Una entrevista de trabajo falsa le costó 6.340 millones de dólares a Binance

El mayor robo de criptomonedas de la historia no empezó con un fallo en un servidor, sino con una oferta de trabajo. El 3 de noviembre de 2026, Binance publicó su informe preliminar sobre el ataque del 29 de octubre, en el que perdió unos 6.340 millones de dólares en activos digitales.

El FBI atribuye el robo a TraderTraitor, una operación de hackers norcoreanos vinculada al Grupo Lazarus (Corea del Norte lo niega). Lo más llamativo del informe es que la puerta de entrada fue un ingeniero de Binance que creyó estar en un proceso de selección legítimo.

Cómo ocurrió, paso a paso

La operación no fue rápida: duró unos cinco meses, desde junio hasta el robo.

1. El anzuelo. Un ingeniero de Binance tenía su perfil en una plataforma de empleo. Alguien que se presentó como director de proyecto lo contactó para hablarle de un puesto.
2. La confianza. Hubo una videollamada con una supuesta reclutadora, con un rostro real, que incluso compartió redes sociales con fotos y videos de una vida aparentemente auténtica.
3. El “CEO”. En la segunda ronda, la conversación pasó a una app de mensajería con alguien que decía ser el CEO. La empresa no existía.
4. La prueba técnica. Al final le pidieron descargar un repositorio de código como ejercicio. Lo ejecutó en su computadora de trabajo.
5. El troyano. Durante la instalación, un script reemplazó en silencio a pyenv, una herramienta común para gestionar versiones de Python, por una copia maliciosa. Esa copia recibía órdenes de un servidor de los atacantes y borraba sus huellas. Las herramientas de seguridad de Binance no la detectaron de inmediato.
6. Un aviso que llegó tarde. El equipo de seguridad terminó detectando el malware, cambió el equipo y rotó las credenciales. Pero los atacantes ya sabían quién era el ingeniero y quiénes trabajaban con él en el equipo de billeteras.
7. El salto interno. El 20 de octubre usaron una herramienta interna de IA comprometida para llegar a los equipos de otros dos ingenieros.
8. El robo. El 29 de octubre usaron uno de esos equipos y una clave del primer ingeniero para enviar retiros no autorizados. Una alerta por transferencias inusualmente grandes destapó el ataque.

Por qué funcionó

El ataque combinó dos debilidades que casi toda empresa tecnológica tiene: la confianza en las personas y la confianza en las herramientas de desarrollo.

• Ingeniería social con paciencia: varias rondas, personas con cara y vida en redes, una empresa con “CEO”. Cada paso hacía creíble el siguiente.
• Una petición normal: para un desarrollador, ejecutar una prueba técnica es rutina. Esa normalidad fue el arma.
• El equipo de trabajo como puente: el código no corrió en una máquina aislada, sino en una con acceso a la red de la empresa.
• Malware dentro de una herramienta de confianza: reemplazar pyenv, algo que se usa a diario, lo volvió invisible.
• Un incidente “cerrado” que no lo estaba: cambiar el equipo y las claves no borró lo que los atacantes ya sabían de las personas y la infraestructura.

No es un caso aislado: Binance afirma haber bloqueado otros 57 intentos atribuidos a Corea del Norte durante 2026, muchos con señuelos parecidos.

Qué aprender de esto

La lección central: ningún código de un desconocido se ejecuta en un equipo de trabajo, por muy legítimo que parezca quien lo envía.

Si eres desarrollador:

• Ejecuta pruebas técnicas solo en una máquina virtual, un contenedor o un entorno en la nube desechable.
• Lee los scripts de instalación (setup.py, postinstall, Makefile) antes de ejecutarlos.
• Verifica la empresa por canales independientes: sitio oficial, registro mercantil, empleados reales.
• Desconfía cuando el proceso cambia de plataforma a mitad de camino o te apuran.

Si tienes una empresa:

• Separa los equipos de desarrollo de los sistemas críticos (pagos, datos de clientes, producción).
• Aplica el mínimo privilegio y autenticación fuerte en cada acceso sensible.
• Vigila la integridad de herramientas y dependencias, no solo los antivirus.
• Tras un incidente, asume que el atacante sigue informado y revisa también a las personas expuestas.
• Forma a tu equipo: la ingeniería social apunta a personas, no a servidores.

La seguridad empieza en el diseño

Binance pudo absorber el golpe: cubrió más del 98 % de lo perdido con fondos propios y ha congelado o interceptado unos 2.850 millones. Una empresa pequeña no tendría esa red de seguridad.

En DeltaApps construimos cada aplicación con la seguridad integrada desde el primer día: entornos separados, accesos mínimos, revisión de dependencias y buenas prácticas para el equipo que la usa. Si quieres revisar qué tan protegido está tu negocio, hablemos.

Fuentes: BleepingComputer, The Register, Yahoo Finance, SBS News, CNN.