Binance afirma que el hackeo de $6.34 mil millones comenzó con una entrevista de trabajo falsa

Bitcoin Magazine Binance afirma que el hackeo de $6.34 mil millones comenzó con una entrevista de trabajo falsa. El robo de $6.34 mil millones de Binance comenzó con una entrevista de trabajo falsa y duró cinco meses antes de que se moviera una sola moneda, dijo el exchange el martes en su primer relato público del ataque del 29 de octubre. Otro informe inicial de incidente de Binance, publicado junto con una sesión informativa con los medios del co-CEO Richard Teng y el director de seguridad Jimmy Su, describe una campaña que combinó una descarga de software envenenada, un proceso de reclutamiento montado, malware que evadió la detección de endpoints y una herramienta interna de IA que los atacantes usaron contra los propios ingenieros de wallets de la compañía.

Binance dijo que ha congelado o interceptado aproximadamente $2.85 mil millones de los activos robados y repuesto el 98% de los tokens afectados con sus propios fondos, comprando el resto en el mercado abierto. "Esto no fue un error ni una sola brecha: fue una campaña de meses", escribió Teng en X. "Estamos publicando el informe completo porque las lecciones van mucho más allá de Binance". El FBI ha atribuido el ataque a Corea del Norte. El informe de Binance cita esa conclusión pero no llega a hacer su propia atribución. Pyongyang rechazó la afirmación el lunes, con Kim Yo Jong, hermana del líder Kim Jong Un, calificándola de "grave provocación política" a través de medios estatales.

El hackeo de Binance tuvo cinco meses de preparación. Según Binance, el primer punto de apoyo para este hackeo llegó en junio. Un ingeniero de DevOps de wallets buscó una herramienta de codificación de IA popular y descargó un instalador de Homebrew manipulado. El equipo de seguridad de Binance detectó la anomalía, reemplazó el dispositivo y rotó las credenciales, pero el episodio expuso el rol del ingeniero y los nombres de colegas en el equipo de infraestructura de wallets. En septiembre, un segundo ingeniero fue contactado en una plataforma de empleo legítima por alguien que se hacía pasar por director de proyecto. Siguió una entrevista en video con un supuesto representante de RR. HH., quien compartió una cuenta personal de redes sociales para generar confianza. Una segunda entrevista con un supuesto CEO terminó con una "tarea": un repositorio de código que el ingeniero debía instalar en su máquina de trabajo.

El repositorio reemplazó un componente legítimo de pyenv con una versión maliciosa y abrió un canal hacia un servidor controlado por el atacante. Binance dijo que el malware zero-day no fue detectado por sus herramientas de endpoint en ese momento. El 20 de octubre, los atacantes usaron esa máquina y una herramienta interna de IA para llegar a otros dos ingenieros de wallets, uno de los cuales tenía un token de despliegue de contenedores. El 29 de octubre, entre las 17:15 y las 19:56 UTC, iniciaron sesión en la computadora de un tercer ingeniero, desplegaron un contenedor con las credenciales robadas y lanzaron el drenaje. Binance dijo que bloqueó otros 57 intentos sospechosos vinculados a Corea del Norte este año usando señuelos similares.

Cuatro horas para contener. El dinero salió rápido. Entre las 20:05 y las 20:09 UTC, cinco hot wallets enviaron 233.46 millones de XRP a una dirección del atacante. Las wallets en Solana y Optimism siguieron con aproximadamente 970,500 SOL y 44.2 millones de OP. Luego, una hot wallet de Binance envió 18,270 BTC. El atacante usó el servicio de firma comprometido para invocar el EIP-7702 de Ethereum, que permite a una cuenta delegar derechos de ejecución a un smart contract sin exponer su clave, y otorgó a un contrato controlado por el atacante control parcial sobre una hot wallet de Binance. Suspender los retiros no detuvo ese último canal. Los atacantes habían enviado 50 transacciones de firma para establecer delegaciones on-chain que operaban fuera de la infraestructura de retiros de Binance. Debido a que la wallet utilizaba computación multipartita, no existía una sola clave para revocarlas, y el equipo tuvo que construir un procedimiento en el momento. La transferencia no autorizada final, 2,961.9 ETH, se liquidó a las 23:56 UTC. Binance eliminó la delegación a las 00:10 UTC del 30 de octubre. El informe reconoce la brecha. "Estos desafíos extendieron el tiempo requerido para contener completamente los movimientos de activos no autorizados", señala, y agrega que la compañía está revisando la cobertura de su política de firma y los controles de hot wallets.

Los clientes retiraron $10.97 mil millones en las 46 horas posteriores a la reapertura de los retiros el domingo, con salidas netas de $5.28 mil millones, según datos que Teng publicó el martes. Para las 03:00 UTC, los depósitos por hora superaban a los retiros, un cambio que Teng calificó como señal de estabilización. Binance reabrió los retiros de docenas de activos más en nueve redes el martes. La brecha se ha convertido en tema de conversación en Washington. El presidente de la CFTC, Michael Selig, dijo que el hackeo "prueba exactamente nuestro punto" sobre la necesidad de una vía de registro federal para los exchanges offshore, y el martes la agencia aprobó futuros perpetuos de acciones para venues regulados en EE. UU., extendiendo el impulso de onshoring que comenzó con el perp de bitcoin de Kalshi en mayo.

Binance dijo que ha reconstruido el sistema de wallets y la herramienta interna de IA en nuevos entornos, reemplazó los dispositivos afectados, revocó las credenciales de los ingenieros y amplió la detección de anomalías de comportamiento. Está encargando una revisión independiente, aumentando el gasto en seguridad de endpoints y entornos de desarrollo, y planea un fondo de investigación sobre seguridad de IA con firmas externas. Algunos detalles técnicos, según el informe, permanecerán privados. Esta publicación, Binance afirma que el hackeo de $6.34 mil millones comenzó con una entrevista de trabajo falsa, apareció primero en Bitcoin Magazine y está escrita por Micah Zimmerman.