Un ataque que combinó ingeniería social, software malicioso, herramientas de inteligencia artificial comprometidas y vulnerabilidades en los procesos de autorización de transacciones terminó afectando activos digitales por más de US$6.340 millones. Los últimos hallazgos publicados por Binance revelan una operación sofisticada que deja importantes lecciones para la seguridad de las empresas.
El pasado 29 de octubre, Binance, una de las principales plataformas de intercambio de criptomonedas del mundo, enfrentó uno de los incidentes de ciberseguridad más importantes de su historia.
Lo que inicialmente parecía una serie de movimientos sospechosos de activos digitales terminó convirtiéndose en una investigación internacional que involucra a especialistas en ciberseguridad, empresas de análisis blockchain y organismos de seguridad estadounidenses.
El incidente comprometió aproximadamente US$6.340 millones en activos digitales, según las cifras publicadas por Binance.
Sin embargo, los antecedentes conocidos durante los últimos días muestran que el verdadero problema no estuvo únicamente en las billeteras digitales.
Los atacantes habrían conseguido comprometer distintos componentes de la infraestructura tecnológica de Binance mediante una operación cuidadosamente preparada durante meses.
El caso demuestra cómo una organización puede contar con tecnologías avanzadas de protección y, aun así, enfrentar un incidente crítico cuando los atacantes consiguen encadenar distintas debilidades de seguridad.
¿Qué ocurrió durante el ataque a Binance?
Según el informe preliminar publicado por Binance el 3 de noviembre de 2026, los atacantes lograron acceder sin autorización a un servicio interno utilizado para firmar transacciones de criptomonedas.
Este acceso les permitió ejecutar operaciones fuera de los procedimientos habituales de retiro de fondos.
Entre los movimientos identificados por Binance se encuentran:
- Transferencias de aproximadamente 233,46 millones de XRP desde cinco billeteras.
- Movimientos cercanos a 970.500 SOL.
- Transferencias de aproximadamente 44,2 millones de tokens OP.
- El movimiento no autorizado de 18.270 BTC.
- Operaciones adicionales sobre Ethereum mediante mecanismos avanzados de autorización.
La plataforma activó sus procedimientos de respuesta a incidentes, incluyendo la suspensión temporal de retiros y la coordinación con otras organizaciones para intentar bloquear los activos comprometidos.
No obstante, detener las operaciones tradicionales de retiro no fue suficiente para interrumpir inmediatamente todas las transacciones maliciosas.
Los atacantes habían conseguido establecer autorizaciones que continuaban funcionando directamente sobre la blockchain.
Fuente oficial: Binance – Informe preliminar del incidente de seguridad del 29 de octubre
La investigación revela una operación preparada durante meses
Uno de los aspectos más preocupantes del informe oficial es que el ataque no comenzó el mismo día en que se produjo el robo.
La investigación describe una campaña desarrollada en distintas etapas, combinando ingeniería social, compromiso de dispositivos, manipulación de herramientas de desarrollo y abuso de credenciales.
Junio de 2026: compromiso de herramientas de desarrollo
Según Binance, uno de sus ingenieros del equipo Wallet DevOps descargó una versión manipulada de Homebrew mientras intentaba instalar una herramienta de programación asistida por inteligencia artificial.
Aunque el equipo de seguridad detectó actividad anómala, reemplazó el dispositivo y renovó las credenciales relacionadas, el incidente habría permitido a los atacantes obtener información sobre el ingeniero y otros integrantes del equipo responsable de la infraestructura de billeteras.
Este antecedente resulta especialmente importante.
Los atacantes no necesariamente necesitan comprometer directamente un servidor de producción para iniciar una operación.
En muchos casos, obtener información sobre las personas, sus responsabilidades y las herramientas que utilizan puede constituir el primer paso de un ataque de mayor alcance.
Septiembre de 2026: una falsa entrevista laboral
La segunda etapa identificada por Binance involucró una campaña de ingeniería social dirigida contra otro ingeniero.
El trabajador fue contactado mediante una plataforma legítima de búsqueda de empleo por una persona que simulaba representar a una empresa.
La operación incluyó entrevistas por videollamada, perfiles aparentemente auténticos y conversaciones diseñadas para generar confianza.
Durante una de las entrevistas, el supuesto empleador solicitó descargar un repositorio de código como parte de una evaluación técnica.
El repositorio contenía software malicioso.
Al ejecutar las instrucciones de instalación, el dispositivo quedó comprometido.
Según el informe, el malware utilizaba técnicas de ocultamiento que dificultaron su detección por las herramientas de seguridad instaladas.
Este procedimiento representa una evolución de la ingeniería social tradicional: en lugar de solicitar directamente una contraseña, los atacantes consiguen que una persona ejecute código malicioso dentro de su entorno de trabajo.
Octubre de 2026: acceso a sistemas internos y herramientas de IA
El 20 de octubre, los atacantes aprovecharon el equipo comprometido para utilizar una herramienta interna de inteligencia artificial como parte de su avance hacia otros sistemas y usuarios.
La investigación señala que consiguieron acceder a información y recursos vinculados con el equipo responsable de las billeteras digitales.
Posteriormente identificaron credenciales que permitían desplegar contenedores dentro de la infraestructura.
Finalmente, el 29 de octubre, utilizaron estos accesos para ejecutar componentes maliciosos y alcanzar los servicios internos relacionados con la firma de transacciones.
La investigación demuestra que el ataque fue una cadena de compromisos sucesivos, no una vulnerabilidad aislada.
El papel de Ethereum y el mecanismo EIP-7702
Uno de los hallazgos técnicos más relevantes del incidente está relacionado con el mecanismo EIP-7702 de Ethereum.
Esta funcionalidad permite que determinadas cuentas deleguen capacidades de ejecución a contratos inteligentes sin necesidad de revelar directamente sus claves privadas.
En este caso, los atacantes utilizaron el acceso comprometido al servicio de firma para establecer autorizaciones maliciosas.
Estas autorizaciones permitieron ejecutar movimientos de activos fuera del flujo normal de retiros de Binance.
La situación generó un problema adicional durante la respuesta al incidente.
Aunque Binance suspendió temporalmente los retiros, algunas autorizaciones ya se encontraban registradas en la blockchain.
Por lo tanto, la suspensión de los servicios internos no invalidaba automáticamente esas autorizaciones.
La compañía tuvo que desarrollar y ejecutar procedimientos adicionales para revocarlas.
Además, las billeteras involucradas utilizaban tecnología de computación multipartita, conocida como MPC, por lo que no existía una única clave privada que pudiera utilizarse inmediatamente para revertir las autorizaciones comprometidas.
Este episodio deja una lección importante: una medida de seguridad diseñada para proteger determinados componentes no necesariamente garantiza la contención inmediata de un ataque que afecta a otros elementos del sistema.
¿Corea del Norte estuvo detrás del ataque?
La atribución del incidente también ha evolucionado durante los últimos días.
En sus primeras comunicaciones, Binance informó que estaba colaborando con organismos policiales y especialistas en análisis blockchain para identificar a los responsables.
Posteriormente, en su informe publicado el 3 de noviembre, la compañía señaló que, de acuerdo con información reciente del FBI, la República Popular Democrática de Corea sería responsable del incidente.
La investigación describe técnicas compatibles con operaciones sofisticadas de espionaje y ciberdelincuencia, incluyendo:
- Campañas de ingeniería social dirigidas.
- Falsas ofertas de trabajo.
- Distribución de software malicioso mediante herramientas de desarrollo.
- Compromiso de dispositivos corporativos.
- Robo y utilización de credenciales.
- Movimientos laterales hacia sistemas internos.
- Manipulación de procesos críticos de autorización.
Binance también informó que durante 2026 sus equipos de seguridad detectaron y bloquearon 57 presuntos incidentes relacionados con amenazas vinculadas a Corea del Norte.
La atribución comunicada por Binance constituye un antecedente relevante, aunque los detalles completos de la investigación y la identificación individual de los responsables todavía no son públicos.
¿Cuánto dinero se ha recuperado?
Las cifras oficiales permiten distinguir entre el valor de los activos afectados y aquellos que han sido congelados o bloqueados.
En su actualización del 3 de noviembre, Binance informó:
US$6.340 millones: valor aproximado de los activos digitales involucrados en el incidente.
US$2.850 millones: valor aproximado de los activos congelados o interceptados mediante acciones coordinadas con otras organizaciones.
98%: proporción de los activos afectados que Binance declaró haber repuesto al 3 de noviembre.
La compañía también aseguró haber reservado recursos suficientes para cubrir las pérdidas y evitar que el impacto financiero recaiga directamente sobre sus usuarios.
Es importante precisar que los activos congelados no necesariamente han sido recuperados definitivamente. Su restitución depende de procesos adicionales de verificación, coordinación y recuperación.
Asimismo, la reposición de activos anunciada por Binance no significa que todos los fondos sustraídos hayan sido recuperados de los atacantes.
La investigación continúa abierta y las cifras pueden modificarse.
Fuente oficial: Binance – Actualización sobre los hallazgos preliminares y medidas de respuesta
¿Qué medidas implementó Binance después del incidente?
De acuerdo con su informe oficial, Binance adoptó distintas medidas destinadas a contener el ataque y reducir el riesgo de nuevos compromisos.
Entre ellas destacan la reconstrucción de sistemas de billeteras afectados, el reemplazo de dispositivos comprometidos y la revocación de credenciales y tokens relacionados con los ingenieros involucrados.
También reconstruyó herramientas internas de inteligencia artificial, reforzó los controles de acceso y amplió sus mecanismos de detección de comportamientos anómalos.
Adicionalmente, anunció la participación de empresas independientes de ciberseguridad para revisar sus conclusiones y evaluar las medidas de protección implementadas.
Estas acciones reflejan la importancia de no limitar la respuesta a un incidente únicamente a eliminar el malware identificado.
Cuando existe evidencia de compromiso de credenciales, herramientas de desarrollo o componentes críticos, puede ser necesario reconstruir sistemas completos y revisar sus relaciones de confianza.
Las cinco lecciones que deja el ataque para las empresas
Desde nuestra experiencia en LEG Technologies, este incidente permite identificar aspectos que deben formar parte de cualquier estrategia moderna de ciberseguridad y continuidad operativa.
1. La seguridad de los dispositivos corporativos es fundamental
Un computador utilizado por un ingeniero o administrador puede convertirse en una puerta de entrada hacia sistemas críticos.
Las empresas deben implementar mecanismos de protección de endpoints, administración de dispositivos, monitoreo de actividades y controles sobre la instalación de software.
Esto adquiere especial relevancia cuando los trabajadores utilizan herramientas de desarrollo, repositorios externos o aplicaciones de inteligencia artificial.
2. Las credenciales deben tener privilegios estrictamente controlados
El compromiso de una cuenta no debería permitir que un atacante avance libremente hacia otros sistemas.
La aplicación del principio de mínimo privilegio, la segmentación de accesos y la utilización de identidades administradas permiten reducir significativamente el alcance potencial de un incidente.
La autenticación multifactor es importante, pero debe complementarse con controles sobre sesiones, dispositivos y permisos.
3. Las herramientas de inteligencia artificial también requieren seguridad
La incorporación de IA en los procesos empresariales introduce nuevos componentes que deben ser considerados dentro de la estrategia de protección.
Las herramientas utilizadas por desarrolladores y administradores pueden interactuar con repositorios, archivos, credenciales y servicios internos.
Por esta razón, su implementación requiere políticas de acceso, revisión de integraciones, control de dependencias y monitoreo.
La inteligencia artificial puede mejorar la productividad y fortalecer la detección de amenazas, pero no debe transformarse en un nuevo punto de exposición de la infraestructura.
4. El monitoreo debe identificar comportamientos, no solamente amenazas conocidas
Las soluciones tradicionales de seguridad pueden resultar insuficientes frente a ataques que utilizan herramientas legítimas, credenciales válidas o técnicas desconocidas.
La correlación de eventos, la detección de anomalías y el monitoreo permanente permiten identificar actividades que, aunque técnicamente autorizadas por una credencial, resultan inconsistentes con el comportamiento habitual.
Esto demuestra la importancia de contar con capacidades de monitoreo y respuesta continua.
5. La continuidad operativa debe considerar escenarios de compromiso avanzado
Una estrategia de continuidad operativa no puede limitarse a disponer de respaldos o servidores redundantes.
También debe contemplar la posibilidad de que los atacantes comprometan identidades, plataformas de administración, sistemas de automatización y mecanismos de autorización.
Las organizaciones necesitan procedimientos que permitan aislar componentes, revocar accesos, reconstruir servicios y recuperar operaciones bajo condiciones verificables de seguridad.
La capacidad de contener un incidente es tan importante como la capacidad de recuperar los servicios.
La perspectiva de LEG Technologies: proteger la operación completa
El ataque a Binance confirma una realidad que observamos constantemente en el mundo empresarial: la ciberseguridad no puede abordarse como una colección de productos independientes.
Un firewall, un antivirus o una plataforma de monitoreo pueden ser componentes importantes, pero su efectividad depende de cómo se integran dentro de una arquitectura de seguridad.
En LEG Technologies trabajamos con una visión integral de la protección tecnológica, combinando infraestructura, conectividad, ciberseguridad, monitoreo y continuidad operativa.
Nuestro enfoque considera la protección de los servicios críticos durante todo su ciclo de vida, desde su implementación y administración hasta la detección de amenazas y recuperación ante incidentes.
A través de nuestras soluciones de infraestructura y servicios administrados, ayudamos a las organizaciones a fortalecer aspectos como la segmentación de redes, el control de accesos, la protección de sistemas, los respaldos y la supervisión permanente de sus operaciones.
El objetivo no es prometer que una organización nunca sufrirá un ciberataque.
El verdadero objetivo es reducir la probabilidad de compromiso, limitar su impacto y disponer de las capacidades necesarias para mantener o recuperar la operación de manera segura.
Conclusión: un ataque que obliga a revisar cómo protegemos la infraestructura crítica
El incidente de Binance demuestra que incluso las organizaciones con importantes inversiones en tecnología y seguridad pueden enfrentar ataques de gran magnitud.
Los antecedentes conocidos hasta ahora revelan una operación que combinó ingeniería social, software malicioso, credenciales comprometidas, herramientas internas de IA y mecanismos avanzados de autorización de transacciones.
También evidencian que la contención de un incidente puede resultar considerablemente más compleja cuando los atacantes consiguen establecer mecanismos de acceso que funcionan fuera de los procedimientos operacionales habituales.
Para las empresas chilenas, independientemente de su tamaño o sector, el mensaje es claro.
La transformación digital debe avanzar acompañada de una estrategia de seguridad capaz de proteger identidades, dispositivos, aplicaciones, infraestructura y procesos críticos.
Porque cuando ocurre un incidente de esta magnitud, la pregunta no es solamente cómo ingresaron los atacantes.
También debemos preguntarnos por qué pudieron avanzar, cuánto tiempo permanecieron dentro de los sistemas y qué mecanismos existían para detenerlos.
En LEG Technologies creemos que la continuidad operativa comienza mucho antes de que ocurra una emergencia. Comienza con las decisiones de arquitectura, administración y seguridad que tomamos todos los días.
Fuentes oficiales y seguimiento de la investigación
La información presentada en este artículo corresponde a los antecedentes publicados hasta el 4 de noviembre de 2026.
1. Binance — Comunicado inicial del incidente (30 de octubre de 2026)
Primer reporte oficial sobre el incidente, su impacto estimado, las medidas de contención y la protección de los fondos de los usuarios.
https://www.binance.com/es/support/announcement/detail/c5a8729a97ac486d963784d96c5642d7
2. Binance — Informe técnico preliminar (3 de noviembre de 2026)
Documento oficial que describe la secuencia del ataque, el compromiso de los ingenieros, el uso de herramientas internas de inteligencia artificial y las operaciones realizadas sobre las billeteras digitales.
https://www.binance.com/en/square/post/384328127385979
3. Binance — Actualización de hallazgos y medidas correctivas (3 de noviembre de 2026)
Información sobre activos congelados, reposición de fondos, reconstrucción de sistemas y nuevas medidas de seguridad.
https://www.binance.com/en/square/post/384314641614134
Nota editorial: La investigación continúa abierta. Los antecedentes técnicos, la atribución y las cifras de recuperación podrían actualizarse a medida que Binance y las autoridades publiquen nuevas conclusiones.