L’empresa reconeix que l’atac patit dijous passat es va gestar durant uns quants mesos.

No ha passat ni una setmana des del ciberatac que va sacsejar Binance i va deixar atònit el sector cripto. Els lladres van aconseguir desviar 6.300 milions de dòlars, una xifra sense precedents per a aquest tipus d’incident. Des d’aleshores, la plataforma ha intentat recuperar la normalitat, i ha restablert les retirades de fons i cobert les pèrdues derivades del robatori. Fins ara amb prou feines havia ofert explicacions sobre els fets; parlava de l’ordinador d’un empleat compromès i d’«altres punts d’intrusió addicionals». Segons l’empresa, els pirates informàtics van dedicar mesos a estudiar la companyia, identificar empleats clau i preparar amb cura l’operació abans d’executar el cop. Tot va començar de manera aparentment banal: una falsa entrevista de feina.

L’empresa relata que el setembre del 2026 un enginyer de Binance va ser contactat a través d’una plataforma de cerca de feina per una persona que es feia passar per director de projectes. El suposat directiu va organitzar una primera entrevista amb un empleat de recursos humans, que va compartir perfils a les xarxes socials, fotografies i vídeos personals per generar confiança. Posteriorment, va organitzar una segona entrevista amb algú que afirmava ser el conseller delegat d’una empresa fictícia a través d’una aplicació popular de missatgeria.

Cap al final de l’entrevista, el directiu va demanar a l’enginyer que descarregués al seu ordinador de feina una suposada tasca tècnica que, en realitat, contenia codi maliciós. Durant el procés d’instal·lació, aquest programari maliciós va dur a terme una sèrie d’activitats no autoritzades. Tot i així, va passar desapercebut per a les eines de seguretat de l’empresa, la qual cosa va donar marge als pirates informàtics per moure’s dins dels sistemes informàtics de Binance. A més, els lladres van prendre mesures per ocultar la seva activitat i esborrar proves de la intrusió, fet que en va dificultar la detecció i la investigació posterior.

Nou dies abans del cop, els pirates informàtics van utilitzar l’ordinador de l’empleat que havien enganyat per infiltrar-se en els equips de dos enginyers més que gestionaven els moneders digitals de Binance. Segons l’informe, van recórrer a una eina interna d’intel·ligència artificial per accedir-hi. Però aquests dos empleats tampoc no van ser triats a l’atzar.

Els ciberdelinqüents ja coneixien el sistema de Binance: l’empresa revela que el juny passat un dels enginyers afectats per l’atac havia descarregat accidentalment una versió manipulada d’una eina de programació assistida per intel·ligència artificial. Aleshores, Binance va detectar la intrusió, va substituir l’ordinador compromès i va renovar les credencials, però aquell episodi va permetre que els pirates informàtics obtinguessin informació valuosa sobre l’estructura interna de l’empresa, com ara identificar quins empleats treballaven en el desenvolupament dels sistemes o qui gestionava els moneders digitals. Amb l’abecé de la seva estructura, els lladres van poder clavar el cop a la plataforma el 30 d’octubre passat.

«La investigació preliminar indica que es va tractar d’una campanya sofisticada i de múltiples fases. Això no va ser un sol error o una sola escletxa: va ser una campanya de diversos mesos», ha dit Richard Teng, CEO de l’empresa. Binance ha assegurat que està reforçant les mesures de seguretat i que contractarà una auditoria independent per a una revisió integral de l’incident. Mentrestant, assegura haver cobert gairebé la totalitat de les pèrdues ocasionades per l’accident mitjançant recursos propis i el seu fons de reserves, mentre els actius congelats pels seus socis com Tether i Circle arriben als 2.800 milions de dòlars.

Les investigacions, mentrestant, segueixen el seu curs. Tant les empreses d’anàlisi de la cadena de blocs, TRM i Chainalysis, com l’FBI han assenyalat com a responsable de l’atac el grup de pirates informàtics nord-coreans Lazarus Group, també conegut com a TraderTraitor, encara que el país asiàtic ho ha negat. En el seu informe, Binance assegura que des de començament d’any el seu equip de seguretat ha detectat i bloquejat 57 incidents sospitosos vinculats a grups de Corea del Nord. Aquests pirates informàtics s’han convertit en una de les amenaces més grans per al sector: el 2025 van robar 2.020 milions de dòlars en criptomonedes, un 51 % més que l’any anterior, segons un informe de Chainalysis. El seu atac més conegut va ser la sostracció de 1.400 milions a la plataforma cripto Bybit el 2025.

En el robatori a Binance, els investigadors han reconegut el modus operandi emprat per aquest grup: «Els actors vinculats a Corea del Nord estan aconseguint cada vegada més aquest tipus de cops de gran magnitud mitjançant la infiltració de treballadors informàtics a empreses del sector. Aquesta tàctica, considerada una de les principals vies d’atac del règim nord-coreà, els permet obtenir accés privilegiat als sistemes i facilitar intrusions de gran impacte», assenyalen des de Chainalysis.