Piratas informáticos norcoreanos usaron reclutadores falsos para el robo de USD 6300 millones a Binance

Binance dijo que el ataque comenzó cuando piratas informáticos que se hacían pasar por reclutadores contactaron a un ingeniero de software que trabajaba en los sistemas de billeteras del exchange. Tras dos entrevistas, le pidieron al ingeniero que descargara lo que parecía ser un ejercicio de programación, que en realidad contenía código malicioso que comprometió la laptop de trabajo del ingeniero sin que las herramientas de seguridad de Binance lo detectaran. Ese punto de entrada le permitió a los atacantes acceder a una herramienta interna capaz de tomar el control de las computadoras de otros dos ingenieros del equipo de billeteras; uno de ellos ya había descargado meses antes, a través de un resultado de un motor de búsqueda, una aplicación manipulada que contenía malware para robar contraseñas. Aunque Binance reemplazó la laptop de ese ingeniero, los atacantes usaron las credenciales robadas para entrar en la máquina de un tercer ingeniero —con acceso a sistemas que controlan miles de millones de dólares en criptomonedas— y desde ahí concretaron el robo, lo que llevó a Binance a suspender los retiros de clientes en toda su red. El FBI e investigadores de blockchain han responsabilizado a Corea del Norte, a la que desde hace tiempo se le acusa de llevar a cabo robos masivos de criptomonedas para financiar su programa nuclear sancionado.

Los investigadores han advertido durante años que operativos norcoreanos se hacen pasar por inversionistas de capital de riesgo y reclutadores, usando perfiles armados con identidades estadounidenses robadas para ganarse la confianza de los empleados y obtener acceso. Según sus propias cifras, Binance ya había enfrentado al menos 57 ataques presuntamente vinculados a Corea del Norte antes de este, lo que la empresa dijo que refleja la “amenaza persistente que representan los actores respaldados por estados que atacan a la industria de las criptomonedas”. Investigadores de seguridad y el gobierno de Estados Unidos han señalado, por su parte, que norcoreanos que se hacían pasar por trabajadores remotos de TI y reclutadores estuvieron detrás de aproximadamente la mitad de todas las intrusiones en empresas tecnológicas estadounidenses el año pasado.

Binance calificó la brecha como algo que “no debería haber ocurrido” y dijo que ha reforzado la seguridad de su red desde entonces. El vocero Ross O’Leary remitió a TechCrunch al comunicado público de la empresa y se negó a responder, en forma oficial, preguntas sobre cómo Binance impide que se ejecute software no autorizado en las laptops de sus empleados o si firmas externas habían auditado la seguridad de su red antes del ataque.

Por qué importa

La brecha muestra cómo una campaña de ingeniería social sofisticada y paciente logró vulnerar a un exchange importante a pesar de años de advertencias públicas, y subraya que la responsabilidad de impedir la ejecución de código no autorizado recae en última instancia en la empresa, no solo en sus empleados.