Si tu personal busca empleo o prueba programas nuevos en su ordenador de trabajo, ese es exactamente el camino del mayor robo de la historia de las criptomonedas. El 3 de noviembre de 2026, Binance publicó sus conclusiones preliminares: el ataque que afectó a unos 6,34 mil millones de dólares el 29 de octubre empezó con dos entrevistas de trabajo falsas a un ingeniero, que terminaron con una prueba de programación que él descargó en su portátil de trabajo. La lección práctica para tu empresa: ningún archivo de reclutadores externos en equipos de trabajo, ningún software fuera de una lista aprobada y ningún permiso más amplio de lo que exige el puesto. El 31 de octubre escribimos sobre quién puede mover el dinero de tu empresa sin tu firma; este artículo trata de la puerta por la que entró el atacante.
¿Qué ocurrió, paso a paso?
Según el relato de Binance sobre su investigación preliminar, el ataque pasó por cuatro etapas:
- Junio de 2026: un ingeniero del equipo de monederos que buscaba una herramienta de programación con IA descargó un instalador de Homebrew manipulado que contenía malware. El equipo de seguridad lo detectó, sustituyó el equipo y renovó sus credenciales, pero ya se había filtrado información sobre él y sus compañeros.
- Septiembre de 2026: alguien que se hacía pasar por director de proyectos contactó con un segundo ingeniero a través de una plataforma de empleo y le hizo dos entrevistas: una videollamada con una supuesta responsable de recursos humanos y otra con una persona que decía ser el CEO de una empresa ficticia. En la segunda entrevista le pidieron descargar una prueba de programación en su ordenador de trabajo; el código malicioso se ejecutó durante la instalación y las herramientas de protección no lo detectaron.
- 20 de octubre de 2026: el atacante usó el ordenador comprometido y una herramienta de IA interna de Binance para tomar el control de los equipos de otros dos ingenieros.
- 29 de octubre de 2026: entre las 17:15 y las 19:56 UTC el atacante accedió al ordenador del tercer ingeniero con credenciales robadas al primero, desplegó un contenedor y lanzó un script malicioso; las transferencias desde los monederos calientes siguieron entre las 20:05 y las 20:09.
Binance afirma que unos 2,85 mil millones de dólares se congelaron o interceptaron, que había repuesto el 98 % de los activos afectados al 31 de octubre y que detectó y frenó 57 casos de amenazas presuntamente vinculadas a Corea del Norte durante 2026. Es decir, la plataforma resistió decenas de intentos y cayó en uno.
¿Por qué funcionó la entrevista falsa?
Porque no se parece en nada a un correo de phishing. El empleado no hizo clic en un enlace sospechoso de un remitente desconocido; entró en un proceso de selección que parecía real: una plataforma conocida, una entrevista por vídeo, una responsable de recursos humanos que compartió contenido de su cuenta personal para ganarse su confianza y luego un CEO. Descargar y ejecutar un proyecto es parte normal de las pruebas para desarrolladores, así que la petición no llamó la atención.
La táctica no es nueva. TechCrunch señala que un informe de CrowdStrike atribuyó cerca de la mitad de las intrusiones en empresas tecnológicas de Estados Unidos el año pasado a norcoreanos que se hacían pasar por trabajadores informáticos remotos o reclutadores. El objetivo no son solo las plataformas de criptomonedas, sino cualquier persona con acceso a sistemas o a dinero.
La segunda brecha: un programa descargado desde los resultados de búsqueda
La historia no empezó con la entrevista. Tres meses antes, otro ingeniero instaló un software manipulado mientras buscaba una herramienta de IA. Esto ocurre cada día en muchas empresas: un empleado oye hablar de una herramienta nueva, la busca, hace clic en el primer resultado y la instala con permisos de administrador. La lección más importante es que Binance sustituyó el equipo y cambió las contraseñas, pero la información ya filtrada sobre el equipo se quedó en manos del atacante, que la usó meses después.
6 reglas para los equipos de tu personal esta semana
- Ningún archivo de selección externo en equipos de trabajo: cualquier prueba, proyecto o archivo enviado por un tercero se abre en una máquina separada sin acceso a los sistemas de la empresa. Coincide con el consejo de los expertos citados por TechTarget: mantener el código de las entrevistas lejos de cualquier máquina cercana a producción.
- Solo software de una lista aprobada: retira los permisos de administrador local al personal y canaliza las instalaciones a través de tu responsable de TI, desde la web oficial del fabricante, no desde un anuncio en los resultados de búsqueda.
- Mínimo privilegio: quien puede mover dinero o cambiar sistemas sensibles lo hace desde una cuenta y un equipo dedicados, no desde la máquina con la que navega y prueba herramientas.
- Permisos estrictos para las herramientas de IA internas: en Binance, una herramienta de IA interna fue el puente entre equipos. Cualquier herramienta que llegue a los equipos del personal o a tus sistemas necesita permisos acotados y un registro de todo lo que hace.
- Detectar no es el final del incidente: si un equipo se ve comprometido, no te limites a sustituirlo. Da por hecho que lo que contenía se ha filtrado, renueva todas las contraseñas, claves y tokens vinculados a él y a su equipo, y vigila las cuentas de los compañeros.
- Forma a tu equipo sobre el phishing con ofertas de empleo: una oferta atractiva que pide descargar un archivo o ejecutar código es una señal de alarma, y buscar empleo desde un equipo de trabajo expone a toda la empresa. Si contratas en remoto, verifica la identidad del candidato antes de darle cualquier acceso.
¿Qué dicen los Controles Esenciales de Ciberseguridad?
Los Controles Esenciales de Ciberseguridad ECC-2:2024 de la Autoridad Nacional de Ciberseguridad (NCA) son obligatorios para los organismos públicos y para las entidades que poseen, operan o alojan infraestructuras nacionales críticas, y la NCA recomienda encarecidamente a todas las demás entidades que los usen. Tres de ellos cubren este incidente de forma directa:
- Control 1-10-3: el programa de concienciación cubre el uso seguro del correo y el phishing, la navegación por internet y el uso de redes sociales.
- Control 2-2-3-3: autorización basada en la necesidad de conocer y de usar, el mínimo privilegio y la segregación de funciones.
- Control 2-3-3-1: protección de estaciones de trabajo y servidores frente a virus, programas sospechosos y malware con tecnologías modernas.
La visión de Origami
Vemos en las empresas saudíes el mismo patrón que hizo caer a Binance: un único equipo que el empleado usa para trabajar, navegar, buscar empleo y probar cada herramienta nueva, con permisos de administrador completos porque es más cómodo. Un atacante no necesita un exploit sofisticado si el propio empleado va a ejecutar el archivo.
La solución no es impedir que el personal aprenda o pruebe herramientas de IA, sino que las pruebe en un entorno que no llegue al dinero ni a los datos. Cuando construimos sistemas para nuestros clientes, separamos desde el principio las cuentas del día a día de las cuentas con privilegios, y registramos cada acceso a ellas.
Conclusión
Una brecha de 6,34 mil millones de dólares no empezó con una vulnerabilidad en un servidor, sino con una entrevista de trabajo y una aplicación descargada desde una búsqueda. Reserva una hora esta semana con tu responsable de TI: retira los permisos de administrador local al personal, redacta la lista de software aprobado, separa los equipos con accesos sensibles y comunica a tu equipo que ningún archivo de un reclutador se abre en un equipo de trabajo. Si quieres una revisión de los permisos de tus sistemas, contáctanos o consulta nuestros servicios.
Fuentes
- Binance — Security incident investigation update, 3 de noviembre de 2026: la cronología de junio, septiembre, el 20 y el 29 de octubre, las dos entrevistas, los importes congelados y repuestos, y los 57 casos de amenazas.
- Autoridad Nacional de Ciberseguridad (NCA) — Essential Cybersecurity Controls ECC-2:2024: ámbito de aplicación y controles 1-10-3, 2-2-3-3 y 2-3-3-1.
- TechCrunch — Researchers warned of North Korean hacking tactics years before record $6.3B Binance heist, 3 de noviembre de 2026: la cifra de CrowdStrike y las advertencias previas.
- TechTarget — Binance details recruiter impersonation behind $6.3B wallet breach, 3 de noviembre de 2026: consejos de expertos sobre los equipos de desarrolladores.
- Nextgov/FCW — Binance says fake job interview helped North Korean hackers steal $6.3 billion, noviembre de 2026: la atribución a Corea del Norte por parte del FBI.
Preguntas frecuentes
Nuestra empresa no trabaja con criptomonedas. ¿Nos afecta el hackeo de Binance?
Sí, porque el ataque no apuntaba a nada propio de las criptomonedas; apuntaba a un empleado con acceso. Una entrevista de trabajo falsa y un software manipulado encontrado en los resultados de búsqueda pueden vulnerar cualquier empresa en la que alguien acceda al portal del banco, al sistema contable o a los datos de clientes.
¿Cómo puede mi personal saber que una oferta de empleo es falsa?
La señal más clara es que le pidan descargar y ejecutar un archivo o proyecto en su equipo, sobre todo tras entrevistas rápidas con una empresa de la que no encuentra información fiable. Aunque la oferta parezca auténtica, la regla no cambia: ningún archivo de un reclutador se abre en un equipo de trabajo.
¿Basta un antivirus para frenar este tipo de ataque?
No. En el caso de Binance, el código malicioso se ejecutó y las herramientas de protección no lo detectaron. El software de protección es una capa; necesita además retirar los permisos de administrador local al personal, una lista de software aprobado y separar los equipos con accesos sensibles de los equipos de navegación.
¿Son obligatorios los Controles Esenciales de Ciberseguridad de la NCA para mi empresa privada?
Son obligatorios para los organismos públicos y para las entidades que poseen, operan o alojan infraestructuras nacionales críticas. Para las demás empresas, la Autoridad Nacional de Ciberseguridad recomienda encarecidamente usarlos, y sus controles de concienciación, accesos y protección de equipos forman una lista de revisión lista para usar.
