeniero que descargara una prueba de programación desde un repositorio de software malicioso. Binance dijo que el código se ejecutó durante la instalación y sustituyó un componente legítimo de la herramienta de gestión de versiones de Python pvenv por malware capaz de ejecutar comandos y comunicarse con un servidor controlado por un atacante. En ese momento, las herramientas de seguridad de terminales de la plataforma no lo detectaron.

Binance dijo que los atacantes avanzaron aún más el 20 de octubre: utilizaron computadoras comprometidas y una herramienta interna de IA para tomar el control de los dispositivos de dos ingenieros de carteras. También encontraron un token de permiso para desplegar contenedores en la computadora del ingeniero al que habían atacado por primera vez en junio.

El 29 de octubre, los atacantes utilizaron credenciales robadas para acceder a la computadora de otro ingeniero, desplegar un contenedor y ejecutar un script malicioso. Esto les dio acceso al servicio interno de firma de carteras de Binance, que utilizaron para realizar transacciones desde cinco carteras calientes, al margen del proceso habitual de retiro de la plataforma.

El FBI atribuyó el robo a Corea del Norte el 1 de noviembre y se refirió a la actividad como «TraderTraitor». Corea del Norte rechazó las afirmaciones de Estados Unidos y las calificó de «disparates absurdos». Binance dijo que había congelado o interceptado aproximadamente 2.850 millones de dólares en activos comprometidos y repuesto el 98 % de los fondos afectados.

Fuentes: Tom's Hardware.