◢Qué ha pasado

El informe del incidente³ que Binance publicó el 3 de noviembre cuenta un ataque que se preparó durante semanas. En septiembre, un ingeniero de software recibió un mensaje en una plataforma de empleo legítima de alguien que se hacía pasar por director de proyecto de una empresa inexistente. Tras una videollamada con una supuesta persona de recursos humanos y otra entrevista, por una aplicación de mensajería, con quien decía ser el director general, le pidieron descargar en su ordenador de trabajo una tarea que contenía un repositorio de código malicioso. Al ejecutarlo se instaló un programa que, según Binance, las herramientas de protección del equipo no detectaron.

El 20 de octubre, los atacantes usaron ese ordenador y una herramienta interna de IA para hacerse con los equipos de otros dos ingenieros que trabajaban en las carteras, y a uno de ellos le encontraron un token con permiso para desplegar contenedores. El 29 de octubre, entre las 17:15 y las 19:56 UTC, entraron en uno de esos ordenadores, usaron las credenciales robadas, desplegaron un contenedor y lanzaron el script que inició el robo. La última transferencia no autorizada, de ether, se cerró a las 23:56 UTC.

En su primer comunicado, Binance aseguró que no había encontrado indicios de que se filtraran las claves privadas de sus carteras. Es decir, no robaron las llaves de la caja fuerte, sino que se hicieron pasar por uno de los sistemas que tienen permiso para mover el dinero.

Binance dice que ha reconstruido el sistema de carteras afectado y la herramienta interna de IA, ha sustituido los equipos comprometidos y ha retirado las credenciales de los ingenieros implicados.

◢¿Quién está detrás? El FBI señala a Corea del Norte

El 31 de octubre, el FBI publicó un aviso⁴ en el que afirma que Corea del Norte es responsable del robo de más de 6.000 millones de dólares en criptomonedas a Binance. Llama a esta actividad "TraderTraitor", el mismo nombre que usa para los hackers norcoreanos que robaron a DMM Bitcoin y a Bybit.

Según el aviso, el FBI, el Servicio Secreto y la unidad de investigación criminal de Hacienda de Estados Unidos (IRS-CI) han visto cómo los atacantes convierten lo robado sobre todo en ether, y esperan que lo sigan blanqueando con servicios DeFi y de intercambio instantáneo. Por eso piden a exchanges, plataformas DeFi, operadores de nodos y empresas de análisis de blockchain que bloqueen cualquier transacción que venga de las direcciones de los atacantes. El aviso publica la lista completa: cientos de direcciones de Ethereum, bitcoin y Solana.

◢Cuánto dinero y qué se ha recuperado

Binance estima el impacto total en unos 6.300 millones de dólares y avisa de que la cifra puede cambiar mientras rastrea los fondos. Con la ayuda de empresas de análisis de blockchain, ya había congelado unos 3.000 millones en sus primeros comunicados. Su informe³ del 3 de noviembre rebaja la cifra a unos 2.850 millones congelados o interceptados, y avisa de que aún está por conciliar y depende de los precios del mercado.

Para cubrir el agujero, Binance dice en su segunda actualización⁹ que ya ha apartado más de 6.340 millones de dólares propios, 5.000 de ellos en los mismos tokens que le robaron (USDC, USDT, bitcoin, ether, BNB...). Eso cubría alrededor del 80 % del impacto. El resto lo está comprando en el mercado y en operaciones OTC, es decir, tratando directamente con grandes vendedores. En su quinta actualización⁵, del 2 de noviembre, dice que ya ha cubierto alrededor del 95 %. Lo que falta son tokens menos líquidos, que cuesta más conseguir en esa cantidad. El informe da otra cifra, medida de otra forma: el 98 % de los tokens afectados repuesto a 31 de octubre.

Otras empresas también han bloqueado parte del dinero. Según NBC News, Tether, emisor de la stablecoin USDT, congeló más de 1.567 millones de dólares, según su CEO, Paolo Ardoino, y Circle, emisor de USDC, congeló "cientos de millones", según su CEO, Jeremy Allaire.

La noticia movió el mercado: el jueves, bitcoin cayó alrededor de un 4,3 % y ethereum un 4,6 %, según NBC News².

◢¿Está seguro mi dinero en Binance?

Binance afirma que los fondos de los usuarios están a salvo y que cubrirá todas las pérdidas con su fondo de emergencia SAFU y con dinero de la propia empresa. Su fundador, Changpeng Zhao, escribió que, como accionista, espera que todos los fondos de los usuarios queden cubiertos.

El 3 de noviembre, a las 04:00 UTC, Binance reabrió los retiros de 51 tokens más, 31 en Ethereum y 20 en Solana, y sigue sin dar fecha para el resto, según crypto.news⁷.

Para pagar todo esto también ha tirado de su fondo de emergencia. Binance ha confirmado que sacó 7.499 bitcoins del SAFU, que se queda con unos 7.500, cerca de la mitad de lo que tenía, según Cointelegraph⁸. Ha prometido volver a dejarlo en unos 1.000 millones de dólares, según crypto.news⁷, pero no hay plazo.

En las primeras nueve horas y media de retiros, los usuarios sacaron 4.650 millones de dólares e ingresaron 1.010 millones, una salida neta de 3.640 millones, el 2,1 % de los 171.000 millones que custodia Binance, según CNBC⁶. Changpeng Zhao, su fundador, lo resumió con un "el 98 % elige quedarse". No es una huida masiva, pero sí una cifra muy alta para tan pocas horas. Circle, la empresa que emite USDC, ha congelado ya más de 1.100 millones de dólares de lo robado en colaboración con las autoridades, según el mismo medio.

Binance también ha revocado la autorización de la dirección afectada y trabaja con las autoridades para rastrear los fondos.

◢Lo que debes hacer ahora si tienes cuenta

• ▹No pinches en enlaces de correos, SMS ni mensajes que digan ser de Binance. Entra tú en la app o escribiendo la web.
• ▹No compartas nunca tu contraseña, los códigos de verificación ni las frases de recuperación de una cartera. Ningún soporte legítimo te los va a pedir.
• ▹Desconfía de cualquiera que te ofrezca recuperar dinero, adelantarte una compensación o ayudarte a retirar fondos antes que nadie.
• ▹Ahora que se reabren los retiros, no hagas caso a quien te meta prisa para sacar tu dinero "antes de que vuelvan a cerrar" ni a quien te mande un enlace para hacerlo. Hazlo, si quieres, desde la app, y comprueba en ella si tu red ya está disponible.
• ▹Si quieres repasar cómo se reconoce un correo falso, lo expliqué en cómo saber si un correo es phishing.

◢Una falsa entrevista como puerta de entrada

Lo que más me interesa de esta noticia no es la cifra, es por dónde entraron. Según su propio informe, una de las empresas con más presupuesto de seguridad del mundo no cayó por un fallo en sus cajas fuertes, sino porque un ingeniero ejecutó en su ordenador de trabajo la prueba técnica de una entrevista falsa. Y desde ahí, con una herramienta interna de IA, los atacantes llegaron a quienes sí tenían las llaves.

◢Qué debería aprender cualquier empresa

No hace falta mover miles de millones para que esto te afecte. Si alguien de tu equipo tiene acceso a la banca online, a los servidores o a las cuentas de administración, su portátil es una puerta de entrada.

• ▹Los equipos con acceso privilegiado no deberían usarse para nada más: ni para probar código de desconocidos ni para abrir archivos de procesos de selección.
• ▹Segundo factor en todo, permisos justos y revisar quién puede hacer qué.
• ▹Vigilar las operaciones raras: un retiro o un pago fuera de lo normal debería saltar antes de completarse, no después.
• ▹Formar a quien tiene esas llaves para reconocer la ingeniería social, incluidas las ofertas de trabajo falsas.

Es justo lo que trabajo en mi formación de ciberseguridad para empresas: que la persona que tiene acceso a lo importante sepa que es un objetivo y cómo se le ataca.