La bóveda no se forzó. Alguien entró con una llave legítima.
Así se puede resumir el hackeo que sufrió Binance, el más grande registrado hasta ahora en el mundo de las criptomonedas: alrededor de 6.300 millones de dólares. Según la propia plataforma, los atacantes no obtuvieron las claves privadas de sus billeteras, que suele ser el objetivo principal en este tipo de robos. El acceso llegó por otro lado: el portátil de un ingeniero de DevOps, el área encargada de llevar el software a producción y mantenerlo funcionando. Desde ese equipo, los atacantes alcanzaron un contenedor de servicio y ejecutaron retiros como si fueran operaciones normales de la empresa.
Es un caso que vale la pena entender con calma, porque muestra un riesgo que va mucho más allá de las criptomonedas: la seguridad de una organización depende tanto de su tecnología como de los equipos y permisos de las personas que la operan.
Cómo entraron
En el desarrollo de software moderno, las aplicaciones se dividen en piezas pequeñas que funcionan de manera independiente. Cada pieza vive en un «contenedor», una especie de caja que guarda el programa junto con todo lo que necesita para ejecutarse. La ventaja es que estas cajas se pueden actualizar, mover o reemplazar sin afectar al resto del sistema.
El problema aparece cuando alguien no autorizado logra entrar a una de ellas. Desde adentro puede usar las funciones que ese contenedor tiene permitidas. En el caso de Binance, entre esas funciones estaban las órdenes de retiro de fondos.
Binance no ha detallado cómo se vio comprometido el portátil del ingeniero. Las posibilidades más comunes en incidentes de este tipo son tres: un engaño dirigido al empleado, como un correo o un mensaje que parece legítimo; un programa malicioso diseñado a la medida para ese objetivo; o el robo de sus credenciales de acceso. Cualquiera de ellas lleva a la misma reflexión: en muchas empresas, el perímetro real de seguridad no es el muro exterior, sino los dispositivos de las personas con permisos elevados.
Qué es la «confianza cero» y por qué se menciona tanto
Durante años, la seguridad informática se pensó como un castillo: un muro fuerte por fuera y libertad de movimiento por dentro. Si alguien estaba adentro, se asumía que era de confianza.
El modelo de «confianza cero» (zero trust) parte de la idea contraria: nadie recibe acceso automático, ni siquiera los empleados. Cada solicitud se verifica, cada persona tiene solo los permisos que necesita para su trabajo y cualquier actividad inusual se revisa. Aplicado a este caso, significa que un solo portátil comprometido no debería bastar para ordenar retiros millonarios.
Las pistas apuntan a Corea del Norte
El dinero robado comenzó a moverse rápidamente. Investigadores que siguen transacciones en la cadena de bloques, entre ellos el conocido analista ZachXBT, identificaron que parte de los fondos se mezcló con dinero del hackeo a la plataforma Bitget, ocurrido en septiembre, a través del servicio THORChain.
Esa conexión es relevante porque el robo a Bitget se atribuyó a TraderTraitor, un grupo vinculado a Corea del Norte. Si el vínculo se confirma, el ataque a Binance no sería obra de delincuentes oportunistas, sino de un equipo con recursos, experiencia y paciencia, con el objetivo de obtener dinero a gran escala. Este tipo de grupos suele planear sus operaciones durante meses y estudiar con detalle a las personas que trabajan en sus objetivos.
Qué pasa con los usuarios
Binance aseguró que los usuarios no perderán sus fondos. La empresa cubrirá las pérdidas con recursos propios y con SAFU, su fondo de protección para usuarios, creado precisamente para situaciones de este tipo. También anunció que publicará un análisis técnico del incidente y una prueba de reservas actualizada, un informe que permite verificar que la plataforma tiene los activos que dice tener.
El efecto, sin embargo, ya se sintió más allá de Binance. Tether y Circle, emisores de las monedas estables más utilizadas, congelaron más de 3.000 millones de dólares relacionados con el ataque. Es una muestra de cómo, en este ecosistema, lo que ocurre en una plataforma termina afectando a muchas otras.
Lecciones para empresas
- Los equipos de quienes tienen permisos críticos merecen protección especial. Cifrado, autenticación fuerte y monitoreo permanente deberían ser la norma en los portátiles de quienes pueden mover dinero o modificar sistemas.
- La transparencia ayuda a recuperar la confianza. Un informe técnico claro y una prueba de reservas verificable dicen más que cualquier comunicado.
- El tamaño no garantiza la seguridad. Una plataforma de este alcance también puede tener un punto débil, y casi siempre está relacionado con personas y permisos.
Y para los usuarios
Aunque este ataque no dependió de los clientes, deja recomendaciones útiles para cualquier persona que use plataformas digitales:
- Activar la verificación en dos pasos, preferiblemente con una aplicación de autenticación o una llave de seguridad en lugar de mensajes de texto.
- Desconfiar de mensajes que mencionen el hackeo y ofrezcan reembolsos o pidan datos: después de incidentes como este suelen aparecer estafas que aprovechan la noticia.
- Usar solo los canales oficiales de la plataforma para revisar el estado de una cuenta.
La tecnología de blockchain no fue la que falló. El punto débil estuvo, como ocurre con frecuencia, en un equipo, una persona y un permiso que no tuvo los controles suficientes.
