En resumen: El ataque a Binance, por valor de 6.3 mil millones de dólares, podría haber comenzado con el portátil de un ingeniero de DevOps que fue comprometido. Desde entonces, Binance ha afirmado que su investigación ha detectado otros puntos de vulnerabilidad, aunque no ha revelado cómo se comprometió el portátil. Teng afirma que el atacante utilizó una característica conocida de Ethereum, la EIP-7702, para obtener autorización sobre una cartera caliente que eludió los controles de autorización habituales de Binance. Todos los días vemos ataques contra dispositivos de desarrolladores: solo la semana pasada, Aikido bloqueó casi 500 ataques de malware. A continuación explicamos cómo un portátil comprometido puede dar lugar a un servicio que mueve dinero.
¿Cómo se produjo el ataque a Binance? Lo que sabemos hasta ahora
Binance calcula que el impacto total asciende a unos 6.300 millones de dólares y afirma que el incidente podría haber comenzado a raíz del acceso no autorizado al ordenador portátil de un ingeniero de DevOps. Binance explica que ese acceso permitió a un atacante acceder a un contenedor de servicios y realizar transacciones de retirada no autorizadas. Hasta el momento se han congelado en la cadena unos 3.000 millones de dólares, y Binance afirma que cubrirá todas las pérdidas.
El codirector ejecutivo Richard Teng escribió en X que el atacante no se limitó a utilizar los permisos de un solo ingeniero y que el ataque implicó algo más que un simple clic. Hasta el momento, Binance no ha encontrado pruebas de que se haya producido una filtración de la clave privada de una cartera.
En una actualización posterior de la investigación, Binance afirmó que, tras seguir investigando, se habían descubierto otros puntos de vulnerabilidad además del ordenador portátil. La actualización no ofrecía detalles sobre esos otros puntos. Binance se ha comprometido a publicar un análisis técnico una vez que se hayan verificado todos los hechos, y actualizaremos esta entrada cuando esté disponible.
Desde entonces, Teng ha afirmado que el atacante utilizó una característica conocida de Ethereum, la EIP-7702, para obtener la autorización en cadena necesaria para actuar sobre un monedero activo, y que dicha delegación no pasó por los controles de autorización habituales de Binance.
TRM Labs y Chainalysis han atribuido el incidente a TraderTraitor, un grupo de hackers norcoreano. Binance no ha confirmado esa atribución.
Las declaraciones públicas no dicen nada sobre cómo el atacante consiguió acceder al ordenador portátil en primer lugar. Todo lo que se expone a continuación describe cómo suelen desarrollarse este tipo de ataques.
Lo que vemos en los portátiles de los desarrolladores
La semana pasada, Aikido bloqueó casi 500 ataques de malware en los dispositivos de los desarrolladores, unos 70 al día.
Los grupos vinculados a Corea del Norte son conocidos por atacar directamente a los desarrolladores, a menudo mediante una entrevista de trabajo falsa que incluye una prueba de programación para realizar en casa, en la que, al ejecutar el proyecto, se ejecuta el código del atacante. Otra vía habitual es el código que se ejecuta en el momento en que se instala o se abre. Un paquete malicioso puede incluir un script de instalación, que se ejecuta automáticamente al instalar el paquete, y una extensión maliciosa para el editor que se ejecuta dentro de las propias herramientas del desarrollador. En mayo, una extensión maliciosa de VS Code en el dispositivo de un desarrollador permitió a un atacante acceder a los repositorios internos de GitHub.
En marzo de 2025, nuestro sistema de detección de malware identificó un paquete de npm, react-html2pdf.js, que se hacía pasar por una biblioteca muy popular. En menos de dos horas, los atacantes publicaron cuatro versiones y depuraron su propio código de forma pública, sin corregir en ningún momento una importación que faltaba para la biblioteca HTTP de la que dependía su carga útil, por lo que el paquete no podía ejecutarse tal y como se había publicado. No utilizaba un script de instalación y estaba diseñado para obtener su carga útil de un servidor remoto cuando se ejecutaba el código. Una vez descodificada, la carga útil estaba diseñada para sustraer carteras de criptomonedas y datos del navegador del equipo, y a continuación descargar más código para ejecutarlo. Las huellas encontradas en el código y en su infraestructura nos llevaron a atribuirlo al Grupo Lazarus de Corea del Norte, tal y como explicamos en el artículo «Espiando a los hackers norcoreanos».
PolinRider, una campaña que los investigadores relacionan con Corea del Norte y que seguimos viendo con frecuencia, oculta código deliberadamente codificado en archivos de configuración de proyectos comunes. Se puede ejecutar cuando un desarrollador abre un proyecto en VS Code. A continuación, utiliza el propio acceso de ese desarrollador para reescribir el historial de confirmaciones y sobrescribir la copia compartida de todos los repositorios a los que pueda enviar cambios.
Lo que un portátil para desarrolladores ofrece a un atacante
Un portátil de desarrollador contiene credenciales activas para todos los sistemas que gestiona su propietario. Por lo general, esto incluye credenciales de la nube, claves SSH, credenciales de Git y configuraciones de Kubernetes, que a menudo se almacenan en el disco, donde cualquier proceso que se ejecute como ese usuario puede leerlas.
Además, almacena los tokens de sesión activos de las herramientas en las que el desarrollador ya ha iniciado sesión. Un token de sesión puede seguir siendo válido incluso después de un restablecimiento de contraseña y puede omitir la autenticación multifactorial (MFA), ya que el inicio de sesión que la requería ya se ha producido.
Un atacante que disponga de ese material puede hacerse pasar por el ingeniero. Su actividad aparece en los registros bajo el nombre del ingeniero, por lo que parece una actividad laboral normal.
Cómo un ordenador portátil comprometido puede dar lugar al robo de fondos
Una secuencia plausible desde un ordenador portátil comprometido hasta una retirada de dinero sería la siguiente:
- El código malicioso se ejecuta en el ordenador portátil y recopila credenciales y tokens de sesión.
- El atacante las utiliza, desde su propio equipo o enrutándolas a través del propio portátil, para acceder a un sistema interno al que el ingeniero tiene acceso, como un servidor de compilación o una cuenta en la nube.
- A partir de ahí, pasan a sistemas con un alcance mayor, recopilando más credenciales en cada paso.
- Acuden a un servicio de confianza para tramitar las retiradas y realizar las transacciones a través de él.
Es posible que también se pudiera acceder desde el exterior a otros sistemas afectados, sin que hubiera ningún ordenador portátil implicado.
Eso también explicaría por qué no fue necesario robar ninguna clave. La EIP-7702 permite que una cartera normal delegue sus acciones a otro fragmento de código, y para configurarlo se necesita una firma de la clave de la cartera. Eso parece indicar que la firma procedía del propio sistema de firma de Binance, por lo que las claves permanecieron donde estaban. El director general de Blockaid llegó a una conclusión preliminar similar: una infraestructura de firma comprometida.
El robo a Bybit de 2025 siguió un patrón similar, a lo largo de unas dos semanas y media. Según las conclusiones preliminares de Safe, tal y como informa heise, el 4 de febrero se comprometió el portátil de un desarrollador; los atacantes utilizaron un token de sesión de AWS robado para actuar dentro de la nube de la empresa y, el 17 de febrero, inyectaron código malicioso que permitió el robo el 21 de febrero. La actualización forense de Bybit, resumida por Cointelegraph, indica que se engañó a los firmantes para que aprobaran una transacción maliciosa.
Cómo proteger los dispositivos de los desarrolladores
Empieza por el dispositivo. Aikido Device Protection es un agente ligero que se instala en el ordenador del desarrollador. Bloquea los paquetes maliciosos, las extensiones de editor y las herramientas de IA antes de que se instalen y, por defecto, retiene cualquier paquete o extensión publicado en las últimas 48 horas. Además, señala cualquier elemento que ya se encuentre en el ordenador y que posteriormente resulte ser malicioso.
El dispositivo es solo el primer eslabón, por lo que las demás capas también deben funcionar correctamente:
- No guardes credenciales de larga duración en los discos de los desarrolladores y emite credenciales de corta duración que caduquen en unas horas.
- Exigir la aprobación externa al servicio para las acciones de alto valor, incluidos los cambios en las funciones permitidas de un monedero, de modo que un servicio comprometido no pueda aprobar sus propias transacciones.
- Alerta sobre credenciales y sesiones utilizadas desde lugares o en momentos en los que el ingeniero nunca trabaja.
- Incorporar los equipos de los contratistas y los personales que se utilicen con fines productivos bajo la gestión de la empresa, de modo que se apliquen los mismos controles a todos los ordenadores portátiles.
Preguntas frecuentes sobre el ataque a Binance
¿El ataque informático a Binance se debió al ordenador portátil de un empleado?
Las primeras conclusiones de Binance apuntaban al portátil de un ingeniero de DevOps que había sido objeto de un ataque. En una actualización posterior se indicó que, tras seguir investigando, se habían descubierto otros puntos de intrusión, por lo que el portátil no era el único problema.
¿Se han robado las claves privadas de Binance?
Teng afirma que el atacante utilizó EIP-7702, una característica conocida de Ethereum, para obtener autorización sobre un monedero en caliente sin pasar por los controles de autorización habituales de Binance.
¿Cómo puede un solo ordenador portátil provocar pérdidas de miles de millones?
Las credenciales y las sesiones en el ordenador portátil permiten acceder a los sistemas internos y, desde allí, un atacante puede encadenar sus acciones hasta llegar a un servicio de confianza encargado de gestionar las retiradas de fondos. En la sección anterior se describe detalladamente esa cadena de acciones.
¿Quién está detrás del ataque a Binance?
Los analistas de TRM Labs y Chainalysis apuntan a TraderTraitor, una unidad de piratería informática norcoreana. Binance no lo ha confirmado.
