El exchange de criptomonedas Binance ha informado de que piratas informáticos norcoreanos emplearon una falsa entrevista de trabajo para que un empleado instalara malware en su equipo. Ese primer acceso les permitió finalmente vulnerar la infraestructura de carteras de la empresa y sustraer aproximadamente 6.340 millones de dólares en activos digitales.
Estos datos se recogen en el informe de incidente publicado por la compañía, que detalla cómo los atacantes combinaron ingeniería social, software malicioso y sistemas internos comprometidos para ejecutar el robo del pasado 29 de octubre. El FBI ya había atribuido el ataque a hackers patrocinados por el Estado norcoreano conocidos como TraderTraitor, también rastreados bajo los nombres Lazarus Group, Jade Sleet y APT38.
El origen: una oferta de empleo ficticia
Según Binance, el ataque comenzó en septiembre, cuando un ingeniero de software fue contactado a través de una plataforma legítima de búsqueda de empleo por alguien que se hacía pasar por director de proyectos de una empresa ficticia. El perfil del empleado mencionaba su experiencia en Binance, lo que lo convertía en un objetivo valioso para quienes buscaban infiltrarse en el exchange.
El falso reclutador programó dos entrevistas: la primera con alguien que se presentó como representante de recursos humanos y la segunda con otra persona que decía ser el consejero delegado de la compañía. Durante la primera entrevista, el supuesto responsable de RR. HH. mantuvo una videollamada en directo y compartió una cuenta de redes sociales con fotos y vídeos personales para generar confianza.
La segunda entrevista se desarrolló a través de una popular aplicación de chat social, donde se indicó al empleado que descargara una prueba de programación desde un repositorio de código en línea. Según Binance, ese repositorio contenía código malicioso que, al ejecutarse, comprometió el dispositivo del trabajador con un malware personalizado nunca visto antes y que los antivirus no detectaron.
El malware empleaba técnicas sofisticadas de ofuscación y evasión, como sustituir un componente legítimo de una herramienta de desarrollo por una versión maliciosa para ejecutar comandos y establecer comunicación con un servidor externo controlado por el atacante. El malware de día cero no fue detectado por las herramientas de protección de endpoints en ese momento. El atacante también tomó medidas para ocultar la actividad maliciosa y borrar las huellas del compromiso, lo que dificultó la detección y la investigación posterior.
Escalada del ataque y robo de credenciales
Binance explicó que el script malicioso creó un ejecutable de reemplazo llamado pyenv_ en el directorio de instalación de Homebrew en macOS. A continuación, el script eliminó el ejecutable legítimo pyenv, renombró el archivo malicioso como pyenv, modificó su enlace simbólico y lo utilizó para lanzar un proceso de Z shell (zsh). Ese reemplazo permitió a los atacantes ejecutar comandos recibidos desde un servidor bajo su control.
Hacia el 20 de octubre, los atacantes habían utilizado el ordenador del ingeniero comprometido y una herramienta interna de inteligencia artificial para vulnerar a otros dos empleados que trabajaban en la infraestructura de carteras de Binance, obteniendo credenciales y un token de despliegue de contenedores. El 29 de octubre, los hackers emplearon esas credenciales robadas para desplegar un script malicioso y obtener acceso no autorizado al servicio de firma de carteras de Binance, lo que les permitió transferir miles de millones de dólares en criptomonedas a través de múltiples cadenas de bloques.
Los atacantes también abusaron del mecanismo de autorización EIP-7702 de Ethereum, lo que les permitió seguir robando criptomonedas incluso después de que el exchange suspendiera las retiradas.
Reconstrucción de sistemas y fondos recuperados
Binance asegura que desde entonces ha reconstruido los sistemas afectados, ha sustituido los dispositivos comprometidos y ha revocado las credenciales robadas. A fecha del 3 de noviembre, aproximadamente 2.850 millones de dólares de los activos sustraídos habían sido congelados o interceptados, y el 98 % de los activos de tokens afectados se había repuesto para el 31 de octubre.
La compañía señala que continúa investigando la brecha de seguridad y ha incorporado a firmas de seguridad independientes para revisar sus conclusiones.
Una táctica habitual del grupo Lazarus
Las entrevistas de trabajo falsas que desembocan en la instalación de malware son una táctica habitual en las campañas de hacking norcoreanas conocidas como Contagious Interview y Operation Dream Job. Estas campañas utilizan ofertas de empleo y entrevistas ficticias para engañar a desarrolladores y empleados del sector de las criptomonedas y conseguir que instalen software malicioso.
En junio de 2025, la firma de ciberseguridad Socket informó de que una campaña de Contagious Interview se hizo pasar por reclutadores en LinkedIn y envió a desarrolladores pruebas de programación que contenían paquetes npm maliciosos. Como parte de esos ataques, los hackers distribuyeron 35 paquetes npm maliciosos que instalaban malware y les permitían robar credenciales del navegador, datos de carteras de criptomonedas y otra información de los equipos infectados.
Los hackers norcoreanos de Lazarus también han empleado tácticas similares en Operation Dream Job, distribuyendo malware disfrazado de documentos de empleo a personas que trabajan en desarrollo de software y en empresas de finanzas descentralizadas (DeFi). Aunque Binance no ha vinculado el compromiso de su empleado a ninguna de esas campañas concretas, el uso de un falso reclutador, varias entrevistas y una prueba de programación maliciosa se ajusta estrechamente a esas tácticas norcoreanas ya documentadas.
Deja una respuesta