Todo empezó con una oferta de trabajo. En septiembre, un ingeniero de Binance fue contactado, a través de una plataforma de búsqueda de empleo legítima, por alguien que se presentaba como director de proyecto de una empresa. Vinieron dos entrevistas. En la segunda, por una aplicación de mensajería, alguien que decía ser el CEO de esa empresa le pidió resolver una prueba técnica, como es habitual en los procesos de selección de programadores.

El ingeniero descargó el archivo en su computador de trabajo. Pero la empresa no existía, y la prueba traía un programa malicioso.

Semanas después, el jueves 29 de octubre, pasadas las 17:00 en Chile, los fondos comenzaron a salir de las billeteras de Binance en diez blockchains distintas -Bitcoin, Ethereum, Solana y Tron, entre otras-.

En unos 20 minutos salió la mayor parte de los alrededor de US$6.300 millones (unos $6,2 billones chilenos) que terminaron en manos de los atacantes.

Es el mayor robo de criptomonedas del que se tenga registro, cuatro veces lo que le quitaron a Bybit en febrero de 2025. El FBI lo atribuyó a TraderTraitor, una unidad de hackers ligada al régimen de Corea del Norte.

El hackeo a Binance

Un exchange como Binance funciona, en parte, como un banco. Guarda la mayor parte del dinero de sus clientes en billeteras “frías”, desconectadas de Internet, algo así como una bóveda. Y mantiene una fracción en billeteras “calientes”, conectadas a la red para pagar los retiros al instante, como la caja de una sucursal.

Los atacantes asaltaron esa caja, pero sin forzar ninguna cerradura. Binance asegura que no ha encontrado evidencia de que se haya filtrado alguna clave privada, es decir, las contraseñas maestras que controlan las billeteras. Lo que hicieron fue meterse en los computadores de los ingenieros que administran el sistema de billeteras y, desde ahí, dar órdenes de retiro que el sistema creyó legítimas.

Dicho de otra forma, para la máquina, la instrucción venía de adentro.

Una campaña de cinco meses

El informe de Binance reconstruye el ataque paso a paso, y casi todos los pasos tienen que ver con personas antes que con máquinas.

En junio, un ingeniero buscó en Internet una herramienta popular de programación con inteligencia artificial, hizo clic en un resultado y descargó una versión adulterada de Homebrew, un programa que los desarrolladores usan para instalar software.

El equipo de seguridad lo detectó, reemplazó el computador y cambió sus credenciales. Pero los hackers ya habían averiguado cuál era su cargo y quiénes eran sus compañeros de equipo.

En lo que va de 2026, la seguridad de Binance ha detectado y frenado 57 amenazas que atribuye a Corea del Norte: entrevistas falsas, campañas de ingeniería social -el arte de manipular a una persona para que entregue acceso o información- y programas maliciosos.

En septiembre llegó la entrevista falsa. Según el informe, un supuesto encargado de recursos humanos condujo la primera conversación y compartió perfiles de redes sociales para ganarse la confianza del ingeniero. El falso CEO se encargó de la segunda. El archivo de la “prueba” reemplazaba una pieza de una herramienta de programación legítima por una versión maliciosa, que abría una conexión con un servidor de los atacantes.

Era un malware nuevo, de día cero, y las herramientas de seguridad de la empresa no lo detectaron.

El 20 de octubre, desde ese computador, y valiéndose de una herramienta interna de inteligencia artificial de Binance -la empresa no precisó cuál ni cómo-, los hackers llegaron a los equipos de otros dos ingenieros que trabajaban en las billeteras. Uno de ellos era el mismo ingeniero de junio, ya con su computador nuevo. Ahí encontraron un permiso digital (token) para desplegar programas en los servidores de la compañía.

El 29 de octubre, después de nueve días al acecho, se conectaron al computador del tercer ingeniero, usaron el permiso robado y lanzaron un programa que ordenó los retiros a través del sistema interno que firma las transacciones.

Richard Teng, co-CEO de Binance, lo describió como “una campaña de meses”.

Un libreto conocido

La táctica tiene historia. En 2024, un empleado de Ginco, la empresa japonesa que desarrollaba el software de gestión de billeteras del exchange DMM Bitcoin, recibió una oferta de un falso reclutador que le pidió completar una prueba técnica. El enlace llevaba a un código malicioso. Dos meses después, desaparecieron unos US$300 millones en bitcoin. El robo a Bybit, el récord anterior, también partió por un computador comprometido: el de un desarrollador de Safe{Wallet}, el proveedor de la billetera que usaba el exchange.

Pero hay más: Binance conocía el riesgo. En julio, la propia compañía contó que somete cada mes a sus empleados a ataques de phishing simulados para entrenarlos contra la ingeniería social. Y su fundador, Changpeng Zhao, ya había alertado públicamente sobre hackers norcoreanos que se infiltran en la industria con ofertas de trabajo falsas.

Las críticas apuntan a otro lado. Liam Salsi, de la firma de ciberseguridad Talion, encuentra asombroso que un puñado de notebooks bastara para mover miles de millones, y recuerda que una buena seguridad reparte los activos para que nadie pueda llevarse todo de un solo golpe. Binance respondió que cerró los puntos de entrada, reconstruyó los sistemas afectados y endureció el control sobre los dispositivos de sus empleados.

¿Se puede recuperar el dinero?

Depende de la moneda. Las stablecoins, como USDT (de Tether) o USDC (de Circle), tienen un emisor central que puede bloquear transferencias, y por eso buena parte del botín quedó congelado rápido. Con bitcoin y ether la historia es otra: no hay emisor que pueda frenarlos, y solo se detienen si el atacante los envía a un exchange dispuesto a bloquearlos o si la policía obtiene las claves privadas. El FBI informó que los hackers están convirtiendo lo robado principalmente a ether.

Binance estimó en un comienzo el impacto en US$6.300 millones y en su informe lo ajustó a US$6.340 millones. De ese total, US$2.850 millones fueron congelados o interceptados.

La mejor oportunidad para el resto será cuando los ladrones intenten cambiarlo por dinero tradicional, apuntan los especialistas. Aunque también advierten que, lo que no se logre recuperar, podría financiar las operaciones ilícitas del régimen norcoreano, que según autoridades estadounidenses usa este tipo de robos para costear su programa de misiles balísticos.

Quién paga

Binance prometió que sus clientes no perderán un dólar. La compañía asegura que ya repuso casi todo lo robado con fondos de su tesorería y de dos fondos de seguro. El más conocido de sus resguardos es el SAFU (Secure Asset Fund for Users), que creó en 2018 y estrenó un año después, cuando hackers le robaron 7.000 bitcoins.

Los retiros estuvieron suspendidos más de dos días y se reactivaron por etapas desde el domingo 1. En un comienzo hubo salidas por miles de millones de dólares, pero el martes la plataforma informó que los depósitos por hora ya superaban a los retiros. Bitcoin cayó más de 4%, hasta cerca de US$76.000, y luego recuperó parte del terreno.

Qué significa para Chile

Binance es una plataforma popular entre los usuarios chilenos de criptomonedas, pero opera sin supervisión local. Ya en 2021, la Comisión para el Mercado Financiero advirtió que se trata de una entidad no supervisada y sin autorización para prestar servicios financieros en el país.

La Ley Fintec obliga a las plataformas de criptoactivos a inscribirse en el registro de la CMF. Binance no figura en él. En los hechos, quien la usa desde Chile opera con un proveedor extranjero, sin el resguardo de la normativa chilena.

Habría que agregar dos advertencias. La primera es para los usuarios: tras cada hackeo se multiplican los mensajes falsos que ofrecen “compensaciones”, piden códigos de verificación o invitan a transferir fondos a una supuesta billetera segura. Binance pidió atender solo sus canales oficiales.

La segunda es para los programadores. Los grupos norcoreanos usan LinkedIn, Upwork y Fiverr para contactar a desarrolladores freelance con pruebas técnicas infectadas, según la firma de seguridad Sophos, un riesgo que alcanza a cualquier programador chileno que busque trabajo remoto en el extranjero. El eslabón más débil de una bóveda de miles de millones resultó ser algo tan cotidiano como las ganas de conseguir un mejor trabajo.