Un incidente de seguridad encendió las alarmas en el sector de las criptomonedas luego de que Binance reportara un ataque informático que habría permitido a delincuentes acceder a sus sistemas internos y ejecutar transacciones de retiro sin autorización.
La investigación preliminar de la compañía apuntó al computador portátil de un ingeniero del área de DevOps, encargado de gestionar la infraestructura tecnológica y garantizar el funcionamiento de los servicios digitales.
De acuerdo con la explicación de la plataforma, el dispositivo habría sido comprometido, lo que facilitó el acceso de un atacante a un contenedor de servicios desde el cual se ejecutaron operaciones no autorizadas.
La magnitud del incidente también generó preocupación. Binance estimó inicialmente que el impacto económico podría rondar los 6.300 millones de dólares. No obstante, aclaró que, hasta el momento, no había encontrado evidencias de que las claves privadas de las billeteras, necesarias para autorizar movimientos de criptomonedas, hubieran sido filtradas.
Binance's initial investigation suggests that the security incident may involve a compromised DevOps engineer’s laptop, which allowed an attacker to gain access to a service container and submit unauthorized withdrawal transactions. We have found no evidence of any wallet private… pic.twitter.com/5REncAI77y
— Binance (@binance) October 30, 2026
La compañía también informó que estaba trabajando con diferentes socios del ecosistema blockchain para rastrear los activos afectados y evitar que los responsables pudieran disponer de ellos.
Para entender cómo el computador de un empleado puede convertirse en una puerta de entrada a los sistemas críticos de una organización, SEMANA consultó a Caio Motta, Senior Solutions Architect de Chainalysis para Latinoamérica y el Caribe.
El especialista explicó que los equipos de DevOps suelen tener acceso a herramientas que permiten desplegar programas, administrar servicios y mantener la infraestructura tecnológica. Por esta razón, si uno de estos dispositivos cae en manos de un atacante, puede convertirse en un punto de acceso a otros sistemas.
“Si un atacante compromete uno de esos equipos, podría obtener credenciales, sesiones activas o permisos que le permitan avanzar hacia otros entornos”, señaló.
Motta también aclaró que todavía no se conoce con exactitud cómo se desarrolló toda la intrusión. Sin embargo, destacó algunas medidas que pueden ayudar a reducir el alcance de este tipo de incidentes: limitar los permisos de cada usuario, mantener separados los entornos tecnológicos y exigir autorizaciones independientes para operaciones sensibles.
Por otra parte, algunas firmas especializadas en el análisis de blockchain han planteado posibles vínculos entre el ataque y TraderTraitor, un grupo de ciberdelincuentes relacionado con Corea del Norte.
Uno de los elementos que respaldaría esta hipótesis es el movimiento de los fondos sustraídos, que posteriormente se habrían mezclado con recursos provenientes de un ataque anterior contra Bitget, también atribuido a actores norcoreanos.
Sin embargo, establecer quién está detrás de un ciberataque requiere mucho más que identificar el recorrido del dinero. Los investigadores deben reunir y contrastar diferentes evidencias, como las direcciones digitales utilizadas, los servicios a los que recurren los responsables y las posibles conexiones con operaciones anteriores.
También es necesario examinar aspectos técnicos, entre ellos la infraestructura y las herramientas empleadas durante la intrusión. La combinación de estas pistas permite reconocer patrones y establecer si un incidente podría estar relacionado con grupos que han participado en ataques similares.
En este contexto, Motta advirtió que las estrategias de los ciberdelincuentes para atacar el ecosistema de las criptomonedas han evolucionado.
Según explicó, los riesgos ya no se concentran únicamente en las fallas de los contratos inteligentes, sino que también involucran los dispositivos de los empleados, las credenciales de acceso, los proveedores y los procesos internos de autorización.
“El objetivo es encontrar una vía que permita ejecutar operaciones aparentemente legítimas sin el consentimiento de la organización”, aseguró.
Finalmente, concluyó: “También observamos una mayor velocidad y complejidad en el movimiento de los fondos robados. En este caso, identificamos miles de transacciones en poco tiempo, circulación repetida entre direcciones y secuencias consistentes que sugieren automatización”