🛡 CIBERCRIMEN 🛡

Una laptop comprometida, miles de millones en pérdidas: la advertencia sobre la ruta de ataque de Binance.

⏰3 de noviembre de 2026🛡CyberObservatorio

Idioma

◢ CIBERCRIMEN ◣

Una laptop comprometida, miles de millones en pérdidas: la advertencia sobre la ruta de ataque de Binance.

⟫ 02/11/2026 ⟫ Jai Vijayan

Fuente: Dark Reading

**La Brecha de Seguridad de Binance: Un Caso Paradigmático de Vulnerabilidades en la Ciberseguridad**

La reciente brecha de seguridad en Binance, que ha costado a la plataforma de intercambio de criptomonedas la asombrosa cifra de 6.300 millones de dólares, pone de relieve la importancia crítica de la ciberseguridad en el ámbito de las criptomonedas. Esta situación no solo afecta a Binance y sus usuarios, sino que resuena en toda la industria de servicios financieros digitales, que sigue en una lucha constante por establecer medidas de protección efectivas ante las crecientes amenazas cibernéticas.

El incidente ha sido atribuido por el FBI al grupo de hackers norcoreano conocido como TraderTraitor, quienes comprometieron el portátil de un desarrollador para acceder a un contenedor de servicio interno con permisos que les permitieron iniciar solicitudes de retiro. Este acceso sirvió como punto de partida para que los atacantes explotaran otros puntos de vulnerabilidad y utilizaran un mecanismo de delegación de cuentas de Ethereum para obtener autoridad de aprobación de transacciones sobre una "hot wallet". En cuestión de aproximadamente 20 minutos, los atacantes lograron drenar miles de millones de dólares en activos.

Los detalles hasta ahora revelados sugieren que los atacantes pudieron eludir los controles de aprobación normales de Binance. La empresa ha afirmado que no hay evidencia de que se utilizaran claves de billetera filtradas para llevar a cabo este robo masivo. "Las primeras conclusiones de Binance apuntaron a un portátil comprometido de un empleado como punto de partida. La investigación posterior ha identificado otros puntos de brecha, lo que demuestra que el incidente fue más allá de un solo dispositivo", ha declarado la plataforma.

Este incidente ha suscitado interrogantes sobre si Binance contaba con suficientes salvaguardias independientes para evitar que un sistema comprometido aprobara y ejecutara retiros no autorizados. Tim Rawlins, asesor senior y director de seguridad en NCC Group, subraya que, como mínimo, una plataforma que maneja activos digitales debe contar con múltiples capas de seguridad para que ninguna única brecha, como un portátil de empleado hackeado, pueda autorizar una transferencia. Estas capas de seguridad deben ser independientes entre sí.

Para limitar el impacto de un compromiso, es esencial que los fondos se separen entre "hot wallets" y "cold wallets". Los desarrolladores y administradores deberían trabajar en estaciones de acceso privilegiado, asegurando que los sistemas utilizados para operaciones críticas estén separados de aquellos que se utilizan para actividades cotidianas como el correo electrónico y la navegación web. Además, el monitoreo continuo para detectar comportamientos anómalos es fundamental para identificar puntos finales comprometidos y actividades sospechosas antes de que los atacantes puedan explotar el acceso privilegiado.

Un enfoque efectivo debe centrarse en identificar puntos únicos de compromiso, como componentes o roles privilegiados cuya violación pueda otorgar a un atacante el control sobre los fondos. "Proteger las claves privadas es solo parte del desafío. Los sistemas que solicitan y aprueban su uso también deben estar asegurados. Un sistema adecuadamente protegido tiene controles en capas, independientes, separación entre 'hot' y 'cold', y ha pasado por modelado de amenazas y pruebas de seguridad de extremo a extremo", señala Rawlins.

Aún persisten interrogantes sobre cómo ocurrieron exactamente las transacciones no autorizadas y qué medidas de protección tenía Binance en su lugar para prevenirlas. Tras el ataque, el intercambio de criptomonedas actuó rápidamente, congelando alrededor de 3.000 millones de dólares. También ha afirmado haber reabastecido, aunque no recuperado, aproximadamente el 95% de los activos afectados, lo que significa que utilizó sus propios fondos para reemplazar los activos robados.

Los intercambios de criptomonedas enfrentan muchas de las mismas amenazas que las instituciones financieras tradicionales. Sin embargo, a diferencia de los bancos y otras instituciones financieras, que han estado sujetas a regulaciones que rigen el riesgo operativo y la seguridad, los intercambios de criptomonedas aún no han enfrentado el mismo nivel de supervisión, lo que los convierte en un objetivo popular para los atacantes.

John Bruggeman, vCISO en la firma de servicios de TI CBTS, destaca que los grandes intercambios de criptomonedas como Binance deben ser conscientes de que están siendo constantemente atacados por actores maliciosos. Además de los controles que protegen el perímetro o autentican a los usuarios, estas empresas también deben conocer qué pueden hacer las identidades y sistemas de confianza, verificar acciones de alto impacto y prevenir que un componente comprometido se convierta en un camino hacia activos valiosos.

Esto implica la segregación de funciones, la gestión de claves privadas que autorizan transferencias, límites en el tamaño de las transferencias, autenticación multifactor en el uso de la clave privada, monitoreo y alertas para transferencias grandes, así como detección de endpoints en todos los dispositivos de los empleados, según Bruggeman.

El análisis del comportamiento del usuario para todos los usuarios también es crucial. Desde el punto de vista arquitectónico, organizaciones como Binance deberían contar con mecanismos de custodia para proteger las criptomonedas y las billeteras, controles de transacción sobre cómo mover la criptomoneda, algún tipo de límites de tasa en los retiros, controles de identidad y acceso, así como la segregación de funciones para que ningún usuario pueda iniciar y finalizar una transferencia simultáneamente.

La brecha de Binance sirve como un recordatorio importante de por qué todas las organizaciones deben probar el camino que los atacantes pueden tomar después de haber ganado acceso inicial a un entorno y no asumir que los controles individuales, cada uno funcionando como se debe, son una protección suficiente. "El punto de entrada y el daño pueden estar muy alejados entre sí, así que deja de evaluar tu seguridad por lo bien que aguanta la puerta principal", advierte Waseem Ahmed, jefe de ingeniería en Secure.com.

El enfoque tradicional hacia la seguridad se centra en verificar si una solicitud es válida, pero rara vez se comprueba si la acción subyacente debería llevarse a cabo. La información disponible sugiere que los atacantes utilizaron el propio sistema de firma de Binance para firmar las transferencias, de modo que parecían válidas al salir. Fue una "matemática correcta, pero una decisión incorrecta", afirma Ahmed.

La seguridad debe transitar de la verificación de identidad a la gobernanza de las consecuencias. Esto implica establecer un control de aprobación humano antes de cualquier acción que mueva dinero o datos, con límites que se cuenten en todos los sistemas simultáneamente. "Y prueba toda la ruta desde el portátil hasta el pago, no cada caja de forma aislada", aconseja Ahmed.

El escenario del ataque a Binance podría reproducirse en cualquier empresa. "Cambia el servicio de retiro por un sistema de pago, una base de datos de clientes o un pipeline de despliegue, y esto es una violación de empresa ordinaria", señala. "Un informe limpio de cada herramienta que posees no te dice nada sobre si alguien puede caminar desde un portátil hasta el dinero, porque ninguna herramienta individual se formula esa pregunta".

Robert Coles, gerente senior de inteligencia de amenazas en Black Duck, enfatiza que la lección más amplia para las organizaciones no se trata realmente de criptomonedas o del ataque a Binance en sí. Más bien, se trata del radio de explosión, o lo que sucede después de la violación inicial. Es una cosa, dice, que un atacante obtenga acceso inicial. Pero convertir eso en un robo de miles de millones de dólares es completamente diferente.

"Cada organización tiene sistemas críticos y cuentas privilegiadas donde un compromiso puede tener un impacto mucho mayor", señala Coles. "Pasamos mucho tiempo preguntando cómo mantener a los atacantes fuera. Deberíamos dedicar el mismo tiempo a preguntar: 'Si logran entrar, ¿qué les detiene después?'"

Los equipos de seguridad deben asumir que eventualmente algo será comprometido y asegurarse de que una brecha no se convierta en un evento empresarial catastrófico, remarcó Coles.

La brecha de Binance, la mayor en términos de magnitud, no es en absoluto la primera que afecta a un importante intercambio de criptomonedas. En febrero de 2025, Bybit perdió aproximadamente 1.500 millones de dólares en criptomonedas tras la manipulación de un proceso de aprobación de transacciones que involucraba una billetera fría de Ethereum. En mayo de 2019, Binance perdió 7.000 bitcoins después de que los atacantes obtuvieron claves API de usuarios y códigos de autenticación de dos factores para eludir los controles de seguridad existentes. En octubre de este año, atacantes comprometieron un script de terceros en el sitio web de Polymarket y lo utilizaron para mover fondos de algunas billeteras de usuarios.

Los actores de amenazas norcoreanos han sido especialmente agresivos al atacar intercambios de criptomonedas y billeteras en general, representando el 76% de todo el dinero que los comerciantes han reportado como robado hasta ahora en 2026. En seis de los últimos nueve años, grupos de la nación con problemas económicos han representado al menos un tercio de todos los robos de criptomonedas reportados.

◢ CIBERCRIMEN ◣

One Compromised Laptop, Billions Lost: The Binance Attack-Path Warning

⟫ 02/11/2026 ⟫ Jai Vijayan

Source: Dark Reading

Last week's$6.3 billion breach at Binanceunderscores why effective security often depends not just on what an organization's controls are designed to block, but also on what they are configured to allow. Details from Binance's disclosures thus far show that a threat actor, whom theFBIhas identified as North Korea's TraderTraitor group, compromised a developer's laptop to access an internal service container with the permissions to initiate withdrawal requests. Using that access as a starting point, the attackers exploited additional points of compromise and anEthereumaccount-delegation mechanism to gain transaction approval authority over a hot wallet. And in around 20 minutes, the threat actors drained billions of dollars in assets. In the process, the attackers appear to have bypassed Binance's normal approval controls. The company itself has said there's no evidence the attackers used any leaked wallet keys to carry out the massive theft. "Binance's initial findings pointed to a compromised laptop belonging to an employee as the starting point. Its subsequent investigation has identified additional points of breach, showing the incident went beyond one device," the cryptocurrency exchange noted. The incident, at least based on available details so far, has raised questions about whether Binance had sufficient independent safeguards to prevent a compromised system from approving and executing unauthorized withdrawals. "At a minimum, a platform holding digital assets should have multiple layers of security so no single compromise, such as a hacked employee laptop, can authorize a transfer," says Tim Rawlins, senior adviser and director of security at NCC Group. "Those layers need to be independent of one another." Funds, for instance, should be separated across hot andcold walletsto limit the impact of a compromise. Developers and administrators should have privileged access workstations to ensure systems they used for critical operations are separate from those they use for other activities such as email and Web browsing, he says. Also critical is 24/7 monitoring for anomalous behavior to help detect compromised endpoints and suspicious activity before attackers can exploit privileged access. The focus should be on identifying single points of compromise, such as components or privileged roles whose compromise could give an attacker control over funds. "Protecting private keys is only part of the challenge. The systems that request and approve their use must also be secured. A properly secured system has layered, independent controls, hot/cold separation, and has been through threat modelling and end-to-end security testing," Rawlins says. For now, much remains unclear about exactly how the unauthorized transactions occurred and what safeguards Binance had in place to protect against them. Following the attack, the cryptocurrency exchange moved quickly tofreeze some $3 billion. It has also claimed to have replenished — though not recovered — approximately95% of the affected assets, meaning it has used its own funds to replace the stolen assets. Cryptocurrency exchanges face many of the same threats as traditional financial institutions. But unlike banks and other financial institutions, which have long been subject to regulations governing operational risk and security, crypto exchanges have not yet faced the same level of oversight, making them a popular target for attackers. John Bruggeman, vCISO at IT services firm CBTS, says large cryptocurrenct exchanges like Binance have to know that they areconstantly being targetedby threat actors. In addition to controls that protect the perimeter or authenticate users, these companies also need to know what trusted identities and systems can do, verify high-impact actions, and prevent one compromised component from becoming a path to valuable assets. That means segregation of duties, management of private keys that authorize transfers, limits on the size of a transfer, MFA on the use of the private key monitoring, alerting for large transfers, and endpoint detection on all employee devices, Bruggeman says. Also key is user behavior analysis for all users. Architecturally, organizations like Binance should have custody mechanisms for protecting the cryptocurrency and wallets themselves, transaction controls on how to move the cryptocurrency, some kind of rate limits on withdrawals, identity and access controls, and segregation of duties so no one user can initiate and also finalize a transfer, Bruggeman says. The Binance breach is an important reminder of why all organizations need to test the path that attackers can potentially take after gaining initial access to an environment and not assume that individual controls, each working as they should, are sufficient protection, analysts said. "The entry point and the damage can sit very far apart, so stop grading your security by how well the front door holds," says Waseem Ahmed, head of engineering at Secure.com. The traditional approach to security is to check whether a request is valid. It almost never checks whether the action behind it should happen, he says. Available information suggests the attackers used Binance's own signing system to sign the transfers, so they looked valid on the way out. It was the "correct math, wrong decision," Ahmed says. Security has to move from proving identity to governing consequences, he says. That means putting a human approval gate in front of any action that moves money or data, with limits that count across every system at once. "And test the whole route from laptop to payout, not each box on its own," Ahmed advises. The Binance attack scenario can play out in any enterprise, too. "Swap out the withdrawal service for a payment system, a customer database, or a deployment pipeline, and this is an ordinary enterprise breach," he says. "A clean report from every tool you own tells you nothing about whether someone can walk from a laptop to the money, because no single tool is asked that question." Robert Coles, senior manager of threat intelligence security at Black Duck, says the broader takeaway for organizations isn't really about cryptocurrency or the attack on Binance itself. Rather, it's about the blast radius, or what happens after initial break-in. It's one thing, he says, for an attacker to gain initial access. But turning that into a theft of billions of dollars is another entirely. "Every organization has critical systems and privileged accounts where a compromise can have a much bigger impact," Coles says. "We spend a lot of time asking how we keep attackers out. We should spend just as much time asking, ‘If they do get in, what stops them next?'" Security teams must assume something eventually will get compromised and make sure that one compromise doesn't become a catastrophic business event, Coles noted. The Binance breach, the biggest ever by magnitude, is by no means the first to affect a major cryptocurrency exchange. In February 2025,Bybit lost approximately $1.5 billionin cryptocurrency after attackers manipulated a transaction approval process involving an Ethereum cold wallet. In May 2019,Binance itself lost 7,000 bitcoinafter attackers obtained user API keys and two-factor authentication codes to bypass existing security checks. In October this year, attackers compromised a third-party script onPolymarket's websiteand used it to move funds from some user wallets. North Korean threat actors have been especially aggressive in targeting crypto exchanges and wallets in general and account for 76% of all the money that traders have reported as stolen so far in 2026. In six of the past nine years, groups from the cash-strapped nation have accounted for at least one-third of all reported cryptocurrency theft.

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD