Nuevos detalles del ataque a Binance: las maniobras que facilitaron el millonario robo de criptomonedas

Tal como señalamos en BeyGoo cuando se conoció el ataque a la plataforma Binance, el incidente dejó en evidencia que apenas un dispositivo comprometido puede ser la puerta de acceso en un ataque y expandirse hasta provocar grandes daños. 

Luego de los primeros informes, la compañía afectada divulgó nuevos detalles de la intrusión en sus sistemas que resultó en el robo de 6.300 millones de dólares. La continuidad de las investigaciones reveló que un encadenamiento de engaños “sencillos”, aunque coordinados, escalaron hasta concretar el mayor robo en la historia de este tipo de activos.  

Ataque a Binance: nuevos detalles del robo de criptomonedas 

En primera instancia, el exchange indicó que la computadora de un empleado fue el punto de partida de una operación que involucró otros accesos dentro del entorno de la organización. En informes publicados posteriormente, Binance detalló otros aspectos relevantes. 

Shadow AI, cuando los integrantes de la organización accionan sin supervisión 

En la reconstrucción de los hechos, se detectó que un ingeniero de la compañía descargó en su dispositivo de trabajo una herramienta para incorporar un asistente de programación basado en inteligencia artificial que había encontrado en la Web. 

Se trata de un claro ejemplo de “Inteligencia Artificial en la sombra”, que, en términos resumidos, es el uso no autorizado de herramientas de IA por parte de los integrantes de empresas u organizaciones. La clave es la siguiente: siendo que los departamentos de tecnología y especialistas en seguridad no están al tanto de esa implementación, existen riesgos.  

Aunque los equipos de Binance detectaron esa actividad y renovaron las credenciales del empleado involucrado, los atacantes recabaron datos sobre sus tareas en la empresa y sobre sus compañeros de trabajo. 

Ingeniería social, cuando los atacantes engañan a los usuarios en lugar de apuntar a sistemas 

Los investigadores del ataque a Binance señalaron que en septiembre del año en curso los atacantes apuntaron a otro empleado de la firma, contactándolo a través de una plataforma de empleo y haciéndose pasar por representantes de una empresa (inexistente) para una entrevista de trabajo falsa.  

En una segunda videollamada, pidieron al ingeniero que descargue en su dispositivo de trabajo un entorno para realizar un ejercicio de programación. Este archivo contenía un malware. Es un claro ejemplo de ingeniería social, donde el vector inicial del ataque es el usuario. Con ese programa malicioso, los embaucadores consiguieron accesos no autorizados a los sistemas de Binance. La compañía afectada explicó que sus herramientas de seguridad no detectaron esa amenaza en primera instancia.   

El 29 de octubre, luego de conseguir acceso a computadoras y credenciales de otros integrantes de los equipos de Binance, los atacantes ejecutaron el robo de criptomonedas.  

Según medios especializados, el FBI atribuyó el ataque a grupos de ciberdelincuencia en Corea del Norte. La investigación sigue en curso y se espera, además, una revisión independiente de los hechos.  

El ataque a Binance demuestra que la superficie de ataque también incluye a las personas y sus dispositivos 

La seguridad de una organización no depende únicamente de los sistemas que administra en forma directa. Los dispositivos utilizados por sus colaboradores, las cuentas corporativas, las credenciales, los servicios expuestos y las relaciones con terceros también forman parte de su superficie de ataque. 

Un dispositivo comprometido puede representar una puerta de entrada, pero identificar qué otros activos, accesos o servicios podrían estar relacionados con ese punto inicial resulta fundamental para comprender el alcance potencial de una intrusión. 

Por eso, el monitoreo de la superficie de ataque externa debe contemplar mucho más que los dominios y las direcciones IP de una organización. También requiere identificar activos asociados, detectar credenciales expuestas y reconocer información que pueda facilitar el trabajo de un atacante. 

Cómo ayuda BeyGoo a anticipar estos escenarios 

Trabajamos sobre distintos componentes de la exposición digital de las organizaciones, integrando Digital Risk Protection, Attack Surface Management y Cyber Threat Intelligence en una misma plataforma. 

A través de nuestras capacidades, es posible: 

• Identificar activos expuestos: descubrir y monitorear dominios, subdominios, servicios e infraestructura asociados a la organización. 
• Detectar credenciales comprometidas: identificar información de acceso corporativa que haya sido expuesta o circule en fuentes abiertas y clandestinas. 
• Monitorear amenazas externas: acceder a inteligencia sobre actores de amenaza, sus tácticas, técnicas y procedimientos (TTPs), y los indicadores asociados a su actividad. 
• Gestionar riesgos de terceros: evaluar la postura de seguridad de proveedores y otras organizaciones vinculadas, considerando que sus entornos también pueden formar parte del escenario de riesgo. 

Estas capacidades permiten contar con información para identificar posibles puntos de entrada, evaluar la exposición y priorizar las acciones de remediación antes de que un atacante pueda aprovecharlos. 

El caso de Binance deja una pregunta relevante para cualquier organización: ¿qué otros accesos podrían quedar comprometidos si uno de sus dispositivos o usuarios fuera vulnerado?