Cuando pensamos en un gran robo informático, imaginamos a alguien tecleando a toda velocidad para saltarse un cortafuegos. El robo que ha sufrido Binance, una de las mayores plataformas de compraventa de criptomonedas del mundo, fue muy distinto. Según el informe de la propia empresa, recogido por Reuters a través de NBC News y por Ars Technica, los atacantes pasaron meses preparando el golpe. Lo hicieron con métodos tan corrientes como un anuncio, una descarga y una oferta de empleo.

Se llevaron unos 6.300 millones de dólares, una cifra que varios medios señalan como posiblemente el mayor robo financiero de la historia. Lo que más interesa a cualquiera que trabaje delante de un ordenador es cómo lo consiguieron.

Cómo se preparó el ataque, paso a paso

La cronología que ha publicado Binance tiene cuatro fases:

• Junio. Un miembro del equipo que desarrolla los monederos de la plataforma vio un anuncio de una herramienta de programación con inteligencia artificial y se descargó una versión manipulada. La empresa lo detectó, cambió el equipo y renovó sus credenciales. Pero los atacantes ya sabían qué puesto tenía ese empleado y quiénes eran sus compañeros de equipo.
• Septiembre. Otro ingeniero que buscaba trabajo pasó por un proceso de selección que parecía real. Hubo varias rondas de entrevistas, primero con alguien que se presentaba como responsable de recursos humanos y después con un supuesto directivo de una empresa que no existía. Según Fortune, el primer contacto fue por una red social profesional. Al final le pidieron una prueba técnica, y el repositorio de código que descargó para hacerla escondía software malicioso.
• 20 de octubre. Desde ese ordenador infectado, y con ayuda de una herramienta interna de IA de la propia empresa, los atacantes tomaron el control de los equipos de dos desarrolladores del equipo de monederos.
• 29 de octubre. Con las credenciales robadas en la primera fase, lanzaron un script que generó retiradas de fondos no autorizadas. El dinero salió ese mismo día.

Al principio Binance habló de un solo portátil comprometido. Una revisión más amplia sacó a la luz toda la cadena de fallos, como explica ITPro. Según Fox Business, la empresa asegura que no encontró indicios de que se hubieran comprometido las claves privadas de sus monederos. Los atacantes no rompieron la criptografía. Se aprovecharon de los permisos legítimos de personas con acceso.

Por qué funcionan estos trucos

Los especialistas en seguridad llaman a esto ingeniería social: en vez de atacar a la máquina, se engaña a la persona. Una entrevista de trabajo es el escenario perfecto. El candidato quiere causar buena impresión y espera que le pongan una prueba técnica, así que no le extraña descargar y ejecutar código de un desconocido. Cuesta desconfiar de un proceso con varias entrevistas y una videollamada con el "jefe".

La herramienta de programación manipulada es otro clásico que va a más: el ataque a la cadena de suministro. Los desarrolladores instalan a diario extensiones, paquetes y utilidades, muchas veces desde anuncios o repositorios de terceros. Si una de esas piezas está alterada, el atacante entra con los mismos permisos que la persona que la ha instalado.

El tercer ingrediente es el más nuevo. Una vez dentro, los atacantes usaron un asistente interno de IA para moverse por los sistemas y ejecutar operaciones. Las herramientas que hacen más productivos a los empleados también pueden acelerar el trabajo de un intruso si tienen demasiados permisos.

Qué pasa con los clientes y la letra pequeña

Binance ha dicho que devolverá el dinero a todos los clientes afectados. Según Fox Business, ya ha repuesto cerca del 90 % de los activos robados con su fondo de protección de usuarios y con fondos propios. La empresa lo resumió así: "Los usuarios no soportarán el impacto financiero de este incidente". También ha pausado temporalmente los depósitos y las retiradas. Además, se han congelado unos 3.000 millones de dólares con ayuda de otras empresas del sector y de firmas de análisis de cadenas de bloques.

Hay matices. La investigación sigue abierta y algunos detalles cambian de un medio a otro: unos ponen el foco en la entrevista falsa y otros en el portátil de un ingeniero de operaciones. Que la empresa pueda cubrir las pérdidas tampoco significa que el riesgo desaparezca. Depende de la solvencia y de la voluntad de cada plataforma, y no todas tienen un fondo así. Binance ha anunciado que invertirá más en detección de amenazas con IA y que creará un fondo de investigación en seguridad.

Para quien trabaja en tecnología, la lección práctica es clara:

• No ejecutes en tu equipo de trabajo el código de una prueba técnica de un proceso de selección. Si acaso, hazlo en una máquina virtual aislada.
• Descarga herramientas solo de sus canales oficiales, nunca desde un anuncio.
• Comprueba que la empresa que te entrevista existe por vías independientes.
• Pide que los asistentes y servicios internos tengan solo los permisos imprescindibles.

Por qué importa

Este robo demuestra que la seguridad de un sistema que mueve miles de millones puede depender de algo tan humano como las ganas de conseguir un trabajo mejor. Los atacantes no necesitaron romper ningún cifrado. Les bastó con paciencia, buena información sobre quién hacía qué y unas herramientas de confianza con permisos de más. Ahora que la IA se cuela en todos los flujos de trabajo, la pregunta ya no es solo si un programa es seguro, sino qué puede hacer en nombre de quien lo usa.