Norcoreanos, vinculados al grupo Lazarus, robaron aproximadamente 6.34 mil millones de dólares de Binance mediante una entrevista de trabajo falsa. El ataque comenzó cuando un ingeniero instaló malware disfrazado de una prueba de código, permitiendo a los atacantes comprometer la infraestructura de billeteras de la empresa. Binance ya ha recuperado gran parte de los activos y reconstruido sus sistemas afectados.





El exchange de criptomonedas Binance afirma que hackers norcoreanos utilizaron una entrevista de trabajo falsa para engañar a un empleado y que instalara un malware que, en última instancia, les permitió comprometer la infraestructura de billeteras de la empresa y robar aproximadamente 6.34 mil millones de dólares en activos digitales.

Esta nueva información fue compartida en un informe de incidentes publicado hoy, que detalla cómo los atacantes utilizaron ingeniería social, software malicioso y sistemas internos comprometidos para llevar a cabo el robo de criptomonedas el 29 de octubre.

Como se informó anteriormente, el FBI atribuyó el ataque a hackers patrocinados por el estado de Corea del Norte conocidos como TraderTraitor, también rastreados como Lazarus Group, Jade Sleet y APT38.


Binance dice que el ataque comenzó en septiembre cuando un ingeniero de software fue contactado a través de una plataforma legítima de búsqueda de empleo por alguien que se hacía pasar por un Director de Proyecto de una empresa ficticia.

El perfil del empleado hacía referencia a su experiencia en Binance, lo que lo convirtió en un objetivo valioso para los atacantes que buscaban vulnerar el exchange de criptomonedas.

El falso reclutador programó dos entrevistas para el empleado, primero con alguien que se hacía pasar por un representante de recursos humanos y luego con otra persona que afirmaba ser el CEO de la empresa.

Durante la primera entrevista, el falso representante de RR.HH. realizó una videollamada en vivo y compartió una cuenta de redes sociales con fotos y videos personales para generar confianza.

La segunda entrevista tuvo lugar a través de una popular aplicación de chat social donde se le indicó al empleado que descargara una tarea de programación desde un repositorio de código en línea.

Según Binance, el repositorio contenía código malicioso que, al ejecutarse, comprometió el dispositivo del empleado con un malware personalizado nunca visto anteriormente que el software antivirus no detectó.

"El malware empleó sofisticadas técnicas de ofuscación y evasión, incluyendo la sustitución de un componente legítimo de una herramienta de desarrollo por una versión maliciosa para ejecutar comandos y establecer comunicación con un servidor externo controlado por el atacante", explicó Binance.

"El malware de día cero (0-day) no fue detectado por las herramientas de protección de seguridad de endpoints en ese momento. El atacante también tomó medidas para ocultar la actividad maliciosa y eliminar los rastros del compromiso, haciendo que la detección y la investigación posterior fueran más difíciles".

Binance explicó que el script malicioso creó un ejecutable de reemplazo llamado pyenv_ en el directorio de instalación de macOS Homebrew.

Luego, el script eliminó el ejecutable pyenv legítimo, renombró el archivo malicioso como pyenv, modificó su enlace simbólico y lo utilizó para generar un proceso de Z shell (zsh).

El reemplazo malicioso permitió a los atacantes ejecutar comandos recibidos desde un servidor controlado por ellos.

Para el 20 de octubre, los atacantes habían utilizado la computadora del ingeniero comprometido y una herramienta de IA interna para comprometer a otros dos empleados que trabajaban en la infraestructura de billeteras de Binance, obteniendo credenciales y un token de despliegue de contenedores.

El 29 de octubre, los hackers utilizaron las credenciales robadas para desplegar un script malicioso y obtener acceso no autorizado al servicio de firma de billeteras de Binance, permitiéndoles transferir miles de millones de dólares en criptomonedas a través de múltiples blockchains.

Los atacantes también abusaron del mecanismo de autorización EIP-7702 de Ethereum, lo que les permitió seguir robando criptomonedas incluso después de que el exchange suspendiera los retiros.

Binance afirma que desde entonces ha reconstruido los sistemas afectados, reemplazado los dispositivos comprometidos y revocado las credenciales robadas.

Al 3 de noviembre, aproximadamente 2.85 mil millones de dólares en activos robados habían sido congelados o interceptados, mientras que el 98% de los activos de tokens impactados habían sido repuestos al 31 de octubre.

Binance dice que continúa investigando la brecha y ha contratado firmas de seguridad independientes para revisar sus hallazgos.

Entrevistas de trabajo maliciosas

Las entrevistas de trabajo falsas que conducen a la instalación de malware son una táctica común en las campañas de hacking de Corea del Norte conocidas como Contagious Interview y Operation Dream Job. Estas campañas utilizan ofertas de trabajo y entrevistas falsas para engañar a desarrolladores y empleados de criptomonedas para que instalen malware.

En junio de 2025, la firma de ciberseguridad Socket informó que una campaña de Contagious Interview suplantó a reclutadores en LinkedIn y envió a los desarrolladores tareas de programación que contenían paquetes npm maliciosos.

Como parte de estos ataques, los hackers distribuyeron 35 paquetes npm maliciosos que instalaban malware, permitiéndoles robar credenciales del navegador, datos de billeteras de criptomonedas y otra información de las computadoras infectadas.

Los hackers Lazarus de Corea del Norte también han utilizado tácticas similares en Operation Dream Job, distribuyendo malware disfrazado de documentos de empleo a personas que trabajan en desarrollo de software y empresas de DeFi.

Aunque Binance no ha vinculado el compromiso del empleado a ninguna de estas campañas específicas, el uso de un reclutador falso, múltiples entrevistas y una tarea de programación maliciosa refleja estrechamente estas tácticas norcoreanas previamente documentadas.

Fuente:
BleepingComputer