Crédito columna: Georgy Kucherin, investigador senior de seguridad del Equipo Global de Investigación y Análisis (GReAT) de Kaspersky
Esta semana, el mundo se vio sacudido por dos importantes incidentes de ciberseguridad en el sector de las criptomonedas que involucraron a dos de las empresas más grandes del sector: Binance y Polymarket.
El pasado viernes, 30 de octubre, Binance reveló que había sufrido un ciberataque. Según los resultados preliminares de su investigación, un computador portátil comprometido, perteneciente a uno de sus ingenieros de DevOps, pudo haber permitido que un atacante accediera a un contenedor de servicios y realizara transacciones de retiro no autorizadas.
La plataforma aseguró que no había encontrado evidencia de una filtración de las claves privadas de sus billeteras digitales, suspendió temporalmente los depósitos y retiros y se comprometió a cubrir las pérdidas de los usuarios. Un día antes, el 29 de octubre, usuarios de Polymarket se vieron afectados por un ataque independiente, relacionado con la vulneración de un script de monitoreo de usuarios reales de un tercero, DebugBear, integrado en el sitio web de la plataforma.
Ambos casos evidencian métodos de ataque muy diferentes: en uno, el punto de entrada habría sido un equipo de trabajo interno, mientras que, en el otro, un componente externo integrado en un sitio web. Será necesario continuar las investigaciones para determinar exactamente cómo fueron comprometidos el computador del ingeniero de DevOps de Binance y la herramienta DebugBear, aunque no puede descartarse que se hayan explotado vulnerabilidades durante el proceso.
Estos incidentes demuestran que las plataformas de intercambio de criptomonedas no son inmunes a los ciberataques y pueden verse comprometidas mediante diferentes métodos, tanto a través de sus sistemas internos como de servicios y herramientas de terceros.
De acuerdo con nuestra experiencia, los empleados de las plataformas de intercambio de criptomonedas, especialmente los profesionales técnicos, siguen siendo uno de los puntos vulnerables en los ataques destinados al robo de activos digitales. Incluso los ingenieros y desarrolladores más experimentados pueden convertirse en víctimas de ciberataques y, en algunos casos, descargar programas maliciosos sin darse cuenta. Hace poco, documentamos un caso en el que un desarrollador del sector de las criptomonedas descargó una extensión maliciosa para su entorno de desarrollo, lo que provocó el robo de 500.000 dólares de sus billeteras digitales.
El mayor ataque contra critpomonedas de la historia
El ataque contra Binance va camino a convertirse en el mayor robo de criptomonedas registrado hasta la fecha. Una operación de esta magnitud sería difícil de ejecutar, por lo que no puede descartarse que algunos ataques contra plataformas de intercambio de criptomonedas sean, en realidad, obra de grupos de amenazas persistentes avanzadas (APT). Los primeros informes sobre el incidente de Binance apuntan a la posible participación de distintos grupos, y algunos mencionan específicamente a Lazarus.
Este grupo es conocido por realizar ciberataques con motivaciones financieras, incluidas operaciones dirigidas contra el sector de las criptomonedas, y cuenta con una amplia experiencia en este ámbito. En 2016, Lazarus fue acusado de atacar al banco central de Bangladesh en un intento de robo de 1.000 millones de dólares.
No se trató de un caso aislado: durante la presente década, el grupo ha mantenido su actividad contra las plataformas de intercambio de criptomonedas. Por ejemplo, el ataque contra Bybit en 2025 provocó pérdidas cercanas a los 1.500 millones de dólares. Sin embargo, en lo que respecta a los incidentes de Binance y Polymarket, la posible participación de Lazarus continúa bajo investigación y solo será posible establecer conclusiones definitivas una vez que estas hayan finalizado.
En los últimos años, los propietarios de criptoactivos se han convertido en objetivos cada vez más frecuentes de los ciberdelincuentes, quienes muestran especial interés en dispositivos que no cuentan con soluciones de seguridad. En la práctica, incluso los usuarios con conocimientos técnicos avanzados pueden ser víctimas de estos ataques. Por ello, recomendamos enfáticamente instalar soluciones de seguridad tanto en los dispositivos personales como en los corporativos.
