Hoy, 30 de octubre, Binance informó de que había sufrido un hackeo que, según su investigación inicial, podría haber permitido a un atacante acceder a un contenedor de servicios a través del portátil comprometido de un ingeniero de DevOps y realizar transacciones de retirada no autorizadas. El exchange aseguró que no había encontrado pruebas de una filtración de las claves privadas de los monederos, suspendió temporalmente los depósitos y las retiradas y se comprometió a cubrir las pérdidas de los usuarios. El incidente se produce un día después de otro ataque contra Polymarket, relacionado con un componente web de terceros. Para más información sobre el incidente de Binance, se puede consultar el artículo de TechCrunch.

Os pasamos una declaración de Georgy Kucherin, Senior Security Researcher en Kaspersky GReAT, por si os sirve para vuestros reportajes:

“A finales de octubre se produjeron dos importantes incidentes de ciberseguridad en el sector de las criptomonedas relacionados con Binance y Polymarket. El 30 de octubre, Binance informó de que había sufrido un hackeo y, según las primeras conclusiones de su investigación, el portátil comprometido de un ingeniero de DevOps podría haber permitido a un atacante acceder a un contenedor de servicios y realizar transacciones de retirada no autorizadas. El exchange afirmó que no había encontrado pruebas de una filtración de las claves privadas de los monederos, suspendió temporalmente los depósitos y las retiradas y se comprometió a cubrir las pérdidas de los usuarios. Un día antes, el 29 de octubre, los usuarios de Polymarket se vieron afectados por otro hackeo, relacionado con un script de monitorización de usuarios reales de terceros, DebugBear, integrado en el sitio web de la plataforma.

Los dos casos apuntan a vías de ataque muy diferentes: una estación de trabajo interna en un caso y un componente web de terceros en el otro. Será necesario seguir investigando para determinar exactamente cómo se comprometieron el portátil del ingeniero de DevOps de Binance y DebugBear, aunque no puede descartarse la posibilidad de que se explotaran vulnerabilidades durante el proceso. Al mismo tiempo, estos incidentes demuestran que los exchanges de criptomonedas no son inmunes a los ciberataques y pueden verse comprometidos a través de diferentes vectores, ya que tanto los sistemas internos como las dependencias externas pueden convertirse en superficies de ataque.

Como demuestra nuestra experiencia, los empleados de los exchanges de criptomonedas, especialmente los especialistas técnicos, siguen siendo los eslabones más débiles en los ataques dirigidos al robo de criptomonedas. Incluso ingenieros y desarrolladores experimentados pueden convertirse en víctimas de ciberataques y, en algunos casos, descargar malware de forma involuntaria. Anteriormente informamos de un caso en el que un desarrollador del sector de las criptomonedas descargó una extensión maliciosa para un entorno de desarrollo, lo que provocó el robo de 500.000 dólares de sus monederos.

El ataque contra Binance parece ser el mayor robo de criptomonedas registrado hasta la fecha, y una operación de esta magnitud sería difícil de llevar a cabo, por lo que no puede descartarse la posibilidad de que algunos hackeos de exchanges sean en realidad obra de actores APT. Los primeros informes sobre el incidente de Binance apuntan a la posible participación de diferentes grupos y algunos mencionan específicamente al grupo APT Lazarus. Lazarus es conocido por llevar a cabo ciberataques con motivaciones financieras, incluidas operaciones dirigidas contra el sector de las criptomonedas, y cuenta con una amplia experiencia en este ámbito. En 2016, el grupo fue acusado de hackear el banco central de Bangladesh en un intento de robar 1.000 millones de dólares. No se trató de un caso aislado: a lo largo de la presente década, Lazarus ha seguido activo en ataques contra exchanges de criptomonedas. Por ejemplo, el ciberataque de Bybit en 2025 provocó pérdidas de aproximadamente 1.500 millones de dólares. Al mismo tiempo, en lo que respecta a los ataques contra Binance y Polymarket, la posible implicación de Lazarus sigue bajo investigación y solo podrán extraerse conclusiones definitivas cuando esta haya concluido.

Los titulares de activos en criptomonedas se han convertido cada vez más en objetivos de actores maliciosos en los últimos años, y los dispositivos que no cuentan con soluciones de seguridad despiertan un interés especial entre los atacantes. En la práctica, incluso los usuarios con amplios conocimientos técnicos pueden ser víctimas de este tipo de ataques, por lo que recomendamos encarecidamente instalar soluciones de seguridad tanto en los dispositivos personales como en los corporativos”.