Hackeo de Binance: el ataque empezó con una falsa entrevista de trabajo

El mayor robo de la historia del mercado cripto empezó con una entrevista de trabajo. El 3 de noviembre de 2026, Binance presentó un primer informe del incidente sobre el hackeo del 29 de octubre. Según el documento, los atacantes no llegaron a las hot wallets del exchange con una clave robada, sino tras meses de preparación: un paquete de software manipulado en junio, un falso proceso de selección en septiembre y una herramienta interna de inteligencia artificial en octubre. Binance cifra los daños en más de 6.300 millones de dólares.

Para los clientes del exchange, el informe apenas cambia la situación: Binance asegura que ha repuesto con fondos propios alrededor del 98 % de los saldos afectados y reabre los retiros de forma escalonada. Más relevante es el método. La misma táctica de ofertas de empleo falsas y pruebas técnicas envenenadas se dirige desde hace años también contra desarrolladores, autónomos e inversores particulares, y basta con unos pocos hábitos para defenderse.

Informe del incidente de Binance: así empezó el hackeo de 6.300 millones

Binance publicó el informe el martes a través de su propio canal en X, junto con una rueda de prensa de su jefe de seguridad, Jimmy Su, de la que informa CoinDesk. En su resumen del informe, The Block cita una cifra de 6.340 millones de dólares. Ambos medios describen la misma secuencia en cuatro fases, que se prolongó durante cinco meses.

El 30 de octubre, Binance había atribuido la causa, de forma escueta, a un portátil comprometido del equipo de DevOps. El nuevo informe explica cómo llegaron los atacantes a ese dispositivo y por qué bastó con un único ordenador. El codirector ejecutivo Richard Teng lo resumió así en X, en traducción libre: no se trató de un único error ni de una única intrusión, sino de una campaña que los autores llevaron a cabo durante meses.

Las cuatro fases de un vistazo

• Junio de 2026: un ingeniero del equipo de DevOps de wallets instala un paquete de Homebrew manipulado.
• Septiembre de 2026: un segundo empleado descarga en su ordenador de trabajo una prueba de programación trucada dentro de un falso proceso de selección.
• 20 de octubre de 2026: a través de ese ordenador y de una herramienta interna de IA, los atacantes toman el control de los equipos de dos ingenieros de wallets.
• 29 de octubre de 2026, 20:05 UTC: con credenciales robadas lanzan un contenedor con un script malicioso y los fondos empiezan a salir.

Falso proceso de selección: la prueba de programación con malware de día cero

El acceso decisivo se produjo en septiembre. Según Su, un ingeniero de software fue contactado a través de una plataforma de empleo real. El remitente se hizo pasar por jefe de proyecto. Siguió una videollamada con una supuesta responsable de recursos humanos, que compartió un perfil en redes sociales con fotos privadas para ganarse su confianza. En una segunda conversación apareció un supuesto directivo de la empresa.

Al final llegó una prueba de programación, habitual en los procesos de selección técnicos. El ingeniero la descargó en su ordenador de trabajo. Según Su, el archivo contenía un malware de día cero que eludió la protección del equipo. Una vulnerabilidad de día cero es un fallo que el fabricante del software de seguridad aún no conoce, por lo que en el momento del ataque tampoco existe forma de detectarlo.

El patrón no es nuevo. La advertencia del FBI del 3 de septiembre de 2024 describe exactamente este modus operandi: los autores estudian las redes profesionales, generan confianza a lo largo de conversaciones extensas, se presentan como varias personas y acaban logrando que sus víctimas ejecuten código, por ejemplo como prueba de acceso o para depurar paquetes desconocidos.

Paquete de Homebrew manipulado: el primer acceso en junio

Homebrew es un gestor de paquetes muy extendido en macOS con el que los desarrolladores instalan programas desde la línea de comandos. Según el informe, tal y como lo recoge The Block, un ingeniero del equipo de DevOps de wallets buscaba en junio una herramienta de IA para programar y acabó con una instalación manipulada.

Binance detectó la anomalía, según su versión, sustituyó el equipo y renovó las credenciales afectadas. Aun así, los atacantes sabían ya quién trabajaba en el equipo de wallets y qué función tenía ese ingeniero. Ese conocimiento sobre las personas no se podía restablecer. El incidente de junio no fue, por tanto, un fracaso para los autores: les proporcionó el mapa para el segundo intento.

Herramienta interna de IA: el salto de un ordenador a otro

El 20 de octubre, los atacantes utilizaron el ordenador infectado en septiembre. A través de una herramienta interna de IA de Binance llegaron a los equipos de dos ingenieros del equipo de wallets. En uno de ellos encontraron un permiso para lanzar contenedores en el entorno de producción. Un contenedor es un entorno de software aislado en el que un programa se ejecuta exactamente con los derechos que tiene asignados.

Nueve días después, el 29 de octubre, hicieron uso de ese permiso. Lanzaron un contenedor y ejecutaron en él un script que desencadenó el ataque contra la infraestructura de wallets. Según el informe, la herramienta de IA les ayudó tanto a saltar entre ordenadores como a acceder al entorno de firma de las wallets.

EIP-7702 y la wallet MPC: la contención tardó algo más de cuatro horas

Según CoinDesk, los fondos empezaron a salir del exchange a las 20:05 UTC. El ataque no quedó contenido hasta el 30 de octubre a las 00:10 UTC. Su explicó el motivo en la rueda de prensa: los atacantes aprovecharon EIP-7702, una extensión de Ethereum introducida con la actualización Pectra que permite a una cuenta normal adoptar temporalmente la lógica de un smart contract. Así obtuvieron derechos de ejecución sobre una hot wallet.

Binance custodia sus hot wallets mediante computación multiparte (MPC). La clave privada nunca existe en un solo lugar; varios participantes generan conjuntamente cada firma. Eso protege frente al robo de una clave individual. En el caso de Binance tuvo un inconveniente: según Su, ninguna clave por sí sola podía revocar el permiso concedido, y por eso la contención se alargó hasta pasada la medianoche.

Corea del Norte y TraderTraitor: lo que atribuye el FBI y niega Pyongyang

El FBI atribuye el ataque al grupo norcoreano TraderTraitor. Binance, por su parte, habla en su informe de ingeniería social, malware y herramientas de IA comprometidas, y afirma haber repelido ya en 2026 57 intentos de ataque presuntamente norcoreanos con métodos similares.

Corea del Norte rechaza la atribución. Según The Block, la hermana del líder Kim Jong-un calificó el lunes las afirmaciones del FBI de «grave provocación política». Hasta ahora no hay pruebas sólidas que apunten a otra autoría; la atribución sigue siendo una valoración de las autoridades estadounidenses.

Congelados, repuestos y el SAFU a la mitad: la situación de los fondos de los clientes de Binance

Según sus propios datos, Binance ha congelado o interceptado alrededor de 2.850 millones de dólares y ha repuesto con fondos propios cerca del 98 % de los saldos afectados. Teng subraya que los usuarios no sufren pérdidas. Desde el 3 de noviembre a las 4:00 UTC, el exchange reabre por fases los retiros de decenas de tokens en BNB Smart Chain, Ethereum, Solana, XRP Ledger, Sui, Arbitrum, Optimism, TRON y Base. Primero llegaron los tokens con mayor demanda de la última semana. Después, los depósitos por hora superaron a los retiros, según Binance.

Para las compensaciones, Binance recurre también al fondo SAFU, el fondo de emergencia del exchange para pérdidas de usuarios. Según CoinDesk, con datos de mempool.space, sus reservas de bitcoin bajaron de 15.000 a algo más de 7.500 BTC mediante cuatro transacciones el 31 de octubre. Con el precio de bitcoin en torno a 77.600 dólares el martes por la tarde, según CoinGecko, eso equivale a unos 580 millones de dólares. Binance se ha comprometido a reponer el fondo hasta cerca de 1.000 millones de dólares, sin dar una fecha. El token del exchange, BNB, cotizaba a la misma hora en torno a 700 dólares, un 0,4 % por debajo del día anterior.

Como consecuencias, el informe enumera el cierre de las vías de entrada, sistemas reconstruidos o sustituidos, controles más estrictos de los dispositivos y una detección ampliada de comportamientos anómalos con apoyo de IA. Además, Binance encarga una auditoría independiente de su ciberseguridad.

Cómo protegerte de los falsos reclutadores y del malware en las pruebas técnicas

Qué ha pasado: en septiembre de 2026, unos atacantes contactaron con un ingeniero de Binance a través de una plataforma de empleo, mantuvieron videollamadas con identidades falsas y le convencieron de abrir en su ordenador de trabajo una prueba de programación infectada. El 29 de octubre salieron por esa vía más de 6.300 millones de dólares (informe del incidente de Binance, a 3 de noviembre de 2026).

¿Te afecta? Como cliente de Binance no tienes que asumir pérdidas, según el exchange; tu saldo se repone y los retiros vuelven por fases. Sí puede afectarte la misma táctica si trabajas en el sector cripto, escribes código o te presentas a ofertas de empleo relacionadas con las criptomonedas. Una señal de alarma es una oferta inusualmente rápida y bien pagada que desemboca en una tarea para la que debes descargar y ejecutar archivos ajenos.

1. Comprueba la identidad por otra vía: llama a la empresa a un número o dirección que hayas buscado tú antes de aceptar una invitación a una segunda entrevista, y no confíes nunca en los datos de contacto del mensaje del reclutador.
2. Pruebas técnicas solo en entornos aislados: abre las pruebas de programación de un proceso de selección únicamente en una máquina virtual sin acceso a tus wallets, contraseñas y cuentas de empresa, tal y como recomienda el FBI.
3. Nada de frase semilla en dispositivos conectados: no guardes nunca frases de recuperación ni claves privadas en el ordenador, el móvil o la nube; un malware rastrea primero precisamente esos lugares.
4. Software solo desde la fuente original: instala herramientas de desarrollo, asistentes de IA y extensiones del navegador solo desde el enlace de la web del fabricante y, en los gestores de paquetes, comprueba con cuidado el nombre y el editor.
5. Las cantidades grandes, fuera de línea: guarda lo que no operes en una hardware wallet y usa una wallet separada con poco saldo para pruebas, DeFi y airdrops.

Nuestra guía cómo guardar criptomonedas de forma segura explica los fundamentos de una custodia segura, y la comparativa de hardware wallets reúne los dispositivos adecuados.

Ingeniería social contra inversores particulares: la táctica va mucho más allá de los exchanges

La ingeniería social designa los ataques que se dirigen a las personas en lugar de a la tecnología: los autores se ganan la confianza de la víctima y consiguen que sea ella quien ejecute la acción decisiva. En Binance fue la descarga de una prueba técnica. En el caso de los inversores particulares suele ser la aprobación de una transacción, la introducción de la frase semilla o la instalación de una aplicación supuestamente útil.

Las ofertas de empleo falsas son una vía recurrente. Además de las pruebas de selección, el FBI menciona supuestas ofertas de inversión y contactos de figuras conocidas del sector que recurren a fotos robadas y webs corporativas clonadas. Quien gestiona criptoactivos en el mismo ordenador en el que abre archivos ajenos asume, a pequeña escala, el mismo riesgo que Binance a gran escala.

El caso demuestra también que una buena gestión de claves no basta por sí sola. Binance usaba MPC y sustituyó el equipo tras el primer incidente de junio. Eso no frenó el ataque, porque los autores robaron permisos y no claves, y conservaron lo que sabían del equipo. Para los inversores, la conclusión es separar los dispositivos con los que trabajas y navegas del dispositivo con el que firmas.

Hackeo de Binance: una entrevista de trabajo abrió el camino a 6.300 millones

El informe del incidente convierte el hackeo récord en un caso de seguridad del personal. Tres pasos te ayudan a trasladar la lección a tus propios fondos:

1. Una wallet aparte para pruebas: crea una software wallet propia con poco saldo para DeFi, airdrops y aplicaciones nuevas. Encontrarás apps adecuadas en la comparativa de software wallets.
2. Mantén fuera de línea las tenencias a largo plazo: lo que no operas debe estar en un dispositivo que nunca ejecute código ajeno. Modelos y precios aparecen en la comparativa de hardware wallets.
3. Elige exchanges según su licencia: para el saldo que dejas en una plataforma de trading cuentan la autorización de la UE, la prueba de reservas y unas reglas claras de compensación. Los proveedores con licencia MiCA figuran en la comparativa de exchanges cripto regulados.

(3 de noviembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)