Hackeo a Binance: cómo entraron con una entrevista falsa

Los detalles están en el informe preliminar que Binance publicó el 3 de noviembre. La empresa lo describe como una campaña de varias etapas, y la investigación sigue abierta. Mientras tanto, reabre los retiros por fases.

¿Cómo entraron los hackers a Binance?

Por una oferta de trabajo. En septiembre, un ingeniero de software de Binance fue contactado en una plataforma de empleo legítima por alguien que se presentó como director de proyecto. En su perfil aparecía su experiencia en la empresa.

El supuesto director le organizó dos entrevistas. La primera fue por video, en vivo, con una persona que dijo ser de recursos humanos. Para ganarse su confianza, le compartió una cuenta de redes sociales con fotos y videos personales. Binance dice que ese nivel de engaño fue más avanzado que lo que había visto antes.

La segunda entrevista fue en una aplicación de chat, con alguien que se hizo pasar por el director ejecutivo de una compañía que no existía. Al final, le pidieron al ingeniero que descargara un «ejercicio» en su computadora de trabajo. Ese archivo traía el código malicioso, que se ejecutó durante la instalación.

Las herramientas de seguridad no lo detectaron, porque era un programa nuevo y desconocido, lo que en seguridad se llama de día cero. Reemplazó un componente legítimo de desarrollo por una versión alterada y abrió comunicación con un servidor de los atacantes.

https://t.co/sU9dUqLQDH

— Binance (@binance) 3 de noviembre de 2026

¿Qué pasó antes de la entrevista falsa?

Hubo un aviso en junio. Un ingeniero del equipo de billeteras buscó en internet una herramienta de programación con IA y, para instalarla, bajó una versión alterada de Homebrew, un instalador de programas muy usado por desarrolladores en Mac. El equipo de seguridad de Binance detectó la anomalía, cambió su computadora y renovó sus credenciales.

Pero el cargo de ese ingeniero y el de sus colegas del equipo de billeteras ya habían quedado expuestos ante los atacantes. Binance agrega que en 2026 detectó y frenó 57 casos sospechosos vinculados a Corea del Norte, entre ellos entrevistas fraudulentas, programas falsos para desarrolladores y aplicaciones falsas de videollamada.

¿Cómo llegaron de una computadora al dinero?

Con una herramienta interna de inteligencia artificial. Desde la computadora infectada, el 20 de octubre los atacantes la usaron para tomar control de los equipos de dos ingenieros más, entre ellos el del aviso de junio. En uno encontraron el permiso que les faltaba.

El 29 de octubre entraron a un servicio interno de firmas de billeteras y ordenaron transacciones por fuera del proceso normal de retiros.

Fecha	Qué pasó
Junio	Un ingeniero de billeteras (A) instala una versión alterada de Homebrew. Binance detecta la anomalía y cambia su equipo y credenciales, pero su cargo y el de sus colegas quedan expuestos.
Septiembre	Otro ingeniero (B) recibe el contacto en una plataforma de empleo, pasa dos entrevistas falsas y descarga el «ejercicio» con código malicioso.
20 de octubre	Desde esa computadora, usan una herramienta interna de IA para tomar control de los equipos de A y de un tercer ingeniero (C). Encuentran un permiso para desplegar programas.
29 de octubre, 17:15 a 19:56	Entran a la computadora de C, usan las credenciales robadas a A y activan el código que lanza el ataque.
29 de octubre, 4:05 p. m. en RD	Empiezan las salidas: en cuatro minutos, cinco billeteras envían 233.46 millones de XRP.
29 de octubre, 7:56 p. m. en RD	Se confirma la última transferencia no autorizada, de 2,961.9 ETH.

Fuente: Binance, informe preliminar del 3 de noviembre. El informe no indica la zona horaria del tramo de las 17:15 a las 19:56; las transferencias las da en hora UTC.

¿Qué se llevaron y cuánto se recuperó?

Binance calcula que el ataque afectó unos US$6,340 millones en activos digitales. Hasta su informe, unos US$2,850 millones estaban congelados o interceptados, una cifra que advierte que puede cambiar por la conciliación y por los precios del mercado.

Criptomoneda	Cantidad que salió
XRP	233.46 millones
Bitcoin (BTC)	18,270
Solana (SOL)	Unos 970,500
Optimism (OP)	44.2 millones
Ether (ETH)	2,961.9 en la última transferencia

Fuente: Binance, informe preliminar. El informe no publica la lista completa de activos ni el valor de cada uno.

Cálculo de Revista Mercado

US$3,490 millones

sin congelar, según las cifras de Binance

De los US$6,340 millones afectados, Binance dice haber congelado o interceptado US$2,850 millones, el 45 %. Quedan unos US$3,490 millones fuera de su alcance. A la tasa de RD$60.82 por dólar que usó el MICM esta semana, son unos RD$212,262 millones: casi cinco veces los RD$43,324 millones del subsidio a los combustibles de RD en 2026.

Sería el mayor robo de criptomonedas registrado. El anterior, el de Bybit en febrero de 2025, fue de US$1,500 millones, según Help Net Security, que lo atribuye al mismo grupo, TraderTraitor. El de Binance es 4.2 veces más grande. Para Corea del Norte, estos robos son una fuente de dinero, como explicamos en esta nota sobre cómo financia sus armas.

Te puede interesar: ¿Corea del Norte hackeó Binance? Lo que se sabe de TraderTraitor y del mayor robo de criptomonedas

¿Por qué suspender los retiros no frenó el robo?

Porque los atacantes ya no dependían de los sistemas de Binance. Usaron un mecanismo de Ethereum llamado EIP-7702, que permite a una cuenta ceder ciertos permisos a un contrato inteligente sin revelar su clave. Con 50 transacciones firmadas, le dieron a un contrato suyo poder parcial sobre una billetera de Binance.

Esas autorizaciones quedaron registradas en la cadena de bloques y siguieron funcionando después de suspender los retiros. Además, esa billetera no tenía una única clave que permitiera anularlas de inmediato, porque usaba un sistema de firma repartida. Binance tuvo que crear un procedimiento especial, y eso alargó la contención: la última transferencia se confirmó casi cuatro horas después de la primera. La autorización quedó borrada a las 8:10 p. m. en RD.

¿Qué pasa con el dinero de los clientes?

Binance insiste en que las pérdidas son suyas. En su actualización del 4 de noviembre dijo que reservó más del 100 % de lo necesario con fondos propios y que ya repuso cerca del 98 % del monto afectado. El 2 % restante va más lento porque son monedas con menos mercado.

Esto es lo que puede hacer un usuario hoy:

Retirar: Binance reabre los retiros por fases desde el 1 de noviembre, y sumó más activos este 5 de noviembre. Hay que revisar la página de cada activo y red. Si el retiro no pasa, la empresa pide intentarlo de nuevo más tarde.
Depositar: los depósitos siguen abiertos.
Verificar: la prueba de reservas del 4 de noviembre cubre 44 monedas, frente a 10 en la anterior. Binance calculó entre 50 y 60 horas para generar la prueba completa, y después cada usuario podrá comprobar que su saldo está respaldado.
Cuidarse de fraudes: entrar solo a la página oficial. Changpeng Zhao, cofundador de Binance, avisó este 5 de noviembre de páginas falsas: «.cam no es .com».

More phishing websites out there... .cam is not .com. Be careful! https://t.co/h86UCDs6hA

— CZ 🔶 BNB (@cz_binance) 5 de noviembre de 2026

Te puede interesar: Billetera fría o exchange: dónde guardar tus criptomonedas tras el hackeo de Binance y qué cambia

¿Qué dicen Richard Teng y Changpeng Zhao?

Richard Teng, codirector ejecutivo de Binance, dijo a CNBC que los atacantes «pasaron meses abriéndose camino» y rechazó que hubiera un único punto de falla en la computadora de un empleado. No atribuyó él mismo el ataque a Corea del Norte, pero reconoció que el FBI lo vincula al grupo TraderTraitor.

Zhao fue más duro. Escribió en X que un hackeo de esta escala significa que hubo fallas graves de seguridad y que algunos detalles «son vergonzosos». También dijo que las explicaciones públicas simplifican lo que parece un ataque de meses o años contra cientos de empleados y sistemas.

A hack of this scale means serious security failures occurred. No platform is unhackable, but that cannot be an excuse. Every incident exposes weaknesses that should have been prevented.

Some details are embarrassing. Public explanations also simplify what appears to have been a… https://t.co/ZMAjZt2hF8

— CZ 🔶 BNB (@cz_binance) 4 de noviembre de 2026

¿Qué le deja este caso a un empleado o a una empresa?

Que la entrada fue a través de personas. Ninguno de los dos ingenieros hizo algo fuera de lo común: uno buscó una herramienta en internet y el otro atendió una oferta de empleo y bajó la prueba en su computadora de trabajo.

Binance dice que ya reconstruyó el sistema de billeteras y la herramienta de IA afectada, cambió equipos y credenciales, reforzó los controles de dispositivos y escaneó las computadoras de sus empleados. También busca una revisión externa y advierte que algunos detalles técnicos seguirán siendo confidenciales.

¿Qué falta por saber?

Falta la revisión independiente, porque este es un informe inicial de la propia empresa. Binance tampoco ha dicho cuánto de lo robado espera recuperar.

Te puede interesar: ¿Hackearon Binance? Lo que se sabe del posible robo de miles de millones y qué pasa con tu dinero

El hackeo a Binance, en datos

Monto afectado: Unos US$6,340 millones

Congelado o interceptado: Unos US$2,850 millones

Fecha del robo: 29 de octubre de 2026

Vía de entrada: Entrevistas de trabajo falsas y un ejercicio con código malicioso

Atribución: El FBI apunta a Corea del Norte

Fondos repuestos: Cerca del 98 %, según Binance

Fuentes: informe preliminar de Binance; actualización del 4 de noviembre y aviso de retiros del 5 de noviembre; entrevista de Richard Teng en CNBC; Help Net Security; publicaciones de Changpeng Zhao en X.