Puntos clave de la noticia:
- Security Alliance estima que TraderTraitor permaneció unas ocho semanas dentro de Binance antes del hackeo del 29 de octubre, valorado en $6,3 mil millones.
- SEAL considera que el patrón encaja mejor con TraderTraitor que con Contagious Interview por su selección de objetivos, reconocimiento profundo y acceso prolongado.
- La organización recomienda monitorear movimiento lateral, privilegios, logs, código externo y procesos de contratación para detectar atacantes que permanezcan semanas en los sistemas.
Security Alliance (SEAL) estima que TraderTraitor, grupo vinculado a Corea del Norte, accedió al entorno de Binance ocho semanas antes del hackeo del 29 de octubre, valorado por Binance en $6,3 mil millones. En un análisis de amenazas, SEAL sitúa el acceso inicial alrededor de septiembre y describe al grupo como capaz de desplazarse por endpoints e infraestructura durante semanas. La ventana de permanencia de ocho semanas sugiere que los atacantes tuvieron tiempo considerable dentro de Binance antes de ejecutar el robo. La evaluación añade contexto al incidente en Binance, sin fijar una fecha exacta de intrusión.
El prolongado tiempo de permanencia de TraderTraitor centra la atención
SEAL indicó que los hallazgos iniciales de Binance apuntan a un dispositivo de desarrollador comprometido mediante malware entregado durante una falsa entrevista laboral. El grupo considera que el patrón encaja mejor con TraderTraitor que con Contagious Interview, otro cluster vinculado a Corea del Norte que utiliza señuelos de contratación. TraderTraitor se caracteriza por objetivos selectivos, reconocimiento profundo y rutas de ataque personalizadas, en lugar de distribución masiva de malware. SEAL explicó que una campaña observada crea empresas pantalla, utiliza recruiters y somete a las víctimas a entrevistas por etapas antes de entregar código malicioso.
SEAL compara Binance con incidentes asociados a TraderTraitor. Estimó tiempos de permanencia de seis semanas en LayerZero, tres en AFX y 24 días en Bitget antes del robo del 24 de septiembre. En esos casos, los atacantes supuestamente aprovecharon el acceso prolongado para alcanzar infraestructura capaz de autorizar o influir en transacciones de alto valor. En Bitget, SEAL afirmó que los operadores se desplazaron lateralmente hacia el backend de wallets e inyectaron órdenes fraudulentas de retiro sin robar private keys. El incidente previo de LayerZero también involucró manipulación de infraestructura.
SEAL recomienda tratar el tiempo de permanencia como una oportunidad de detección. Su guía pide monitoreo de logs, cloud y endpoints, alertas por movimiento lateral, sesiones cortas y entornos aislados para código externo. La principal lección defensiva es asumir que un ingeniero comprometido puede convertirse en una vía hacia infraestructura crítica y diseñar controles para contener ese riesgo. También recomienda verificar contactos de contratación no solicitados y reforzar la supervisión de productos privilegiados externos. Los hallazgos amplían el análisis tras la atribución del robo de Binance a TraderTraitor por parte del FBI y anteriores campañas norcoreanas contra desarrolladores blockchain.
