En septiembre de 2026, un ingeniero de software de Binance fue contactado por alguien que se presentaba como director de proyectos y lo invitó a un proceso de selección para otra empresa. El contacto ocurrió en LinkedIn, según Fortune.
Primero hubo una videollamada con una supuesta reclutadora, que compartió fotografías y videos personales para generar confianza. Luego habló con un supuesto director ejecutivo. Le pidieron descargar un proyecto de programación como prueba técnica. Al prepararlo en su computadora de trabajo se ejecutó código malicioso. La empresa que presuntamente lo contrataría era ficticia, según la investigación preliminar de Binance.
El ejercicio tenía sentido dentro de aquella conversación. A un programador pueden pedirle que programe para demostrar sus capacidades. Los atacantes habían construido el contexto necesario para que una descarga peligrosa pareciera un paso normal de una oportunidad laboral.
Así funciona la ingeniería social: influye en nuestras decisiones hasta conseguir que hagamos algo que facilita el ataque. Un supuesto director ejecutivo aporta autoridad; varias conversaciones vuelven familiar a un desconocido; una oportunidad atractiva puede llevarnos a buscar señales que confirmen lo que queremos creer. Esos sesgos también afectan a quienes saben de tecnología. El FBI ya había advertido que estas campañas pueden comprometer a profesionales con conocimientos técnicos avanzados.
Binance no identifica la familia del malware. Describe la sustitución de un componente de pyenv, una herramienta de desarrollo, para ejecutar órdenes del atacante y comunicarse con su servidor. El DevOps era otro empleado: en junio había instalado software adulterado. Binance detectó ese episodio y reemplazó el equipo, pero quedaron expuestos datos sobre su función y sus compañeros.
El 20 de octubre, los intrusos utilizaron una herramienta interna de IA para comprometer otros equipos. Nueve días después alcanzaron las operaciones de firma. Binance estimó el robo en 6.340 millones de dólares.
En Ethereum, los atacantes consiguieron permisos para mover fondos que permanecieron activos después de suspenderse los retiros. Detener el servicio habitual no anulaba automáticamente esas autorizaciones. La empresa había cerrado una operación al público, pero todavía tenía que eliminar el acceso que los delincuentes habían establecido.
El FBI atribuyó el ataque a actividad norcoreana denominada TraderTraitor. Ese nombre identifica la actividad investigada, no el malware instalado. Es la atribución de la agencia estadounidense y corresponde presentarla como tal.
La secuencia permite entender por qué resulta insuficiente explicar este caso diciendo que un empleado descargó un archivo. Entre aquella entrevista y la salida del dinero hubo equipos, permisos y sistemas que debían limitar el alcance de una intrusión. Una organización que custodia miles de millones necesita prepararse para que alguien, en algún momento, sea engañado.
Vengo advirtiendo sobre la ingeniería social en plataformas de empleo y aplicaciones de citas, así como sobre los riesgos de contratar proveedores con malas prácticas de seguridad. También debemos revisar la cadena de suministro: un proveedor legítimo puede convertirse en una vía de entrada si sus sistemas están comprometidos o sus accesos carecen de controles suficientes. La reputación de una empresa no sustituye la evaluación de cómo protege nuestros datos y qué puede hacer dentro de nuestros sistemas.
Reconozco el patrón en situaciones que he visto repetirse en Venezuela y fuera del país. Cambian las aplicaciones y las herramientas, pero seguimos concediendo acceso porque alguien parece confiable, conoce nuestro trabajo o llega recomendado. Esa confianza necesita comprobaciones.
He visto en bancos y otras instituciones a personal de tecnología, e incluso de ciberseguridad, desactivar protecciones para instalar software craqueado. También he encontrado en instituciones públicas el uso de activadores irregulares de Windows. A los problemas de licenciamiento se suma el riesgo de ejecutar programas de origen dudoso en equipos que tienen acceso a información y servicios de la organización.
He visto personas descargar un supuesto códec para reproducir un video y terminar instalando malware. Lo más preocupante ocurre cuando, ante una alerta, deciden apagar el antivirus para continuar. Usan sus privilegios administrativos para retirar precisamente la protección que está intentando detener esa instalación, sin analizar el archivo siquiera en un entorno aislado. Todo sucede desde el equipo de trabajo y conectado a la red institucional.
Los privilegios amplían tanto la capacidad de resolver problemas como el daño que puede causar una mala decisión. Una organización necesita reglas y supervisión que incluyan al personal técnico. La experiencia de quien administra un sistema tampoco puede convertirse en una excepción permanente a la seguridad.
Por eso insisto en un triángulo: gestión, tecnología y concientización. La gestión establece responsabilidades y decide qué riesgos se aceptan. La tecnología restringe accesos, detecta anomalías y contiene el daño. La concientización ayuda a reconocer cuándo una conversación aparentemente normal empieza a pedir algo peligroso. Las tres deben funcionar juntas.
“La cultura se desayuna a la estrategia”, dice una conocida máxima empresarial Su sentido encaja aquí: podemos comprar los mejores juguetes tecnológicos, desde firewalls hasta plataformas de detección con IA, y seguir expuestos si la organización premia saltarse controles para resolver rápido o hace que sus empleados teman reportar un error.
La cultura se demuestra cuando alguien puede detener una solicitud, incluso si aparentemente viene del jefe. Cuando puede decir que necesita verificar una identidad. Cuando informa que ejecutó un archivo sospechoso sin perder horas intentando ocultarlo. La formación debe ayudar a tomar esas decisiones; los controles deben limitar las consecuencias cuando la decisión falla.
Por eso considero importantes estos artículos, las charlas y las dinámicas de cultura de seguridad. Un caso explicado con claridad permite reconocer una situación parecida. Un ejercicio práctico permite ensayar la respuesta antes de enfrentarla. La orientación del NIST para programas de aprendizaje pone precisamente el énfasis en cambiar conductas y evaluar resultados de manera continua.
Propongo trabajar con situaciones cercanas al puesto: una entrevista falsa para desarrolladores, una solicitud de acceso para soporte técnico o un cambio de cuenta bancaria para administración. Después hay que revisar cómo se verificó la petición y cuánto tardó en reportarse. Contar asistentes a una charla dice poco sobre lo que harán cuando estén solos frente a un mensaje convincente.
Para quien busca empleo, la precaución concreta es confirmar al reclutador mediante un canal independiente y mantener las pruebas de programación fuera del equipo corporativo. Si deben ejecutarse, necesitan un entorno aislado, sin acceso a cuentas o redes de la empresa. Son medidas que el FBI recomienda frente a estas campañas. En una relación iniciada por una aplicación de citas, la confianza tampoco debería bastar para instalar software, compartir códigos o enviar dinero.
Con los proveedores, la debida diligencia debe continuar después de firmar el contrato. Recomiendo revisar qué accesos conservan, retirar los que ya no necesitan y comprobar cómo avisarán de un incidente. Dentro de la empresa, hay que ensayar la revocación de permisos y las aprobaciones independientes para operaciones sensibles. El procedimiento debe funcionar bajo presión.
Binance informó el 4 de noviembre que había repuesto aproximadamente el 98 % del monto afectado. Asumir la pérdida protege al cliente y merece reconocerse. Pero disponer de recursos para responder no demuestra que se haya eliminado la causa del robo.
Mi previsión es que veremos engaños más personalizados y mayores exigencias sobre la custodia cripto. La banca que integre estos servicios tendrá que examinar cómo sus socios autorizan movimientos y contienen intrusiones. Mostrar reservas responde cuánto dinero existe; también habrá que demostrar cómo se protege. La IA puede facilitar el trabajo de quienes engañan, mientras muchas organizaciones siguen formando a su personal para reconocer únicamente correos mal escritos.
Cuando veas las barbas de tu vecino arder, pon las tuyas a remojar. Estos incidentes consiguen que la dirección preste atención y abren una oportunidad para invertir en prevención. Hay que aprovecharla y sostener el esfuerzo cuando desaparezca el titular. Esperar a que nos pase, o a que nos pase otra vez, convierte una lección disponible en una pérdida propia.
Rafael Núñez Aponte
CEO @MasQueSeguridad
Columnista Radar Cibernético