El hackeo de 6.300 millones en Binance comenzó con una falsa app Homebrew

Detalles recientes revelan que el ciberataque contra la plataforma de intercambio de criptomonedas Binance, responsable del robo aproximado de 6.300 millones de dólares, tuvo su origen en una estafa digital dirigida a un empleado. La intrusión se materializó cuando la víctima instaló una versión falsificada del gestor de paquetes Homebrew en su dispositivo Mac.

Ingeniería social sin vulnerabilidades complejas

Según información publicada por 9to5Mac, los atacantes lograron acceder a los equipos de personal vinculado a las carteras digitales de la empresa empleando técnicas de ingeniería social. Este método evitó la necesidad de explotar fallos de seguridad sofisticados o utilizar herramientas de penetración avanzadas para comprometer la infraestructura.

Primera fase: junio de 2026

La ofensiva inició en junio de 2026, momento en que un ingeniero de operaciones y desarrollo (DevOps) buscaba utilidades de codificación asistida por inteligencia artificial. El profesional descargó una copia maliciosa de Homebrew a través de resultados de búsqueda en Google. Aunque Binance detectó el incidente tempranamente y mitigó daños directos, desconocía que esta acción permitía a los agresores identificar al personal encargado de gestionar las carteras de criptoactivos.

Homebrew funciona como sistema de gestión de paquetes en ordenadores Mac, facilitando la instalación de aplicaciones necesarias para el trabajo de desarrolladores. El código malicioso apuntó específicamente a la ruta /opt/homebrew, directorio estándar para esta herramienta en máquinas equipadas con procesadores Apple Silicon, lo que sugiere que el equipo comprometido era un MacBook con chip de la serie M.

Segunda fase: entrevista laboral ficticia

Meses después, en septiembre de 2026, los hackers seleccionaron a otro ingeniero vinculado a las carteras de la plataforma. Lo convencieron de participar en una supuesta entrevista de empleo donde debía ejecutar una tarea programática como parte de una prueba técnica, utilizando su ordenador corporativo. Esta estrategia explota el deseo de obtener un puesto laboral para inducir la ejecución de comandos o archivos dañinos.

Los sistemas de defensa de Binance no interceptaron esta etapa del ataque. Finalmente, el 29 de octubre emergieron los detalles sobre la sustracción de miles de millones desde las billeteras virtuales de la compañía. Existe una sospecha generalizada de que los responsables están vinculados a Corea del Norte, aunque la información disponible no esclarece todos los pormenores de la ejecución del hackeo.

Riesgos persistentes en ecosistemas macOS

Las tácticas empleadas no son inéditas; ya en principios de 2025 se documentaron anuncios fraudulentos de Homebrew posicionados en la cima de los buscadores para distribuir malware conocido como Atomic Stealer, dirigido a usuarios de Mac. Binance no ha confirmado si el acceso inicial provino de publicidad pagada o de una búsqueda orgánica, pero el caso reaviva la alerta sobre descargar software de fuentes no verificadas.

La incidencia cuestiona la seguridad inherente de los dispositivos de Apple, dado que el mayor robo histórico partió de un equipo Mac. No obstante, los reportes aclaran que las protecciones del sistema operativo no pueden impedir que un usuario ejecute voluntariamente scripts o instrucciones. Las advertencias introducidas en macOS 26.4 para prevenir el pegado de comandos en Terminal podrían haber frenado el ataque, pero no garantizan su bloqueo total. Un empleado motivado por conseguir un empleo podría ignorar las alertas de seguridad y continuar ejecutando las órdenes solicitadas durante la falsa evaluación técnica.