Tokio. Hackers vinculados a Corea del Norte han robado criptomonedas por un valor aproximado de 6.300 millones de dólares de Binance, la mayor bolsa de criptomonedas del mundo. El ataque comenzó el 29 de octubre alrededor de las 16:20, hora del este de Estados Unidos, e involucró fondos depositados en billeteras calientes conectadas a internet.

Los atacantes distribuyeron los activos entre diez cadenas de bloques y numerosas transacciones pequeñas. Según Chainalysis, intercambiaron 325 millones de dólares en monedas estables por Ether valorado en 285 millones de dólares en menos de 20 minutos, aceptando un descuento superior al 10 %. La rápida conversión tenía como objetivo impedir que los emisores congelaran las monedas estables.

Una respuesta de emergencia en la que participaron Binance, emisores de monedas estables, incluidos Tether y Circle, autoridades y empresas de análisis de cadenas de bloques logró congelar entre 2.800 y 3.000 millones de dólares, según Chainalysis y Binance. Chainalysis describió la respuesta coordinada como una prueba de que la industria de las criptomonedas está adquiriendo mayor rapidez para actuar contra robos a gran escala.

Una parte importante de los activos robados está compuesta por Bitcoin y Ether, que no pueden congelarse de la misma manera. TRM Labs afirmó que los atacantes aún controlaban más de 420.000 ETH y 18.270 BTC, con un valor aproximado de 2.400 millones de dólares.

El método preciso utilizado para acceder a Binance sigue sin estar claro. La bolsa afirmó que el ataque probablemente comenzó con la intrusión en el portátil de un ingeniero informático. Según las acusaciones, los atacantes utilizaron el dispositivo para entrar en un sistema interno de servicios y autorizar retiros fraudulentos. Actualmente no hay indicios de que se hayan robado claves privadas de billeteras.

El codirector ejecutivo de Binance, Richard Teng, afirmó que los atacantes también desplegaron malware diseñado para borrar sus propios rastros. Es posible que utilizaran ingeniería social o phishing para obtener acceso al portátil y a otros sistemas, pero la vía de entrada continúa bajo investigación.

Binance se ha comprometido a cubrir todas las pérdidas de sus clientes. El domingo, la bolsa afirmó que había reemplazado alrededor del 95 % de los activos robados, utilizando su Fondo de Activos Seguros para los Usuarios, creado en 2018, junto con reservas corporativas por valor de varios miles de millones de dólares. La pérdida neta final podría reducirse si se recuperan los fondos congelados, aunque sigue sin estar claro si serán devueltos a Binance y cuándo.

La bolsa reanudó gradualmente los retiros el domingo, comenzando por Bitcoin. El FBI, el Servicio Secreto de Estados Unidos y la división de Investigación Criminal del IRS también advirtieron a los operadores sobre los esfuerzos del grupo conocido como TraderTraitor para mover los activos robados. Las agencias publicaron una lista de direcciones sospechosas.

Las autoridades afirmaron que los atacantes continuaban convirtiendo los activos robados principalmente en Ether. Se espera que blanqueen los fondos a través de plataformas de finanzas descentralizadas y servicios de intercambio instantáneo.

El grupo lleva años activo. Mandiant, la empresa de ciberseguridad propiedad de Google, lo identificó en 2023 como UNC4899, un actor norcoreano que anteriormente había atacado a empresas de criptomonedas. Mandiant evaluó con un alto grado de confianza que UNC4899 era una unidad del Buró General de Reconocimiento de Corea del Norte centrada en las criptomonedas y que probablemente correspondía a TraderTraitor.

TraderTraitor forma parte de una red más amplia utilizada por Corea del Norte para obtener divisas extranjeras mediante ciberataques, operaciones informáticas encubiertas y empresas pantalla. La red también incluye a Lazarus, APT38 —también conocido como Blue Noroff—, Andariel y Kimsuky, grupos asociados con el robo financiero, el ransomware y el espionaje.

Miles de trabajadores informáticos norcoreanos también han conseguido empleos de software en el extranjero utilizando identidades falsas, a menudo operando desde países como China y Rusia. Sus ingresos se transfieren principalmente a Corea del Norte. Chainalysis afirmó que los grupos norcoreanos colocan cada vez más a estos trabajadores dentro de empresas de criptomonedas para obtener acceso privilegiado que posteriormente pueda respaldar ataques.

Los hackers del país son seleccionados y entrenados desde una edad temprana, y los estudiantes que muestran una gran capacidad matemática reciben instrucción en programación. La formación competitiva y los estudios en universidades prestigiosas se centran no solo en la informática, sino también en resolver problemas complejos con recursos limitados.

Esa preparación ha ayudado a los grupos norcoreanos a volverse eficaces en ingeniería social y phishing. Ahora también utilizan inteligencia artificial para producir mensajes y solicitudes de empleo convincentes dirigidos a posibles objetivos. Después de centrarse inicialmente en los bancos, los grupos se orientaron hacia las criptomonedas a medida que el sector crecía, y el robo de Binance demuestra la magnitud constante de esa amenaza.

Fuentes: Handelsblatt.