Corea del Norte robó US$6.300 millones a Binance usando una IA interna de la empresa

Binance, la mayor plataforma de compraventa de criptomonedas del mundo, publicó el martes 3 de noviembre su primer informe sobre el robo de unos US$6.300 millones que sufrió el 29 de octubre, el más grande registrado. Según la empresa, los atacantes prepararon el golpe durante meses: engañaron a un ingeniero con una entrevista de trabajo falsa y, nueve días antes del robo, usaron una herramienta interna de IA de Binance para tomar el control de los computadores de otros dos ingenieros que trabajaban con las billeteras de la compañía.

El FBI atribuyó el ataque el 31 de octubre a Corea del Norte, a la actividad que identifica como “TraderTraitor”. Binance dijo que cubrirá las pérdidas con fondos propios y que al 31 de octubre ya había repuesto el 98% de los activos afectados.

Veinte minutos para vaciar las billeteras

La mayor parte del robo ocurrió en unos 20 minutos a partir de las 20:05 UTC (17:05 en Chile) del jueves 29, según TRM Labs, la firma de análisis de blockchain que primero atribuyó el ataque a Corea del Norte. Los fondos salieron de billeteras de Binance conectadas a internet en diez cadenas de bloques, entre ellas Ethereum, Bitcoin, Tron y Solana. TRM calcula el total en US$6.360 millones; Binance habla de unos US$6.340 millones y Reuters, de US$6.300 millones. Son unas cuatro veces el robo de US$1.500 millones a Bybit en febrero de 2025, que el FBI también atribuyó a Corea del Norte.

Los atacantes no se llevaron una clave: lograron que el servicio interno que firma las transacciones de Binance aprobara transferencias fuera del proceso normal de retiros, explicó la empresa. Binance suspendió los retiros y, con emisores de monedas estables como Tether y Circle, congeló o interceptó unos US$2.850 millones. “Este incidente es casi con seguridad el mayor robo conocido de cualquier tipo”, dijo a Reuters la firma británica Elliptic. Corea del Norte niega usar unidades cibernéticas para robar, según Reuters.

Una entrevista falsa y una IA interna

El informe reconstruye la cadena. En junio, un ingeniero buscó en internet una popular herramienta de IA para programar y descargó un instalador adulterado. Binance detectó la anomalía y cambió el equipo, pero los atacantes ya sabían quién trabajaba en la infraestructura de billeteras.

En septiembre, un supuesto director de proyecto contactó a otro ingeniero por una plataforma de empleo legítima. Tras dos entrevistas, la segunda con el supuesto CEO de una empresa ficticia, le pidieron descargar una “tarea” en su computador de trabajo. Contenía un código malicioso que las herramientas de seguridad no detectaron.

El 20 de octubre, desde ese computador, los atacantes usaron la herramienta interna de IA para tomar el control de los equipos de dos ingenieros de billeteras. En uno encontraron un permiso para desplegar contenedores, y el 29 de octubre lo usaron para lanzar el ataque. Binance dice que en 2026 detectó y frenó 57 presuntas amenazas ligadas a Corea del Norte, y que ya reconstruyó la herramienta de IA comprometida y sus controles de acceso. “Esto no debió haber pasado”, admitió.

Qué significa para las empresas de la región

El robo no dependió de una falla exótica, sino de puertas que existen en cualquier empresa. La IA aparece dos veces: como el programa que un ingeniero quería instalar y como la herramienta que los atacantes usaron para saltar de un computador a otro.

1. ¿Qué herramientas de IA instala tu equipo, y desde dónde? Conviene tener una lista aprobada y descargar solo desde los sitios oficiales.
2. ¿Cuánto puede hacer tu IA interna? Un asistente conectado a los sistemas de la empresa debe tener los permisos mínimos y dejar registro de lo que hace.
3. ¿Quién contacta a tus personas clave? Las ofertas de trabajo dirigidas a quienes manejan pagos o sistemas críticos son una vía de ataque conocida, y vale la pena advertirles.
4. ¿Qué credenciales viven en un portátil? Un permiso guardado en un computador fue el paso final. Mover dinero debería exigir más de una persona y más de un dispositivo.

Qué mirar

La revisión independiente que Binance encargó a firmas de ciberseguridad, el rastro del resto de los fondos, que según el FBI los atacantes convierten sobre todo en ether para lavarlos, y si otras empresas del sector revisan los permisos de sus propias herramientas de IA.

A partir de información de Binance y FBI.