En esta noticia
Las entrevistas laborales son una instancia habitual —y muchas veces temida— de la vida profesional. Hay anécdotas de procesos interminables, preguntas inesperadas, candidatos que no vuelven a recibir una respuesta y reclutadores que dejan su marca. Pero hay una modalidad que difícilmente haya figurado hasta ahora entre las experiencias posibles: que una entrevista de trabajo sea, en realidad, una trampa para robar criptomonedas.
Eso fue lo que ocurrió en Binance, uno de los mayores exchanges del mundo, según la reconstrucción preliminar que publicó la compañía sobre el ciberataque del 29 de octubre, que comprometió activos digitales por unos u$s 6.340 millones. El informe describe una operación preparada durante meses, con falsos reclutadores, programas maliciosos y una herramienta interna de inteligencia artificial. La empresa volvió a señalar a Corea del Norte como responsable y detalló cómo los atacantes consiguieron vulnerar sus sistemas.
La compañía sostuvo que la información más reciente publicada por el FBI identifica a la República Popular Democrática de Corea como responsable del incidente. Según su investigación, los atacantes combinaron distintas técnicas de ingeniería social, programas maliciosos y credenciales robadas para acceder a los sistemas que autorizaban las operaciones de sus billeteras digitales.
Hackeo a Binance: cómo empezó el ataque y qué papel tuvo la falsa entrevista laboral
La reconstrucción comienza en junio de 2026, cuando un ingeniero del equipo de infraestructura de billeteras descargó una versión manipulada de Homebrew, una herramienta utilizada para instalar programas, mientras buscaba incorporar un asistente de programación con inteligencia artificial. El equipo de seguridad detectó la anomalía, reemplazó su computadora y renovó sus credenciales. Sin embargo, los atacantes ya habían obtenido información sobre sus funciones y las de otros integrantes del área.
El segundo episodio ocurrió en septiembre. Otro ingeniero de software recibió una propuesta laboral a través de una plataforma legítima de búsqueda de empleo, de una persona que se presentó como director de proyecto. El proceso incluyó dos entrevistas: una videollamada con un supuesto representante de Recursos Humanos y otra conversación con alguien que decía ser el CEO de una empresa ficticia. Para generar confianza, uno de los falsos reclutadores compartió sus perfiles en redes sociales, con fotografías y videos personales.
Cerca del final de la segunda entrevista, el supuesto empleador le pidió al ingeniero que descargara una tarea de programación en su computadora de trabajo. El archivo contenía código malicioso que se ejecutó durante la instalación y permitió establecer comunicación con un servidor externo controlado por los atacantes.
Cómo utilizaron una herramienta de IA para llegar a las billeteras de Binance
El 20 de octubre, los atacantes aprovecharon la computadora comprometida del segundo ingeniero para acceder a una herramienta interna de inteligencia artificial de Binance. Desde allí consiguieron avanzar sobre los equipos de otros dos empleados vinculados al área de billeteras. En particular, identificaron que uno de ellos tenía en su computadora un token de permisos que habilitaba el despliegue de contenedores dentro de la infraestructura de la compañía.
La etapa final se produjo el 29 de octubre. Según el informe, los atacantes ingresaron al equipo de un tercer ingeniero, utilizaron las credenciales robadas del empleado de Wallet DevOps y desplegaron un contenedor con un script malicioso. Así consiguieron acceso no autorizado al servicio interno de firma de billeteras y comenzaron a ejecutar transferencias por fuera del procedimiento habitual de retiros.
El mecanismo que permitió concretar el robo de criptomonedas
Entre las 20:05 y las 20:09 UTC, cinco billeteras calientes de Binance transfirieron 233,46 millones de XRP a una dirección controlada por los atacantes. También se registraron movimientos de aproximadamente 970.500 SOL y 44,2 millones de OP, además de una transferencia de 18.270 BTC.
La empresa recibió una alerta por el volumen de las operaciones y comenzó a desplegar medidas de contención.
Binance suspendió los retiros, coordinó con socios del sector el congelamiento de activos e intentó revocar los permisos utilizados por los atacantes. Sin embargo, los delincuentes habían explotado una función de Ethereum, conocida como EIP-7702, para delegar derechos de ejecución a un contrato inteligente bajo su control.
La compañía informó que finalmente logró congelar o interceptar unos u$s 2.850 millones, sujetos a conciliación y a la volatilidad de los precios.
Qué medidas tomó Binance después del hackeo
La empresa aseguró que reservó más del 100% de los fondos necesarios para cubrir las pérdidas y que, al 3 de noviembre, ya había repuesto el 98% de los activos en tokens afectados. También informó que reconstruyó los sistemas de billeteras y la herramienta interna de IA involucrada, reemplazó los dispositivos comprometidos y desactivó las credenciales relacionadas con los ingenieros afectados.
Como parte de las próximas medidas, Binance anunció una revisión integral a cargo de especialistas independientes en ciberseguridad y mayores inversiones en detección de amenazas mediante inteligencia artificial. También trabaja en la creación de un fondo de investigación de seguridad y en iniciativas conjuntas con empresas de IA y otras firmas del sector. La compañía agregó que durante 2026 había detectado y prevenido otros 57 intentos sospechosos de ataques informáticos vinculados a Corea del Norte.
