El FBI atribuyó el robo a TraderTraitor, grupo norcoreano vinculado a Lazarus. La plataforma cubrirá todas las pérdidas con fondos propios y ya reabastece el 95% de los activos.
Binance, el exchange de criptomonedas más grande del mundo, confirmó el viernes pasado que una laptop comprometida de un ingeniero DevOps fue el punto de entrada para el robo de USD 6300 millones en activos digitales. La investigación preliminar de la plataforma determinó que los atacantes accedieron desde ese dispositivo a un contenedor de servicio involucrado en el procesamiento de retiros, desde donde ejecutaron transferencias no autorizadas. El exchange suspendió temporalmente los retiros mientras completaba verificaciones de seguridad, congeló aproximadamente USD 3000 millones en activos en cadena y revocó las autorizaciones de las direcciones afectadas. Binance anunció que cubrirá todas las pérdidas con fondos del Secure Assets Fund for Users (SAFU) y recursos propios de la empresa, y que no encontró evidencia de filtración de claves privadas de billeteras durante su investigación.
Cómo un dispositivo de desarrollo llegó hasta el pipeline de retiros
Los hallazgos preliminares de Binance indican que los atacantes comprometieron la laptop del ingeniero DevOps antes de acceder al contenedor de servicio y enviar las solicitudes de retiro. El exchange no ha publicado detalles técnicos del ataque, dejando sin respuesta preguntas sobre la ruta de intrusión precisa y cómo los atacantes navegaron sus sistemas internos. Tim Rawlins, asesor senior y director de seguridad en NCC Group, señaló que cuando las fallas de seguridad en identidades confiables y acceso administrativo pueden ser objetivo, los atacantes explotan más que solo las vulnerabilidades técnicas subyacentes.
Mario Rivas, líder de seguridad de blockchain y activos digitales en NCC Group, indicó que una plataforma que maneja activos digitales debería tener múltiples capas de seguridad para evitar que un único compromiso, como la laptop de un empleado, sea suficiente para autorizar una transferencia. El incidente es similar a la brecha de Bybit en febrero de 2025, donde se comprometió una máquina de desarrollador en Safe{Wallet} y se manipuló la interfaz presentada a los firmantes de transacciones. Sin embargo, el Departamento de Inteligencia de Amenazas de F6 (TID) señaló que el ataque a Binance apuntó a un proceso automatizado de retiros en lugar de engañar directamente a firmantes autorizados.
Un mecanismo de autorización masiva nunca visto a esta escala
Evgeniy Yanov, jefe del Departamento de Auditoría y Consultoría en F6, citó a la plataforma de seguridad cripto Blockaid al destacar un lote de 50 autorizaciones EIP-7702 dentro de una única transacción, junto con la delegación a un contrato «sweeper» malicioso, como una característica inusual del ataque reportado. Yanov afirmó que este mecanismo específico no se había visto antes en brechas de gran escala de este tamaño. Los atacantes convirtieron los activos robados privadamente en Ethereum, según observó el FBI, que advirtió que los fondos podrían ser posteriormente lavados a través de plataformas de finanzas descentralizadas y servicios de intercambio instantáneo.
Binance ha reabastecido aproximadamente el 95% de los activos afectados usando fondos de la empresa, mientras que el 5% restante, compuesto por tokens menos líquidos, podría tomar más tiempo en obtenerse. Las retiradas se están restaurando en fases, inicialmente reabriendo servicios en 15 redes incluyendo Bitcoin, Ethereum, Solana y XRP. La plataforma aseguró que los fondos de los usuarios están seguros y que cubrirá todas las pérdidas.
El FBI identifica a TraderTraitor, unidad élite norcoreana vinculada a Lazarus
El FBI atribuyó el ataque al grupo TraderTraitor, actores de amenaza norcoreanos considerados parte de la infraestructura más amplia de Lazarus. La agencia, trabajando con el Servicio Secreto de Estados Unidos e Investigación Criminal del IRS, basó la atribución en una combinación de inteligencia en cadena y fuera de cadena. El TID de F6 indicó que la firma del grupo coincide con robos previos: pequeños retiros de Tornado Cash usados para financiar la billetera del operador, preparación extensa mucho antes del robo real, y transacciones prefirmadas ejecutadas en una única ráfaga.
Los investigadores del TID notaron similitudes con robos de criptomonedas previos vinculados a Corea del Norte, incluyendo los incidentes de Bybit y KelpDAO. Sin embargo, advirtieron que Binance no ha nombrado independientemente a los perpetradores y que la evidencia completa de atribución no ha sido publicada. Rawlins señaló que dado lo que se sabe sobre las actividades de países como Corea del Norte en apuntar a criptomonedas, no es sorprendente que los atacantes estén preparados para invertir esfuerzos considerables en apuntar a individuos que tienen acceso a los componentes fundamentales de los exchanges.
Por qué América Latina enfrenta el mismo riesgo estructural que Binance
El ataque a Binance expone una vulnerabilidad estructural que afecta directamente a América Latina: la dependencia regional de plataformas centralizadas de intercambio de criptomonedas sin capas de seguridad suficientes en el acceso administrativo. Binance es uno de los exchanges más utilizados en México, Brasil, Argentina y Colombia, donde la adopción de criptomonedas ha crecido sostenidamente como alternativa a la volatilidad cambiaria y las restricciones de capital. Si un único dispositivo comprometido puede alcanzar el pipeline de retiros en la plataforma más grande del mundo, la misma superficie de ataque existe en exchanges regionales con presupuestos de seguridad significativamente menores.
El patrón de compromiso de dispositivos de desarrolladores, ya visto en Bybit y ahora en Binance, sugiere que los atacantes han identificado este vector como sistemáticamente explotable en la industria cripto. En América Latina, donde muchas empresas fintech y exchanges locales operan con equipos de desarrollo remotos y políticas de seguridad de endpoints menos maduras que sus contrapartes globales, la exposición es proporcionalmente mayor. La capacidad de Binance para congelar USD 3000 millones en activos en cadena y reabastecerlos con fondos propios no es replicable por plataformas regionales más pequeñas, lo que convierte un ataque similar en un evento potencialmente terminal para esos operadores.
Nuestro análisis
El incidente de Binance confirma un patrón que ya se había manifestado en Bybit: los atacantes están apuntando sistemáticamente a dispositivos de desarrolladores y personal DevOps como punto de entrada a infraestructuras críticas de criptomonedas. La diferencia clave es que en Bybit el ataque manipuló la interfaz de firmantes, mientras que en Binance alcanzó directamente un proceso automatizado de retiros. Esto sugiere que los grupos de amenaza están diversificando sus técnicas de explotación post-compromiso en función de la arquitectura específica de cada plataforma. El uso reportado de 50 autorizaciones EIP-7702 en una única transacción, mecanismo que Yanov de F6 señaló como inédito a esta escala, indica que los atacantes están incorporando técnicas de manipulación de contratos inteligentes más sofisticadas que en incidentes previos.
La atribución del FBI a TraderTraitor, vinculado a Lazarus, se alinea con el patrón de financiación estatal norcoreana a través de robos cripto, pero Binance no ha confirmado independientemente la autoría y la evidencia completa no es pública. Lo que sí está documentado es la firma operacional: uso de Tornado Cash para financiar billeteras operadoras, preparación extensa previa al robo, y ejecución en ráfaga de transacciones prefirmadas. Este patrón se repite en KelpDAO, Bybit y ahora Binance, lo que sugiere que la industria enfrenta un adversario con capacidad de reconocimiento prolongado y ejecución técnica precisa. Lo que aún no se sabe es cómo exactamente los atacantes mantuvieron persistencia en el dispositivo del ingeniero DevOps el tiempo suficiente para mapear la arquitectura interna de Binance y alcanzar el contenedor de retiros. ¿Cuántos otros dispositivos de personal con acceso administrativo en exchanges globales y regionales están ya comprometidos, esperando solo el momento de ejecución?