Hackeo récord a Binance: 6.300 M$ desde un solo portátil

Binance afirma que unos hackers robaron 6.300 millones de dólares a la mayor plataforma de criptomonedas del mundo en un ataque el jueves por la tarde, una cifra que, si se confirma, lo convierte en el mayor robo de criptoactivos registrado. El punto de entrada no fue un día cero en un contrato inteligente ni un fallo en un puente. Fue el portátil de un ingeniero, según The Record. Ese equipo dio al atacante acceso a sistemas capaces de autorizar transacciones de retirada, y los atacantes lo usaron para mover miles de millones en una sola ráfaga.

Cuando la industria terminó de contar, unos 3.000 millones de dólares habían sido congelados por otras plataformas a través de las que los ladrones intentaron blanquear los fondos. Tether, Circle, Ripple, World Liberty Financial y Arbitrum se sumaron al esfuerzo de congelación. Aun así, los atacantes se quedaron con más de 2.400 millones de dólares en Ethereum y Bitcoin, tras vender stablecoins y pedir préstamos con el resto de los activos. Binance suspendió los depósitos y retiradas, se comprometió a cubrir todas las pérdidas con fondos de la empresa y afirmó que la suspensión durará 48 horas mientras colabora con las fuerzas del orden.

Lo confirmado

Se considera confirmado lo que Binance mismo ha dicho o lo que varias firmas independientes de inteligencia blockchain han observado en la cadena. Tres cosas superan ese umbral.

• Se sacaron 6.300 millones de dólares mediante transacciones de retirada no autorizadas. Binance publicó un informe post mortem que atribuye la brecha a un portátil comprometido de uno de sus ingenieros.
• Unos 3.000 millones de dólares han sido congelados por plataformas socias después de que los hackers intentaran canalizar fondos a través de ellas. Tether, Circle, Ripple, World Liberty Financial y Arbitrum participaron en la congelación.
• Los atacantes convirtieron stablecoins y tomaron préstamos con otros activos robados, y todavía retienen más de 2.400 millones de dólares en Ethereum y Bitcoin.

También confirmado: la cronología tuvo una larga mecha. TRM Labs afirma que las pruebas muestran que los preparativos comenzaron 36 horas antes del robo: pequeñas retiradas desde Tornado Cash para financiar una cartera operativa, actividad de preparación y firmas obtenidas por adelantado y ejecutadas en una sola ráfaga. Ese último detalle es clave. Las transacciones prefirmadas y ejecutadas simultáneamente son la forma de mover 6.300 millones de dólares antes de que salte ninguna alarma. Es el mismo patrón que TRM dice haber visto en los robos a Bybit y KelpDAO.

Lo que se afirma y quién lo afirma

La atribución se basa aquí en firmas de inteligencia blockchain, no en un comunicado gubernamental, al menos por ahora. Tanto TRM Labs como Chainalysis apuntan a TraderTraitor, el grupo de hackers norcoreano que el FBI ha señalado repetidamente como responsable de grandes robos de criptoactivos. Chainalysis afirma tener un «high degree of confidence that DPRK» detrás del ataque a Binance, y señala que se han visto fondos de Binance mezclados en carteras con criptoactivos robados a Bitget, la plataforma que el mes pasado informó de pérdidas de más de 387 millones de dólares a manos de hackers norcoreanos.

TRM Labs atribuyó el robo a TraderTraitor «con base en una inteligencia sólida dentro y fuera de la cadena». Su argumento, tal como se ha publicado, se apoya en la coincidencia de patrones: financiación desde Tornado Cash de carteras operativas, preparación mucho antes del robo y firmas anticipadas ejecutadas en una sola ráfaga. Son indicadores reales de tradecraft, y el historial del grupo respalda esa lectura: el FBI vincula a TraderTraitor con el robo a Bybit de 1.400 millones de dólares, el hackeo del Ronin Bridge de 600 millones, el del puente Harmony Horizon de 100 millones y el robo a KelpDAO de casi 300 millones en abril. Pero la mezcla de fondos en carteras y el solapamiento de TTP son pruebas circunstanciales sólidas, no una demostración. A fecha del viernes, ninguna agencia gubernamental había atribuido formalmente el robo a Binance.

Otra afirmación que conviene señalar: el cofundador de Binance, Yi He, aseguró que los fondos de los usuarios están a salvo y que la empresa cubrirá todas las pérdidas por hackeo. Eso es una promesa, no una auditoría de balance. Cubrir un agujero de 6.300 millones de dólares es un compromiso serio incluso para Binance, y los detalles —qué se reembolsará, en qué activo y con qué calendario— aún no se han precisado.

Lo que sigue sin saberse

El vacío en el registro público es la parte que realmente importa a un equipo de respuesta a incidentes: cómo se comprometió el portátil y qué mostraron los registros durante las 36 horas entre la preparación y la ejecución. El informe post mortem de Binance, según se ha publicado, identifica el dispositivo comprometido y las retiradas no autorizadas. No explica cómo se comprometió inicialmente al ingeniero —phishing, descarga maliciosa, herramientas envenenadas— ni si las firmas obtenidas por adelantado requerían alguna aprobación humana que debería haber activado una alerta.

También se desconoce a qué sistemas internos podía llegar el portátil, por qué un solo endpoint tenía una ruta hacia la autorización de retiradas a esa escala y si alguna detección saltó durante la ventana de preparación. El hallazgo de TRM de que los preparativos comenzaron 36 horas antes implica que hubo día y medio en el que los atacantes estuvieron activos y, en principio, visibles. Si lo estuvieron en la práctica es una pregunta que solo la telemetría de Binance puede responder, y todavía no lo ha hecho.

La ventana de 36 horas es la historia

He trabajado en brechas en las que la intrusión fue realmente rápida, con acceso inicial e impacto en menos de una hora, y en otras en las que el atacante estuvo semanas acampado. Esta se sitúa entre ambas, y ahí está la parte incómoda. Treinta y seis horas de preparación, con transacciones de financiación on-chain y recogida de firmas, no pasan desapercibidas. Solo son invisibles si nadie vigila los lugares adecuados.

Nada en la información publicada sugiere una técnica exótica. Un endpoint comprometido, acceso a sistemas capaces de firmar, firmas obtenidas de antemano y una única ráfaga de ejecución. Algo muy poco llamativo, como suelen serlo las mayores pérdidas. La palabra «sofisticado» se asociará a este robo por la cifra, pero el importe depende de cuánto valor descansaba sobre las relaciones de confianza de un solo portátil, no de la elegancia de la intrusión. Si su modelo de detección está afinado para encontrar malware y no para detectar una sesión de un ingeniero que solicita firmas de retirada en volúmenes u horarios inusuales, detectará el primer tipo de atacante y no este.

La congelación merece una mirada lúcida. Recuperar 3.000 millones de los 6.300 millones en pocas horas es una coordinación realmente impresionante: exigió que Tether, Circle y otros actuaran rápido sobre la base de inteligencia, frente a contrapartes que se movían igual de deprisa. También demuestra algo que el discurso de la descentralización del sector prefiere no mencionar: el plano de control efectivo de las criptomonedas es un grupo reducido de emisores de stablecoins y exchanges capaces de congelar activos por acuerdo. Esto no es una crítica. Es un hecho de arquitectura, y los defensores deberían planificar en función de él y no del marketing.

Negocia la congelación antes de necesitarla

Los 3.000 millones se congelaron porque las relaciones y los canales ya existían. Para cualquier organización que tenga una tesorería cripto relevante, la lección es que esta coordinación no puede improvisarse durante un incidente. Hay que negociarla por adelantado, y hay que asumir que la detección llegará tarde, porque a todos nos llega tarde.

1. Establecer contactos de escalado directos y probados con emisores de stablecoins, puentes y exchanges principales antes de cualquier incidente, incluidas rutas fuera de horario y el formato exacto de evidencia que cada parte necesita para actuar sobre una solicitud de congelación.
2. Definir por escrito qué activa una solicitud de congelación: qué umbrales de transacción, qué contrapartes y quién dentro de la organización puede autorizarla a las 3 de la madrugada.
3. Instrumentar la infraestructura de firma, no solo los endpoints: alertar sobre solicitudes de firma para retiradas, anomalías de volumen y cualquier sesión que toque sistemas de retirada fuera de las ventanas de cambio.
4. Tratar los equipos de ingenieros con acceso a sistemas de tesorería o firma como activos de máxima criticidad: aislamiento de hardware, sin navegación general ni correo, y aprobación reforzada para cualquier retirada por encima de un umbral bajo.
5. Ensayar los primeros 60 minutos de un escenario de robo con tesorería, SOC e IR juntos, porque la ventana para congelar se mide en minutos y los atacantes lo saben.

Conviene añadir el contexto más amplio: el mismo día, Microsoft publicó una investigación sobre operadores norcoreanos que usan IA para crear empresas fantasma y cebos de phishing a medida, y algunos grupos aprovechan la herramienta de pentesting ARTEX, dirigida habitualmente a organizaciones de criptomonedas y finanzas. Si la intrusión en Binance comenzó con un cebo construido de esa manera, encajaría con el manual conocido de TraderTraitor, pero eso sigue siendo una inferencia, no un hecho informado. Lo que sí consta es que la campaña cripto de Corea del Norte se ha llevado más de 2.000 millones de dólares solo en el último año, según cifras de investigadores de la ONU citadas en la cobertura, y el ritmo aumenta: Bybit, KelpDAO, Bitget y ahora Binance.

La conclusión

Tres preguntas para llevar a su próxima revisión. Primera: ¿qué endpoints individuales de su entorno pueden autorizar, directa o indirectamente a través de sistemas accesibles, el movimiento de fondos, y sabría en menos de una hora si uno de ellos estuviera comprometido? Segunda: ¿qué mostraron sus registros de actividad de firma en las últimas 36 horas y alguien los revisó? Tercera: si tuviera que pedir esta noche a Tether, Circle o a un exchange rival que congelara fondos, ¿tiene el contacto, el canal y la autoridad para hacerlo en diez minutos?

La respuesta de Binance a la tercera pregunta salvó 3.000 millones de dólares. Sus respuestas a las dos primeras son lo que el informe post mortem todavía nos debe. Un portátil, 36 horas de preparación, 6.300 millones de dólares fuera de la plataforma: los controles que importaron fueron los negociados por adelantado, y los que faltaron fueron los que se daban por supuestos.