Cómo una entrevista de trabajo falsa llevó al mayor robo cripto, y cómo detectar el engaño
El robo de unos 6.300 millones de dólares a Binance no empezó con un fallo en la blockchain ni con una contraseña descifrada. Según las propias conclusiones del exchange, publicadas el 3 de noviembre de 2026, empezó con una entrevista de trabajo que en realidad nunca existió y con una prueba de programación que un ingeniero descargó en su ordenador de trabajo.
Cómo se desarrolló el ataque
- Septiembre: un ingeniero de Binance fue contactado en una plataforma de empleo legítima por alguien que se hacía pasar por director de proyecto. Siguieron dos «entrevistas», con un supuesto responsable de recursos humanos y el consejero delegado de una empresa que no existía.
- La prueba de programación: al final de la segunda entrevista, se pidió al ingeniero que descargara un ejercicio de programación en su ordenador de trabajo. Según Binance, contenía malware que se ejecutó durante la instalación, sustituyó parte de una herramienta de desarrollo legítima, se conectó a un servidor controlado por los atacantes y eludió el software de seguridad del equipo.
- 20 de octubre: desde el ordenador infectado, los atacantes tomaron el control de los equipos de dos compañeros y encontraron una credencial que permitía desplegar software en la infraestructura de monederos.
- 29 de octubre: con ese acceso llegaron al servicio que firma las transacciones de los monederos y movieron fondos al margen del proceso normal de retiros.
Binance reveló además un incidente anterior, de junio, en el que otro ingeniero había instalado software manipulado. El equipo se sustituyó, pero ya se había filtrado información sobre el equipo de infraestructura de monederos. Hasta ahora se han congelado o interceptado unos 2.850 millones de dólares de los activos robados. Empresas de seguridad independientes revisarán las conclusiones de Binance. El FBI atribuye el ataque a TraderTraitor, un grupo respaldado por el Estado norcoreano.
Un patrón conocido
Las ofertas de empleo falsas con «pruebas» son un método conocido de grupos vinculados a Corea del Norte para infiltrarse en empresas cripto. Funciona porque aprovecha un comportamiento normal: los candidatos quieren causar buena impresión, y descargar un ejercicio de programación parece inofensivo.
El engaño no se dirige solo a empleados de exchanges. También se apunta a desarrolladores, autónomos y usuarios particulares de cripto, con ofertas de trabajo, propuestas de colaboración o invitaciones a videollamadas que exigen instalar un software supuestamente necesario.
Cómo protegerte
- Comprueba la empresa por tu cuenta: revisa la web, la trayectoria de la empresa y el perfil de quien te contacta. Ante la duda, contacta con la empresa por sus canales oficiales.
- No ejecutes código desconocido en dispositivos importantes: las pruebas de programación, los «archivos de proyecto» o las herramientas de contactos desconocidos no deben estar en un ordenador con acceso a tus sistemas de trabajo o a tus criptomonedas. Los desarrolladores deberían usar un dispositivo aparte o una máquina virtual aislada.
- Desconfía de las peticiones de descarga: que te pidan instalar una app de reuniones concreta, una «actualización» o un archivo para completar una tarea es una señal de alerta clásica.
- Separa tus dispositivos: usa lo menos posible el ordenador con el que gestionas tus bitcoins para pruebas, descargas y software desconocido.
- Mantén tus claves fuera del ordenador: con un monedero de hardware, el malware de tu ordenador no puede leer tus claves privadas; aun así, comprueba siempre la dirección en la pantalla del dispositivo.
Por qué importa
El caso Binance demuestra que el eslabón más débil de la seguridad no suele ser la tecnología, sino un único momento de confianza. Eso vale tanto para un gran exchange como para los particulares. Más sobre el hackeo en nuestro artículo Hackeo de Binance: qué significa el robo de 6.300 millones de dólares para tus bitcoins, y otras estafas habituales en nuestra guía 5 estafas comunes en el mundo cripto, y cómo detectarlas.
Fuentes
