Hackeo Binance: ojo con la prueba técnica de un reclutador

El hackeo de Binance empezó con una entrevista de trabajo falsa, pero esa entrevista fue solo uno de cuatro pasos. El martes 3 de noviembre de 2026, la empresa publicó su informe inicial sobre el robo de unos US$ 6.340 millones en activos digitales, y la historia que cuenta es otra: una instalación manipulada de Homebrew en junio, una prueba técnica de un supuesto reclutador ejecutada en un computador de trabajo en septiembre, una herramienta interna de IA usada para saltar a otros dos equipos el 20 de octubre y un token de despliegue guardado en una laptop que, el 29 de octubre, llevó al atacante hasta el servicio que firma las transacciones. Medimos lo que se podía medir: el archivo que reemplazaron creció 70 bytes, y en Ethereum quedó una sola transacción con 50 autorizaciones, de las que sirvió una, activa durante 3 horas y 49 minutos con los retiros ya suspendidos. Si trabajas en TI, soporte, infraestructura o desarrollo, tienes accesos a producción en tu computador y te escriben reclutadores, esto te toca: el FBI pidió en 2024 no hacer esas pruebas en equipos de la empresa.

Una advertencia antes de seguir: todo esto viene de la propia Binance. Es la versión de la víctima, la empresa la llama su informe inicial y la revisión independiente todavía no está.

Hackeo Binance: la entrevista de trabajo falsa, ronda por ronda

En septiembre, a un ingeniero de software que Binance llama B lo contactó un supuesto Project Director a través de una plataforma de empleo legítima. Su perfil mencionaba su experiencia en Binance. Fortune dice que la plataforma fue LinkedIn; el informe no la nombra.

La primera ronda fue con un supuesto representante de recursos humanos, en una entrevista por video en vivo, apoyada en fotos y videos personales publicados en la plataforma para ganarse su confianza. La segunda, con alguien que decía ser el director ejecutivo de una empresa ficticia, por una aplicación de chat. Casi al final, le pidieron bajar un «encargo» a su computador de trabajo.

Ese encargo traía un repositorio de código, y lo malicioso se ejecutó durante la instalación. Reemplazó un componente legítimo de una herramienta de desarrollo, pyenv, por una versión maliciosa con el mismo nombre. Binance lo llama malware de día cero, pero no menciona ninguna falla sin parche: lo que dice es que sus herramientas de protección de equipos no lo detectaron en ese momento.

Un vocero le dijo a Fortune que, en Binance, quienes tienen cargos sin exposición pública no pueden mantener un perfil en LinkedIn. No quiso decir si este ingeniero incumplió esa regla ni si habrá sanciones. Pero la pregunta útil para ti no es si la oferta parecía real, sino dónde corres lo que te mandan.

Los 70 bytes de pyenv: lo medimos

Binance dio cifras muy exactas: el pyenv original pesaba 3.344 bytes y la copia maliciosa, 3.414. Así que las fuimos a medir. En su código público, la versión 2.8.0 de pyenv pesa 3.341 bytes: faltan tres. Pero Homebrew, el gestor de paquetes que instala programas en el Mac, le cambia una sola ruta al instalarlo, y esa ruta tiene tres caracteres más. Con eso, 3.341 más 3 da 3.344, justo lo que dice Binance. Es la cuenta sobre el código, no sobre un Mac real con esa versión instalada.

Esa ruta, la de Homebrew en los Mac con chip de Apple, nos da otra pista: Binance no dice qué equipo usaba el ingeniero, así que eso lo deducimos nosotros. Lo que no podemos medir es la copia maliciosa. Esos 3.414 bytes solo los dice Binance, que no publicó su contenido. La resta sí es nuestra: 70 bytes de diferencia.

¿Por qué justo pyenv? Porque su guía de instalación lo deja cargado como una función de la terminal cada vez que la abres; reemplazarlo le daría al atacante una forma de seguir corriendo, y esa es nuestra lectura. Además, Homebrew no pide la clave de administrador después de su instalación inicial: la carpeta queda a nombre de tu usuario, así que un programa tuyo puede cambiarla. La propia documentación de Homebrew advierte que no da garantías de seguridad cuando alguien con permiso para escribir en esa carpeta no es de confianza. Si administras equipos, pregunta si tu protección vigila esos cambios.

No empezó en septiembre: el Homebrew manipulado de junio

Homebrew no entró recién con la entrevista. En junio, otro ingeniero, al que Binance llama A, bajó una instalación manipulada de Homebrew para instalar una herramienta popular de código con IA, después de buscarla en un buscador. Reuters y Fortune hablan de un anuncio. Binance no dice qué herramienta era.

El equipo de seguridad detectó la anomalía, cambió el computador y rotó todas las credenciales relacionadas. Pero el daño ya estaba hecho: el rol de A, y el de sus colegas del equipo de infraestructura de billeteras, había quedado expuesto ante el atacante.

No es un caso aislado. BleepingComputer ya había informado de anuncios patrocinados falsos de Homebrew, y la Cloud Security Alliance documentó este año una campaña de guías falsas para instalar herramientas de IA, dirigida justamente a quienes las buscan. La recomendación nuestra es simple: escribe la dirección a mano, brew.sh o la documentación oficial, y no sigas un anuncio.

La herramienta interna de IA y el token en la laptop

Lo que el informe no explica es cómo pasó el atacante de un ingeniero a otros dos. El 20 de octubre, desde el computador de B, usó una herramienta interna de IA para tomar el control de A y de otro ingeniero de software, C. Binance no detalla cómo: solo dice que reconstruyó esa herramienta y sus controles de acceso. Tampoco dice que la IA haya hecho el robo; describe el abuso de una herramienta propia.

En el computador de A había algo más: un token con permiso para desplegar contenedores. El 29 de octubre, el atacante entró al computador de C, usó las credenciales robadas a A, desplegó un contenedor y lanzó un script malicioso. Las credenciales de uno sirvieron desde el equipo de otro. Revisa qué tokens guardas, si vencen y si están atados a un equipo.

Por eso Binance escribe que no fue una sola brecha aislada ni un simple phishing. Junio expuso los roles. Septiembre abrió la entrada. Octubre trajo el salto y la llave.

Ya lo habían avisado: el FBI en 2024

Lo más incómodo es que casi todo eso estaba advertido. El 3 de septiembre de 2024, el FBI publicó un aviso sobre ingeniería social de Corea del Norte. Dice que, antes de escribirte, revisan tu actividad en redes profesionales y plataformas de empleo. Da como señal que te pidan una prueba previa al empleo, o un ejercicio de depuración, que obligue a ejecutar paquetes de Node.js o PyPI, scripts o repositorios de GitHub desconocidos. Y la medida es textual: evita hacer pruebas previas al empleo o ejecutar código en laptops o dispositivos de la empresa.

Antes, en 2022, el FBI, CISA y el Tesoro de Estados Unidos ya describían mensajes que imitaban procesos de selección, dirigidos sobre todo a gente de administración de sistemas y DevOps. El ataque a Binance llegó en junio y septiembre de 2026, dos años después del aviso. Y Binance conocía el método: según su informe, este año detectó y evitó 57 casos sospechosos vinculados con Corea del Norte.

50 autorizaciones, 1 sirvió: por qué no bastó con suspender los retiros

El último paso es el que dejó huella pública: el atacante llegó al servicio interno de firma de las billeteras. Binance cuenta unos US$ 2.850 millones congelados o interceptados; hecha la resta, quedan unos US$ 3.490 millones sin congelar. Cómo salió el dinero ya lo contamos en Binance hackeado: ojo, abrir retiros no es abrir tu moneda.

El informe habla de 50 transacciones de firma. Pero en Ethereum, que es público, leímos una sola transacción que trae 50 autorizaciones de la billetera Binance 14, cada una con un número de orden distinto. De esas, 49 fallan y una funciona. Y esa autorización siguió operando con los retiros ya suspendidos.

¿Cuánto rato? Lo medimos en hora de Chile: desde las 17:20 del 29 de octubre hasta las 21:10, cuando Binance logró anularla. Fueron 3 horas, 49 minutos y 36 segundos. En ese lapso contamos diez barridos, y el último se llevó unos 2.961 ether.

No bastó con parar los retiros porque esa autorización ya estaba en la cadena y operaba al margen de la infraestructura normal de retiros de Binance. Y como su billetera usa computación multipartita, no había una sola clave privada con la que revocarla al instante: la empresa tuvo que desarrollar y ejecutar un procedimiento especial. El informe tampoco explica cómo un contenedor de producción logró saltarse ese esquema de firma, la misma pregunta que se repitió en Hacker News.

Qué haces tú: dónde correr la prueba técnica de un reclutador

Si mañana te mandan una prueba técnica, ¿dónde la corres? Ninguna opción te hace inmune, pero no todas valen lo mismo. En el computador de trabajo, nada te protege: lo que corre ve lo mismo que tú, incluidos tus accesos y tus tokens. En tu computador personal separas a la empresa, pero no tus cuentas ni tus billeteras, y el aviso conjunto sobre WaterPlum recuerda que las credenciales robadas sirven para sacar cripto. Lo que pide el FBI es una máquina virtual en un equipo que no esté conectado a la empresa, o en un dispositivo que entregue quien te evalúa.

Lo nuestro: un entorno en la nube, con una cuenta aparte, también deja el código lejos de tu equipo, y cuesta poco. GitHub Codespaces trae 120 horas de cómputo gratis al mes en las cuentas personales; con la máquina de dos núcleos, son 60 horas reales, y una prueba de dos horas no agota la cuota. Y si usas Visual Studio Code, abre lo desconocido en modo restringido: hay archivos, como las tareas de un proyecto, que pueden correr apenas abres la carpeta.

Si ya corriste algo sospechoso, el mismo aviso es claro: desconecta el equipo de internet de inmediato, asume que tus datos, incluidas tus billeteras, ya salieron, respalda lo esencial y reinstala el sistema.

¿Y si no trabajas en cripto? Rust y WaterPlum

No te salvas. En septiembre, el equipo de Rust, el lenguaje de programación, avisó de intentos parecidos contra su gente: una videollamada por un trabajo o un proyecto, perfiles creíbles en LinkedIn y, después, algo que instalar. Rust aclara que no sabe si es la misma campaña. Ese mismo mes, cuatro países advirtieron de otro grupo, WaterPlum, que ha infectado al menos 30.000 equipos en más de 100 países. Desde Latinoamérica no encontramos cifras por país ni casos en español, pero LinkedIn y Homebrew son globales.

Quién responde: Corea del Norte, Binance y tu empresa

El FBI atribuyó a Corea del Norte el robo de más de US$ 6.000 millones, y el gobierno norcoreano lo rechaza, según la BBC. Pero para tu trabajo pesa otra pregunta: quién responde. TechCrunch lo dice directo: en último término, es responsabilidad de la empresa asegurarse de que sus sistemas no puedan correr software no autorizado o poco confiable. Le preguntó a Binance cómo lo impide, y la empresa no quiso responder oficialmente.

¿Tu equipo tiene lo mismo? Nuestra lectura

Si en tu laptop hay un token que llega a producción, y ahí mismo corres lo que te manda un desconocido, la respuesta es sí. Revisa hoy tus mensajes de reclutadores, lo que instalaste desde un anuncio y los tokens que guardas en tu carpeta.

Para nosotros, la entrevista abrió una puerta, pero lo que pudo hacer posible el monto fue otra cosa: un token en una laptop, una herramienta interna con mucho alcance y una firma que obedeció. Binance lo llama un ataque muy sofisticado; sin embargo, la entrevista falsa y la prueba técnica en el computador de trabajo llevaban años advertidas. Falta la revisión independiente, y esta versión puede cambiar.

Nuestro veredicto: la regla cabe en una frase, una prueba técnica no se corre en el computador de tu trabajo. ¿Y tú? ¿Ya hiciste una prueba así en tu equipo de trabajo?