El hackeo de Binance revela cómo las entrevistas de trabajo falsas pueden comprometer la seguridad de un exchange de criptomonedas
Una entrevista de trabajo suele ser un paso hacia una nueva oportunidad profesional. Pero ¿y si la persona que te ofrece el trabajo está intentando obtener acceso a los sistemas más sensibles de tu empleador? Esa fue la premisa detrás de un sofisticado ataque cibernético dirigido a Binance, donde entrevistas de contratación falsas se convirtieron en parte de una operación más amplia que puso en riesgo aproximadamente $6,34 mil millones en activos digitales.
En su informe de seguridad del 3 de noviembre de 2026, Binance reveló cómo los atacantes explotaron la confianza en los empleados y las debilidades en los sistemas internos para llevar a cabo el incidente del 29 de octubre. El FBI atribuyó posteriormente el ataque a Corea del Norte, generando una nueva atención sobre la creciente amenaza del ingeniería social en la industria de las criptomonedas.
El incidente destaca un desafío creciente para la industria de las criptomonedas: a medida que los exchange fortalecen su infraestructura de cadena de bloques, los atacantes encuentran cada vez más formas de explotar a las personas, los dispositivos y los sistemas internos que la respaldan. También plantea preguntas importantes sobre cómo las plataformas de cripto pueden defenderse contra ataques de ingeniería social cada vez más sofisticados.
Principales conclusiones
-
La brecha de seguridad de Binance en octubre de 2026 expuso aproximadamente $6,34 mil millones en Activos digitales tras los atacantes comprometeron su servicio de firma de monedero interno.
-
Los hackers utilizaron perfiles de reclutamiento falsos, entrevistas simuladas y tareas de programación maliciosas para atacar a un ingeniero de Binance.
-
El malware disfrazado como herramientas de desarrollador ayudó a los atacantes a comprometer los dispositivos de los empleados y moverse a través de los sistemas internos.
-
La campaña WaterPlum (Entrevista Contagiosa) destaca la amenaza más amplia de los ataques cibernéticos basados en reclutamiento dirigidos a profesionales de cripto y Web3.
-
Los desarrolladores pueden reducir la exposición verificando a los reclutadores, inspeccionando las tareas de programación y evitando software no confiable en los dispositivos de trabajo.
-
Las exchange de criptomonedas necesitan una seguridad de extremo más robusta, permisos de acceso restringidos y procedimientos de contratación más seguros para proteger la infraestructura crítica.
¿Qué ocurrió en la brecha de seguridad de Binance de octubre de 2026?
El 29 de octubre de 2026, Binance experimentó un incidente de seguridad importante después de que los atacantes obtuvieran acceso no autorizado a un servicio interno responsable de aprobar transacciones de criptomonedas.
La brecha afectó múltiples cadenas de bloques y expuso aproximadamente $6.34 mil millones en Activos digitales. Aunque Binance actuó rápidamente para contener el incidente, la investigación posterior reveló cómo los atacantes movieron los fondos y dónde las autoridades creyeron que se originó la operación.
Cómo los hackers robaron $6.34 mil millones en la brecha de seguridad de Binance
El ataque comenzó con el acceso no autorizado al servicio de firma de monederos internos de Binance, lo que permitió a los atacantes iniciar transacciones fuera del proceso normal de retiro del exchange. Entre las 20:05 y las 20:09 UTC, cinco monederos calientes de Binance transfirieron aproximadamente 233,46 millones de XRP a una dirección controlada por el atacante.
Los atacantes también movieron aproximadamente 970.500 SOL desde los monederos de Solana de Binance y 44,2 millones de OP desde sus monederos de Optimism. Binance detectó posteriormente transferencias inusualmente grandes y comenzó a investigar. Sin embargo, siguieron operaciones no autorizadas adicionales, incluyendo una transferencia de 18.270 BTC desde un monedero caliente de Binance.
Binance suspendió inmediatamente los retiros, trabajó con socios de la industria para congelar los activos afectados y comenzó a revocar los permisos no autorizados. Según su informe del 3 de noviembre, aproximadamente $2.85 mil millones habían sido congelados o interceptados, aunque esta cifra seguía sujeta a reconciliación y cambios en el precio de mercado.
Lo que el FBI reveló sobre el hackeo de Binance
El 31 de octubre, la Oficina Federal de Investigaciones (FBI) atribuyó el ataque a Corea del Norte, identificando la actividad como parte de su operación TraderTraitor. La agencia también informó que los atacantes estaban convirtiendo la criptomoneda robada principalmente en Ether (ETH), con transferencias adicionales a través de plataformas de finanzas descentralizadas (DeFi) y servicios de intercambio instantáneo esperadas como parte de sus esfuerzos de lavado.
El FBI instó a los exchange de criptomonedas, servicios DeFi y otros proveedores de activos virtuales a identificar y bloquear transacciones relacionadas con las direcciones del monedero de los atacantes. Sus hallazgos destacaron cómo rastrear criptomonedas robadas requiere cooperación entre investigadores de la cadena de bloques, exchange y otros participantes de la industria.
Cómo los hackers utilizaron entrevistas de trabajo falsas para atacar a empleados de Binance
El incidente de Binance muestra cómo un proceso de contratación rutinario puede convertirse en un punto de entrada para un ciberataque mucho más grande. En lugar de intentar violar directamente los sistemas del exchange, los atacantes primero establecieron confianza con un empleado y utilizaron una evaluación técnica para entregar software malicioso.
Cómo un reclutador falso ganó la confianza de un ingeniero de Binance
Según el informe de Binance del 3 de noviembre, la operación comenzó en septiembre de 2026, cuando el ingeniero de software B fue contactado a través de una plataforma legítima de búsqueda de empleo por alguien que se hacía pasar por director de proyecto. El perfil del empleado mencionaba su experiencia en Binance, lo que lo convertía en un objetivo relevante.
El supuesto reclutador organizó un proceso de contratación falso. Primero, un individuo que afirmaba representar recursos humanos realizó una entrevista en vivo por video. Durante la conversación, el entrevistador compartió una cuenta de redes sociales con fotografías y videos personales, aparentemente para establecer credibilidad. Siguieron una segunda entrevista a través de una popular aplicación de mensajería social, esta vez con alguien que afirmaba ser el CEO de una empresa ficticia.
Estos detalles hicieron que el proceso pareciera más creíble que un mensaje no solicitado o una oferta de trabajo sospechosa. El uso de una plataforma de reclutamiento legítima, múltiples etapas de entrevista y un perfil social aparentemente verificable ayudaron a crear la impresión de una oportunidad genuina.
Cómo una asignación técnica falsa entregó malware
Al final de la segunda entrevista, se le pidió al Ingeniero B que descargara una tarea de programación desde un repositorio en su computadora de trabajo. Sin embargo, el repositorio contenía código malicioso que se ejecutó durante la configuración.
Binance dijo que el malware reemplazó un componente legítimo de una herramienta de desarrollo con una versión maliciosa. Esto le permitió ejecutar comandos y comunicarse con un servidor externo controlado por los atacantes.
El malware también utilizó técnicas de ofuscación para ocultar su actividad y evadir la detección. Binance informó que las herramientas de seguridad de punto final no identificaron el malware de día cero en ese momento.
Por qué las estafas de reclutamiento falso son efectivas contra desarrolladores de software
Este es un ejemplo de ingeniería social: manipular la confianza o las expectativas de alguien para persuadirlos a tomar una acción que comprometa su seguridad. Los desarrolladores son objetivos atractivos porque sus computadoras pueden contener credenciales, tokens de acceso y conexiones a código fuente, servicios en la nube o sistemas de producción.
Las evaluaciones técnicas proporcionan un disfraz conveniente para actividades maliciosas. Clonar un repositorio, instalar dependencias o ejecutar comandos de configuración pueden parecer partes ordinarias de una prueba de programación. Microsoft ha documentado ataques similares basados en reclutamiento en los que se persuadió a desarrolladores para ejecutar paquetes maliciosos bajo la apariencia de tareas de entrevista.
La lección clave es que un reclutador convincente, una llamada de video en vivo o una tarea de programación de aspecto profesional no establecen que una oportunidad sea legítima. Los desarrolladores deben verificar la empresa y al reclutador de forma independiente, y evitar ejecutar código desconocido en dispositivos de trabajo.
Cómo los ataques de ingeniería social explotan herramientas de desarrollo y acceso al lugar de trabajo
Una entrevista de contratación falsa puede dar a los atacantes más que acceso a la computadora de un solo empleado. Una vez que un software malicioso compromete el entorno de un desarrollador, los atacantes pueden utilizar permisos, credenciales y herramientas internas existentes para acceder a sistemas más sensibles. El incidente de Binance ilustra cómo esta progresión puede convertir un fraude de contratación individual en una brecha de seguridad organizacional más amplia.
Cómo las descargas de software malicioso pueden comprometer las computadoras de los desarrolladores
En junio de 2026, un ingeniero de DevOps de Binance Wallet, identificado como Ingeniero A, descargó una instalación de Homebrew modificada mientras buscaba una herramienta popular de codificación con IA. Homebrew es un administrador de paquetes para macOS que los desarrolladores utilizan para instalar software y herramientas de línea de comandos.
Binance detectó actividad sospechosa, reemplazó el dispositivo del ingeniero y rotó las credenciales relacionadas. Sin embargo, los atacantes ya habían obtenido acceso al rol del ingeniero y a sus colegas en la infraestructura de monederos.
Esta técnica se asemeja a un ataque a la cadena de suministro de software, en el que los atacantes comprometen o imitan software, paquetes o canales de distribución que las personas confían. Los desarrolladores pueden introducir inadvertidamente código malicioso al descargar un instalador falso o instalar una dependencia comprometida.
Una investigación separada de mayo de 2026 por SANS documentó un sitio web malicioso que se hacía pasar por Homebrew y distribuía MacSync Stealer. Este es un ejemplo útil de la amenaza más amplia, pero Binance no identificó a MacSync como el malware involucrado en su incidente de junio.
Cómo los hackers utilizan cuentas comprometidas para acceder a otros sistemas
El 20 de octubre, los atacantes utilizaron la computadora comprometida del Ingeniero B y una herramienta interna de IA de Binance para acceder a los sistemas del Ingeniero A y del Ingeniero C. Luego descubrieron un token de permiso de despliegue de contenedor en la computadora del Ingeniero A.
Un contenedor es un entorno empaquetado para ejecutar software. Un token de implementación puede autorizar la creación o liberación de estos entornos dentro de una organización. Si los atacantes obtienen dicho token, podrían ejecutar código no autorizado utilizando permisos destinados a desarrolladores legítimos.
Este es un ejemplo de movimiento lateral: utilizar una compromisión inicial para acceder a otros dispositivos, cuentas o sistemas dentro de la misma organización. En lugar de detenerse en el empleado cuya computadora fue infectada, los atacantes utilizaron su acceso para profundizar en el entorno interno de Binance. El informe de Binance no detalla con precisión cómo se utilizó la herramienta interna de IA para facilitar este acceso.
Cómo los atacantes llegaron al servicio de firma de monederos de Binance
Los atacantes accedieron a la computadora del Ingeniero C utilizando credenciales robadas del Ingeniero A. Desplegaron un contenedor y ejecutaron un script malicioso, llegando finalmente al servicio interno de firma de monederos de Binance.
Este servicio autoriza transferencias desde los monederos calientes del exchange. Al obtener acceso no autorizado a él, los atacantes podrían iniciar transferencias fuera del proceso normal de retiro de Binance.
El incidente demuestra cómo una vulnerabilidad que comienza con una descarga de software aparentemente rutinaria o un ejercicio de reclutamiento puede escalarse a través de permisos laborales y sistemas conectados hasta alcanzar infraestructuras financieras críticas.
¿Qué es la campaña de entrevistas contagiosas y cómo dirige a los desarrolladores de cripto?
El incidente de Binance refleja una amenaza más amplia que enfrentan los desarrolladores de software: atacantes que utilizan oportunidades de contratación falsas para distribuir malware. Un ejemplo documentado es WaterPlum, un grupo de actores cibernéticos norcoreanos también conocido como Contagious Interview.
Un aviso conjunto del 18 de septiembre de 2026 de agencias internacionales de ciberseguridad y aplicación de la ley detalló cómo el grupo explota los procesos de contratación para comprometer a profesionales de TI.
Cómo la campaña de entrevistas contagiosas utiliza reclutamiento falso
Los operadores de WaterPlum se hacen pasar por reclutadores o posibles empleadores, a veces suplantando a empresas legítimas de inteligencia artificial, criptomonedas y NFT. Se ponen en contacto con desarrolladores a través de redes sociales, plataformas de reclutamiento y mercados de trabajo freelance, y luego los invitan a participar en entrevistas virtuales o evaluaciones técnicas de programación.
El paso malicioso suele ocurrir cuando se instruye a los candidatos para que descarguen y ejecuten archivos desde repositorios de código o plataformas de desarrolladores. Estos archivos pueden contener malware que otorga a los atacantes acceso remoto a computadoras comprometidas, permitiéndoles robar credenciales, información sensible y datos de monederos de criptomonedas.
El informe de septiembre indicó que la campaña comprometió al menos 30,000 computadoras en más de 100 países entre diciembre de 2025 y julio de 2026.
Por qué los profesionales de criptomonedas y Web3 son objetivos atractivos
La campaña dirige específicamente a diseñadores web, ingenieros de software y especialistas que trabajan en criptomoneda, cadena de bloques y Web3. Sus computadoras pueden contener información valiosa, incluyendo código fuente, credenciales de API, acceso a monederos y tokens de despliegue. Comprometer a un solo desarrollador puede exponer tanto activos cripto personales como sistemas pertenecientes a un empleador o cliente.
El aviso también informó que los atacantes transfirieron fondos o credenciales de más de 7.000 monederos de criptomonedas y exfiltraron al menos $10,71 millones en criptomonedas. Aunque las tácticas se asemejan a aspectos del incidente de Binance, el aviso no establece que WaterPlum fuera responsable del ataque a Binance.
Para las organizaciones Web3, la lección es clara: la seguridad en la contratación, los permisos de acceso restringidos y la protección de puntos finales deben trabajar juntos para reducir el riesgo de que código malicioso ingrese a entornos de desarrollo confiables.
Cómo los desarrolladores y las empresas de criptomonedas pueden prevenir ataques cibernéticos de entrevistas falsas
El incidente de Binance destaca una brecha de seguridad que va más allá de los correos electrónicos de phishing y enlaces sospechosos: los atacantes pueden aprovechar actividades de contratación ordinarias para acceder a entornos de desarrollo confiables.
Prevenir estos ataques requiere que los desarrolladores verifiquen las oportunidades antes de ejecutar código y que las organizaciones limiten lo que un dispositivo o cuenta comprometidos pueden acceder.
Cómo los desarrolladores pueden identificar estafas de entrevistas de trabajo falsas
Los desarrolladores deben verificar independientemente a los reclutadores y las empresas contratantes utilizando sitios web oficiales y detalles de contacto, en lugar de confiar únicamente en enlaces o perfiles compartidos durante la entrevista. Investigue a los entrevistadores, confirme que la vacante existe y tenga precaución si el proceso avanza rápidamente hacia plataformas de mensajería o video desconocidas.
Lo más importante, nunca ejecute una tarea de codificación no verificada en una computadora de trabajo o un dispositivo que contenga credenciales del monedero. El aviso conjunto de septiembre de 2026 recomienda usar un sandbox o máquina virtual para inspeccionar código desconocido, abrir proyectos de Visual Studio Code desconocidos en Modo Restringido y revisar archivos en busca de comandos que descarguen o ejecuten archivos adicionales.
Cómo los exchange pueden proteger a los empleados del ingeniería social
Los exchange deben tratar los dispositivos de desarrolladores como puntos de entrada potenciales a la infraestructura crítica. Las herramientas de detección y respuesta en puntos finales (EDR) pueden ayudar a identificar actividad sospechosa, mientras que los dispositivos comprometidos deben aislarse rápidamente para evitar que los atacantes accedan a otros sistemas.
Los controles de acceso son igualmente importantes. Los permisos de despliegue deben restringirse a empleados que los necesiten, las credenciales y los tokens de acceso deben gestionarse y rotarse de forma segura cuando se sospeche una exposición, y la autenticación multifactor (MFA) debe proteger las cuentas sensibles.
Los entornos de desarrollo también deben separarse de los sistemas de firma de monederos y otra infraestructura crítica, reduciendo el daño que un atacante puede causar a través de una sola estación de trabajo comprometida.
Por qué la seguridad en la contratación debe ser parte de la ciberseguridad de los exchanges de criptomonedas
La contratación es un proceso de seguridad organizacional, no solo una responsabilidad de recursos humanos. Los exchanges deben verificar la identidad, la historia laboral y las calificaciones de los solicitantes antes de otorgar acceso a los sistemas internos. Las evaluaciones técnicas deben realizarse en entornos controlados sin acceso a credenciales de producción, datos de clientes ni infraestructura de monederos en vivo.
Los empleados también deben tener un proceso claro para reportar reclutadores sospechosos, solicitudes de entrevistas y tareas de programación. Los equipos de seguridad pueden investigar amenazas potenciales antes de que el software malicioso alcance los dispositivos de la empresa. El FBI recomienda igualmente la verificación de identidad durante todo el proceso de contratación remota y la supervisión de dispositivos y actividad de red cuando se identifica conducta sospechosa.
En última instancia, prevenir los ataques de entrevistas falsas requiere tanto precaución individual como controles organizacionales. Un desarrollador no debe tener que reconocer cada script malicioso para mantenerse a salvo; la arquitectura de seguridad de la empresa debe limitar las consecuencias si se ejecuta uno.
Conclusión
El incidente de Binance muestra cómo las entrevistas de trabajo falsas pueden convertirse en puntos de entrada para ataques cibernéticos sofisticados. Al explotar la confianza de los empleados y disfrazar el malware como una tarea de programación, los atacantes obtuvieron acceso que eventualmente llegó a la infraestructura crítica del monedero.
Para los exchanges de criptomonedas, proteger los monederos no es suficiente. También deben asegurar los entornos de desarrollo, verificar los procesos de contratación y restringir el acceso a sistemas sensibles. En última instancia, la ciberseguridad debe proteger tanto la tecnología como las personas que la operan.
Preguntas frecuentes
¿Cómo usaron los hackers entrevistas de trabajo falsas para atacar a Binance?
Los atacantes se hicieron pasar por reclutadores, realizaron entrevistas simuladas y enviaron una tarea de programación maliciosa que infectó la computadora de trabajo de un ingeniero de Binance.
¿Cuánta criptomoneda se vio afectada por el hack de Binance de octubre de 2026?
Aproximadamente $6,34 mil millones en activos digitales se vieron afectados. Binance informó que alrededor de $2,85 mil millones habían sido congelados o interceptados.
¿Qué es la campaña de ciberataque Contagious Interview?
La entrevista contagiosa, también conocida como WaterPlum, es una campaña cibernética norcoreana que utiliza oportunidades de empleo falsas y tareas de codificación maliciosas para dirigirse a profesionales de TI.
¿Cómo pueden infectar la computadora de un desarrollador tareas de codificación falsas?
Pueden contener scripts maliciosos o dependencias comprometidas que se ejecutan durante la instalación, permitiendo a los atacantes robar credenciales, instalar malware o obtener acceso remoto.
¿Cómo pueden los desarrolladores identificar estafas de entrevistas de trabajo falsas?
Los desarrolladores deben verificar independientemente a los reclutadores y empresas, investigar a los entrevistadores, examinar repositorios de código y evitar ejecutar tareas no confiables en dispositivos de trabajo.
Disclaimer
Esta información general del mercado, posiblemente proveniente de fuentes de terceros, comerciales o patrocinadas, se proporciona únicamente con fines de referencia y educativos y no constituye asesoramiento financiero ni de inversión, una oferta, solicitud o garantía. Renunciamos a toda responsabilidad por su precisión, integridad, confiabilidad y cualquier pérdida resultante. Las inversiones/opciones de trading son arriesgadas; el rendimiento pasado no garantiza resultados futuros. Los usuarios deben investigar, juzgar con prudencia y asumir toda la responsabilidad. Para más detalles, consulte las Condiciones de uso y Divulgación de riesgos de KuCoin.
Aviso: Esta página fue traducida utilizando tecnología de IA para tu conveniencia. Para obtener la información más precisa, consulta la versión original en inglés.