La oferta de empleo que costó 6.300 millones de dólares

El pasado 3 de noviembre, BleepingComputer desvelaba los detalles del mayor robo de criptomonedas de la historia: 6.340 millones de dólares evaporados de Binance en apenas veinte minutos. El vector de entrada no fue un zero-day sofisticado ni una vulnerabilidad en el blockchain. Fue una oferta de trabajo en LinkedIn.

El casting más caro de Hollywood nunca existió

Imagina la escena. Un ingeniero de software de Binance —llamémosle Ingeniero B, como en el informe oficial— recibe un mensaje en una plataforma de empleo. Un supuesto Director de Proyecto le propone una primera ronda con Recursos Humanos, seguida de una segunda entrevista con el CEO de una empresa ficticia. Todo parece legítimo: fotos personales, vídeos en redes sociales, perfiles cuidados al milímetro. La ingeniería social llevada al nivel de producción cinematográfica.

En la segunda ronda, el ejercicio técnico resulta ser un repositorio con código malicioso camuflado en Base64. Al ejecutarlo, el portátil del ingeniero queda comprometido con malware a medida que ningún antivirus del mercado detecta. Ni uno.

Esto no es un guion de Mr. Robot. Es lo que el FBI ha atribuido oficialmente al grupo TraderTraitor, el brazo cibernético de Corea del Norte que opera bajo el paraguas del Grupo Lazarus.

El Homebrew envenenado: el aperitivo antes del banquete

Pero la entrevista falsa no fue el primer acto. Meses antes, en junio de 2026, otro ingeniero de Binance —Ingeniero A, del equipo de Wallet DevOps— descargó un instalador troyanizado de Homebrew al buscar una herramienta de programación con IA en un buscador. El paquete legítimo de pyenv fue reemplazado por una versión maliciosa: 3.414 bytes contra los 3.344 originales. Setenta bytes de diferencia entre la normalidad y el desastre.

Binance detectó la actividad sospechosa, sustituyó el dispositivo y rotó credenciales. Pero ya era tarde para lo que de verdad importaba: los atacantes habían cartografiado la estructura interna. Sabían quién gestionaba las wallets, quién tenía acceso a los contenedores de despliegue, quién era el eslabón más rentable de toda la cadena.

“El malware zero-day empleó técnicas sofisticadas de ofuscación y evasión, incluyendo la sustitución de un componente legítimo de una herramienta de desarrollo por una versión maliciosa.” — Informe de incidentes de Binance.

La herramienta de IA que se convirtió en caballo de Troya

Aquí es donde la historia da un giro que merece su propia temporada en Netflix. El 20 de octubre, nueve días antes del atraco, los atacantes usaron el ordenador comprometido del Ingeniero B para acceder a una herramienta interna de IA de Binance. No la explotaron: simplemente la usaron como la usaría cualquier empleado. La herramienta conectaba equipos entre departamentos, y al estar autenticados como un ingeniero legítimo, el tráfico parecía completamente normal.

Desde ahí, extendieron su control al Ingeniero A del equipo DevOps y a un tercer ingeniero de wallets. Encontraron un token de permisos para despliegue de contenedores. Y el 29 de octubre, entre las 17:15 y las 19:56 UTC, desplegaron un contenedor con un script malicioso que lanzó el ataque final contra la infraestructura de wallets.

A las 20:05 UTC, comenzó la hemorragia. 6.360 millones de dólares drenados en aproximadamente veinte minutos a través de diez blockchains distintas: Ethereum, Bitcoin, Tron, Solana, Arbitrum, Avalanche, XRP Ledger, Optimism, Base y Polygon. Cincuenta transacciones de firma manipularon el nonce de las cuentas y establecieron autorizaciones de delegación maliciosas usando el mecanismo EIP-7702 de Ethereum.

Veinte minutos, doce mil wallets, cuarenta mil transacciones

Las cifras son vertiginosas. Los fondos robados se distribuyeron a través de 12.000 wallets y 40.000 transacciones en once blockchains. No fue un atraco: fue una operación militar con precisión quirúrgica. El Grupo Lazarus no roba como un ladrón de bancos con pasamontañas. Roba como un ejército que lleva seis meses planificando el desembarco de Normandía.

La respuesta, al menos, fue rápida. Aproximadamente 3.000 millones en stablecoins fueron congelados el mismo día del robo. Para el 31 de octubre, Binance había reemplazado el 98% de los activos afectados con fondos propios y reabierto las retiradas de sus clientes. Kim Yo Jong, hermana del líder norcoreano, calificó la atribución del FBI como “una provocación absurda”. El FBI mantuvo su posición sin pestañear: operación TraderTraitor.

“Corea del Norte ha convertido el hackeo en una fuente de ingresos estatal.” — The Diplomat

Un estado que paga sus facturas con exploits

El robo de Binance no es un caso aislado. Es el episodio más espectacular de una serie que no deja de renovarse. Solo en 2026, TraderTraitor acumula el asalto de 387 millones de dólares a Bitget en septiembre, los 280 millones de Drift en abril, y ahora los 6.340 millones de Binance. En 2025, protagonizaron el robo de 1.500 millones a Bybit. En 2024, los 308 millones de DMM Bitcoin en Japón.

Binance afirma haber detectado y prevenido 57 intentos de hackeo vinculados a Corea del Norte solo en lo que va de 2026. Cincuenta y siete. En un solo año. Para una sola empresa. La industria crypto no se enfrenta a hackers con sudadera en un sótano: se enfrenta a la maquinaria de un régimen nuclear que ha encontrado en el robo digital su segunda exportación más rentable después del carbón.

Tu LinkedIn es tu superficie de ataque

La lección más incómoda de este caso no es técnica. Es humana. Un ingeniero senior, en una de las mayores plataformas crypto del mundo, fue comprometido porque alguien le ofreció un trabajo mejor. No hizo clic en un enlace sospechoso de un correo de spam. Participó en una entrevista de trabajo con personas que mostraban fotos reales, vídeos reales, perfiles impecables. La ingeniería social de 2026 no es un príncipe nigeriano pidiendo transferencias: es un reclutador con perfil de LinkedIn inmaculado y un repositorio de GitHub con código que parece legítimo.

Cada dato que publicamos en nuestros perfiles profesionales —empresa actual, cargo, tecnologías que usamos, proyectos en los que trabajamos— es inteligencia gratuita para un atacante con paciencia y presupuesto estatal. El muro entre tu vida profesional online y la seguridad de tu empresa es más delgado de lo que cualquiera quisiera admitir.

El firewall más sofisticado del mundo no sirve de nada si alguien del equipo descarga un ejercicio técnico de una entrevista que nunca fue real. La próxima vez que recibas una oferta irresistible en LinkedIn, recuerda: la entrevista más cara de la historia empezó exactamente así.