El robo de USD $6.300 millones a Binance y un ataque posterior contra el banco francés Crédit Mutuel Arkéa exponen riesgos compartidos: proveedores externos, sistemas anticuados y accesos que los atacantes pueden manipular. La regulación ofrece a los bancos herramientas para responder, pero no garantiza que puedan impedir una intrusión.
***

• Los atacantes habrían usado entrevistas de trabajo falsas y malware para entrar en los sistemas de Binance; el FBI incautó USD $1.200 millones y la plataforma repuso cerca del 98% del monto afectado.
• Crédit Mutuel Arkéa informó el robo de unos EUR €100 millones mediante transacciones realizadas desde una cuenta del propio banco, tras un acceso obtenido por medio de un proveedor externo.
• Expertos advierten sobre sistemas heredados y agentes de IA, mientras bancos y reguladores refuerzan controles, pruebas de seguridad y límites para los pagos automatizados.

Binance perdió USD $6.300 millones y los bancos europeos enfrentan riesgos similares

El robo de USD $6.300 millones que sufrió Binance el 29 de octubre puso en primer plano una pregunta que ya no concierne solo a las plataformas de criptomonedas: qué tan expuesto está el sistema financiero tradicional ante ataques que combinan engaño, malware y fallas tecnológicas. Menos de una semana después, el banco francés Crédit Mutuel Arkéa informó que le habían sustraído aproximadamente EUR €100 millones, equivalentes a USD $112 millones, mediante operaciones vinculadas a una cuenta de la propia entidad.

El reportaje de Fortune que recoge ambos incidentes plantea que las vulnerabilidades aprovechadas contra Binance también existen en bancos, aunque estas instituciones operen bajo regulación y cuenten con mecanismos distintos para responder a los fraudes. La comparación no significa que los dos ataques hayan tenido el mismo método o impacto: muestra que las cadenas de proveedores, los accesos privilegiados y la tecnología antigua pueden abrir puertas en organizaciones financieras de distinta naturaleza.

Dos ataques consecutivos y una advertencia para las finanzas

Los hackers que atacaron Binance recurrieron, según el relato publicado, a una combinación de ingeniería social y software malicioso para controlar billeteras de criptomonedas y retirar fondos. Para llegar a los sistemas de la empresa, organizaron entrevistas de trabajo falsas y convencieron a un ingeniero de descargar inadvertidamente un programa malicioso, que luego les permitió entrar a la infraestructura de la plataforma.

El Buró Federal de Investigaciones de Estados Unidos incautó USD $1.200 millones en criptomonedas robadas, mientras Binance confirmó que había repuesto cerca del 98% del monto total afectado. Esos datos describen la recuperación comunicada en el caso, pero no eliminan la importancia de la intrusión ni permiten asumir que cualquier entidad financiera podría recuperar fondos con la misma facilidad.

El fundador y exdirector ejecutivo de Binance, Changpeng Zhao, sostuvo que los bancos están en una posición peor que las plataformas cripto si estas pueden ser hackeadas. Ryan Kirkley, cofundador y director ejecutivo de Global Settlement, una empresa que desarrolla infraestructura blockchain para bancos, formuló una advertencia parecida durante la Digital Asset Summit de Londres, el 10 de noviembre: a su juicio, resulta imposible que un banco promedio se mantenga seguro si una firma como Binance puede perder miles de millones.

Katerina Mitrokotsa, profesora de ciberseguridad de la Universidad de St. Gallen, advirtió que las debilidades explotadas en Binance no son exclusivas del sector cripto y que la regulación no vuelve automáticamente más seguros a los bancos. El episodio de Crédit Mutuel Arkéa refuerza esa preocupación: los atacantes obtuvieron acceso a través de un proveedor de servicios no identificado y después usaron una cuenta del propio banco para realizar transacciones.

Reglas y capacidad de respuesta no equivalen a prevención

Las autoridades financieras de Estados Unidos y Europa han expresado inquietudes sobre la seguridad de las instituciones. Reuters informó que la Reserva Federal y la Oficina del Contralor de la Moneda comenzaron a llamar a bancos estadounidenses el 2 de noviembre para consultar por actividad inusual e interrupciones de servicios, mientras que el Banco Central Europeo había escrito en julio a los directores ejecutivos de 110 bancos.

En esa comunicación, el BCE alertó sobre los riesgos de los modelos de inteligencia artificial de frontera y afirmó que pueden hacer más rápido y barato identificar y explotar vulnerabilidades en los sistemas de tecnología de la información. La advertencia apunta a una transformación de las herramientas disponibles para los atacantes, no a que la IA haya sido identificada como causa de los dos robos descritos.

Vivien Mura, director de tecnología de Orange Cyberdefense, señaló que los bancos cuentan con algunas ventajas frente a las plataformas cripto. La Ley de Resiliencia Operativa Digital de la Unión Europea, conocida como DORA y vigente desde enero de 2025, obliga a las entidades a probar sus defensas y reportar incidentes cibernéticos; además, los bancos pueden bloquear o revertir pagos y cooperar estrechamente con supervisores y fuerzas del orden.

Sin embargo, Mura matizó que esas herramientas sirven sobre todo para absorber y gestionar las consecuencias de un ataque importante, y no necesariamente para impedirlo. Mitrokotsa identifica dos puntos débiles adicionales: las extensas redes de proveedores externos de las que dependen los bancos y la tecnología heredada que muchas instituciones todavía utilizan. DORA intenta abordar el primer problema al someter a supervisión directa de la Unión Europea a los proveedores considerados más críticos.

Proveedores, equipos antiguos y accesos que se acumulan

En el caso de Crédit Mutuel Arkéa, la entidad aseguró a sus clientes que el incidente no tuvo ningún impacto en sus activos, aunque los atacantes lograron ejecutar transacciones desde una cuenta del banco. La identidad del proveedor por cuyo medio se habría producido el acceso no fue revelada en la información disponible, por lo que el caso ilustra el riesgo de terceros sin permitir atribuir la intrusión a una empresa concreta.

Lee Elliott, director de resiliencia y ciberseguridad de UK Finance, dijo a Fortune que los proveedores comprometidos, el personal con acceso privilegiado, las ofertas de trabajo falsas y el uso indebido de herramientas internas son riesgos reconocidos desde hace años y no exclusivos de un sector. También destacó que los bancos comparten inteligencia sobre amenazas mediante iniciativas como el Financial Sector Cyber Collaboration Centre, una práctica que puede ayudar a que las instituciones se alerten entre sí.

La antigüedad de los equipos conectados ya ha sido explotada en otros entornos europeos, según el reportaje: desde octubre, hackers secuestraron sistemas de refrigeración conectados a internet en supermercados de más de una docena de países y en tres bancos de sangre franceses. Danfoss, fabricante de los controladores electrónicos de temperatura, afirmó que la mayoría de las unidades afectadas eran modelos antiguos que ya no reciben actualizaciones de seguridad.

Mitrokotsa observó que una nevera puede parecer un objetivo irrelevante, precisamente porque las organizaciones podrían no tratarla como un riesgo de seguridad. Comparó esa situación con bancos que aún mantienen sistemas centrales de décadas de antigüedad, servidores viejos, controles de edificios y accesos remotos para proveedores. Su recomendación es que las entidades identifiquen todos los dispositivos conectados a sus redes y aíslen de los sistemas centrales aquellos que no necesitan comunicarse con ellos.

Controles compartidos y nuevos límites para la IA

Mitrokotsa también planteó que la banca puede aprender de algunas prácticas de seguridad utilizadas en el ámbito cripto. Algunas plataformas dividen el control de una clave entre varias partes, de modo que una sola computadora no pueda autorizar una transferencia; la profesora comparó ese método con una bóveda que necesita dos llaves giradas al mismo tiempo. Así, si un atacante compromete un portátil, todavía no obtiene por sí solo todo lo necesario para mover fondos.

Otro frente emergente son los agentes personales de inteligencia artificial, que algunos consumidores emplean para hacer compras o pagar facturas en su nombre. Entre ellos se encuentra Muse, de Meta, aunque la información no afirma que ese agente haya provocado alguno de los ataques mencionados. La cuestión para las entidades es cómo conceder automatización sin entregar a un programa acceso irrestricto a cuentas y pagos.

Citigroup y Bank of America restringieron el acceso de los agentes a las cuentas de sus clientes, mientras que Jamie Dimon, director ejecutivo de JPMorgan Chase, instó a las instituciones financieras a no permitir que agentes autónomos de IA manejen pagos bancarios y advirtió sobre el riesgo que representan. En Reino Unido, HSBC, Nationwide, NatWest, Barclays y Lloyds también bloquearon el acceso de esos agentes a sus cuentas.

Algunos prestamistas europeos han optado por controles intermedios: Santander e ING permiten pagos iniciados por agentes, pero solo dentro de límites fijados previamente por el cliente o después de que este apruebe cada compra. Esa diferencia muestra que las entidades no están adoptando una política única, sino que buscan equilibrar la comodidad de la automatización con la supervisión humana y el control sobre las transacciones.

La secuencia de incidentes no permite concluir que todos los bancos sean igualmente vulnerables ni que la regulación carezca de valor. Sí expone una tensión central: los controles pueden facilitar la detección, la cooperación y la recuperación, pero proveedores comprometidos, sistemas obsoletos y accesos excesivos siguen creando oportunidades para los atacantes. El reportaje considera probable que el ataque a Crédit Mutuel Arkéa no sea el último dirigido al sector financiero europeo.

ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín