Binance dice que Corea del Norte usó una vacante falsa e IA interna en robo récord

Binance publicó un postmortem sobre el robo de criptomonedas señalado como el mayor robo de cripto hasta la fecha. Según la empresa, el ataque fue llevado a cabo durante meses por la unidad norcoreana TraderTraitor, identificada por el FBI, y combinó conocidas técnicas de ingeniería social. El proceso empezó en junio y terminó con transferencias no autorizadas a finales de octubre.

Todo habría empezado con un anuncio en un motor de búsqueda que entregaba una descarga con malware. Un desarrollador descargó un instalador alterado difundido mediante un anuncio malicioso de Google, lo que expuso detalles sobre los ingenieros y cómo trabajan. Binance afirma que los equipos de seguridad detectaron esa primera instalación en junio y reemplazaron el dispositivo del empleado.

La entrevista falsa abrió la puerta

En septiembre, un segundo ingeniero fue contactado por alguien que fingía interés en contratarlo. La persona programó una serie de llamadas y varias rondas de entrevistas, compartió páginas de redes sociales para ganar confianza y convenció al objetivo de descargar una falsa prueba de entrevista que en realidad era malware.

Ese segundo ataque borró el ejecutable pyenv y lo reemplazó con una versión maliciosa que dio a los intrusos acceso de puerta trasera. La empresa dice que las herramientas de seguridad no detectaron ese ataque en ese momento. El malware usó ofuscación sofisticada y borró rastros para dificultar la detección y la investigación posterior.

El malware de día cero no fue detectado por las herramientas de protección de seguridad en los endpoints en ese momento. El atacante también tomó medidas para ocultar la actividad maliciosa y eliminar rastros del ataque, lo que dificultó la detección y la investigación posterior.

Binance, en postmortem

IA interna y billeteras tomadas

El 20 de octubre, los atacantes habrían usado la propia herramienta interna de IA de Binance para tomar el control de billeteras del primer ingeniero comprometido en junio y de un tercer empleado. Después, el 29 de octubre, accedieron a la computadora del tercer empleado y lanzaron el ataque.

Binance también explicó por qué no pudo detener las transacciones que ocurrieron casi dos horas después de las primeras transferencias no autorizadas. Como la hot wallet —la billetera conectada a internet usada para retiros rápidos— utilizaba Computación Multipartita (MPC), técnica que divide el control entre varias partes sin una llave única, no había una sola llave privada que pudiera revocar de inmediato las autorizaciones maliciosas del tipo EIP-7702.

La empresa dice que ya bloqueó 57 casos sospechosos de amenazas cibernéticas vinculadas a Corea del Norte y que ningún usuario está asumiendo la pérdida, con parte de los activos robados congelada o interceptada. El texto deja dudas sobre por qué funcionó este ataque, ya que el peligro de entrevistas que piden descargar y ejecutar código en máquinas con acceso a material del empleador se advierte desde hace años, además de dar pocos detalles sobre la herramienta interna de IA usada por los invasores.

En este momento, el 98% de los tokens afectados ya había sido repuesto; estamos completando el 2% restante. Los retiros se han reanudado en general.

Richard Teng, CEO de Binance