El asalto de 6.430 millones a Binance: Cómo Corea del Norte troyanizó proveedores de Terraform
El FBI vincula al grupo TraderTraitor con el mayor robo de criptoactivos de la historia, ejecutado mediante identidades sintéticas y código malicioso en pipelines de infraestructura.
Fecha de publicación: 2026.11.02
Máximo histórico global en 11 blockchains
44,3% bloqueado por emisores y rollups
Volumen acumulado en Bitcoin y Ethereum
El FBI, en coordinación con el Servicio Secreto de Estados Unidos (USSS) y la división de investigación criminal del IRS (IRS-CI), ha atribuido formalmente a la unidad norcoreana TraderTraitor la sustracción de 6.430 millones de dólares en activos digitales de Binance. La cifra supera ampliamente los 1.460 millones sustraídos a Bybit en febrero de 2025. El incidente marca el mayor robo de activos virtuales registrado en la historia financiera.
El atacante, clasificado también bajo las designaciones Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces y UNC4899, dispersó las transferencias a través de 11 redes blockchain independientes. El 82% del volumen consolidado se ejecutó sobre Bitcoin y Ethereum. La firma de análisis forense Elliptic señala que este único incidente prácticamente duplica el capital total acumulado históricamente por Pyongyang en robos de criptomonedas, estimado previamente en 6.500 millones de dólares.
Binance activó una suspensión técnica de retiradas de fondos tras detectar las anomalías de balance y reanudó la primera fase operativa entre las 06:00 y las 09:00 UTC. La plataforma mantuvo operativas las recepciones de depósitos mientras los equipos de seguridad completaban la verificación de integridad en los módulos afectados.
Secuencia técnica desde el contacto inicial hasta el control de infraestructura
Perfiles falsos generados con IA para perfiles DevOps
Carga de código malicioso en repositorios legítimos de IaC
Inspección del entorno y despliegue del implante FLATROOF
Backdoor con control remoto total y exfiltración de credenciales
Vector de compromiso: Inyección maliciosa en la cadena de suministro de Terraform
Informes coordinados de SentinelOne, Zscaler ThreatLabz y Microsoft confirman que TraderTraitor modificó su vector de infiltración primario. El grupo abandonó los instaladores directos en favor de proveedores troyanizados de Terraform distribuidos mediante suplantación corporativa. La ingeniería social se apoyó en empresas pantalla y ofertas laborales de perfiles tecnológicos de alta retribución en inteligencia artificial, ciberseguridad y blockchain.
Los operadores diseñaron identidades sintéticas con herramientas de inteligencia artificial para simular empresas legítimas de análisis blockchain. Contactaron a ingenieros de software e infraestructura mediante redes profesionales para convocarlos a pruebas técnicas. Durante el proceso de evaluación, indujeron a las víctimas a clonar y ejecutar repositorios que integraban proveedores de Terraform manipulados.
Al invocar los comandos estándar de inicialización de infraestructura (terraform init y terraform apply), el proveedor ejecutaba un cargador Bash en segundo plano. Este componente realizaba un reconocimiento del sistema operativo y desplegaba el implante multiplataforma FLATROOF. Desarrollado en Python, este módulo extraía credenciales del sistema local, historiales de shell y almacenes de claves privadas antes de descargar el backdoor ROOFDECK. Este último artefacto otorgó a los atacantes acceso interactivo persistente sobre estaciones de trabajo con permisos administrativos en la nube de Binance.
Comparativa del volumen sustraído en los mayores ataques del sector cripto
Anatomía financiera: 2.850 millones inmovilizados y la dispersión en DeFi
La contención del impacto financiero dependió de la velocidad de coordinación con emisores centralizados y operadores de capa 2. Una coalición formada por Tether, Circle, Ripple, Arbitrum y Optimism ejecutó bloqueos de emergencia en contratos inteligentes directamente sobre las direcciones identificadas por los servicios de inteligencia. La intervención congeló 2.850 millones de dólares antes de su fragmentación en exchanges descentralizados.
Los 3.580 millones de dólares restantes bajo control del atacante se convirtieron de forma acelerada hacia Ethereum (ETH) mediante pools de liquidez y protocolos de swap instantáneo sin registro. El FBI confirmó que los atacantes preparan la canalización de estos saldos hacia mezcladores on-chain y plataformas DeFi transfronterizas para romper la trazabilidad de las transacciones.
| Vector de Análisis | Asalto a Binance (Nov 2026) | Ataque a Bybit (Feb 2025) | Ataque a DMM Bitcoin (May 2024) |
|---|---|---|---|
| Volumen sustraído | 6.430 millones USD | 1.460 millones USD | 308 millones USD |
| Actor atribuido | TraderTraitor (Corea del Norte) | Lazarus Group (Corea del Norte) | TraderTraitor / Lazarus |
| Vector inicial | Proveedor Terraform troyanizado | Claves de firma de custodia comprometidas | Fuga de clave privada en servidor de firma |
| Bloqueo on-chain | 2.850 millones USD (44,3%) | 120 millones USD (8,2%) | 0 USD (0%) |
| Mecanismo de persistencia | Backdoor ROOFDECK (multiplataforma) | Scripts PowerShell ofuscados | Malware residente en memoria en nodo RPC |
| Redes comprometidas | 11 blockchains (82% BTC/ETH) | 3 blockchains (predominio ETH) | 1 blockchain (Bitcoin exclusiva) |
El éxito de la inmovilización del 44,3% de los activos demuestra la eficacia de los mecanismos de lista negra en tokens ERC-20 y puentes de capa 2. No obstante, la exposición residual de 3.580 millones de dólares en activos no congelables como Bitcoin nativo y Ether mantiene una presión extrema sobre los protocolos de cumplimiento y triaje en exchanges centralizados.
Vectores de ataque: De la ingeniería social sintética al control por ROOFDECK
El despliegue de TraderTraitor confirma una evolución operativa en tres fases diferenciadas que neutralizan las defensas de endpoint tradicionales:
- Generación de identidades mediante IA: El grupo utiliza modelos de lenguaje y perfiles visuales sintéticos para eliminar inconsistencias idiomáticas en el contacto inicial. Diseñan perfiles técnicos adaptados al argot interno de la arquitectura del objetivo.
- Envenenamiento de herramientas de automatización: La inyección de código malicioso en componentes de Terraform evita los sistemas de detección basados en firmas de ficheros ejecutables comunes. Los binarios de infraestructura suelen disponer de excepciones en políticas de EDR corporativas debido a sus tareas de compilación y despliegue continuo.
- Persistencia multiplataforma con ROOFDECK: El payload final opera de manera indistinta en entornos macOS, Linux y Windows. Establece canales de comunicación cifrados hacia servidores de comando y control alojados en dominios dinámicos registrados a nombre de las empresas pantalla.
La obtención de claves de acceso a los entornos de producción no requirió la vulneración perimetral de los clústeres centrales de Binance. Bastó con extraer variables de entorno, tokens temporales de IAM y claves de acceso de proveedores en la nube desde el equipo de un desarrollador comprometido.
Directrices de contención y gobernanza de infraestructura para CISO
La explotación de herramientas de orquestación de código exige una reestructuración inmediata en los controles de seguridad de entornos de ingeniería y DevOps corporativos.
Respuesta táctica frente a la ejecución de proveedores maliciosos
Ingenieros ejecutando terraform apply en máquinas de desarrollo con claves de producción
Descarga de proveedores desde registros externos sin verificación de firma criptográfica
Ejecución de IaC únicamente en pipelines aislados y validación obligatoria de lockfiles
Para neutralizar el modelo de intrusión documentado por las agencias federales, las organizaciones de infraestructura crítica deben ejecutar tres mandatos técnicos de carácter inmediato:
- Bloqueo de registros externos de Terraform: Es obligatorio restringir la descarga de proveedores exclusivamente a registros privados locales verificados. Ningún puesto de trabajo de desarrollo debe resolver dependencias desde registros públicos sin una inspección previa de dependencias en un entorno aislado (sandbox).
- Control estricto de archivos de bloqueo (
.terraform.lock.hcl): Resulta imprescindible auditar la suma de comprobación criptográfica (hash) de cada proveedor utilizado en la infraestructura. Los sistemas de integración continua (CI/CD) deben rechazar automáticamente cualquier ejecución que altere los hashes validados sin aprobación firmada de seguridad. - Segregación absoluta de credenciales en endpoints: Es imperativo prohibir la presencia de claves de acceso de producción, frases semilla o tokens de administración de infraestructura en estaciones de trabajo locales. La autenticación debe depender de identidades federadas temporales con privilegios mínimos y tiempo de expiración inferior a una hora.
El incidente de Binance consolida la tendencia de los grupos vinculados a estados soberanos de atacar la cadena de suministro de software como alternativa a los asaltos directos contra la infraestructura de producción. La protección de los entornos de desarrollo constituye la primera línea de defensa para la preservación de activos financieros.