Intel MX

[Intel MX] 2026-10-30 Binance pierde 6,300 mdd por una laptop comprometida; México sin víctimas

30 de octubre de 2026

nacional
latam
finanzas
tecnologia
gobierno
educacion
transporte
retail
brecha
malware
vulnerabilidad
filtracion-datos
datos-personales
datos-menores
sin-victimas-mx
confianza-media
confianza-baja

Una laptop, 6,300 millones de dólares y una semana mala para los proveedores de terceros.

Hoy no se registraron nuevas víctimas de ransomware en México. El tema del día es el robo a Binance, el mayor en la historia de las criptomonedas. La plataforma lo vincula con la laptop comprometida de un ingeniero de DevOps y los investigadores de blockchain lo atribuyen a Corea del Norte. En los medios mexicanos circularon cifras de entre 2,500 y más de 6,000 millones de dólares, porque unas se referían a lo congelado, otras a lo estimado y otras a lo confirmado. Alrededor de eso hay un patrón claro: Polymarket y Japan Airlines resultaron afectadas a través de proveedores externos, se explota activamente una falla crítica en Drupal Commerce, empiezan a confirmarse explotaciones de los errores PHP2Shell y una campaña de minería en Hugging Face volvió días después de su retiro. En la región, un actor asegura haber publicado 1.7 millones de registros de estudiantes de la provincia de Buenos Aires.

Binance: 6,300 millones de dólares y una laptop de DevOps

Binance, el exchange de criptomonedas más grande del mundo, confirmó el jueves un robo de unos 6,300 millones de dólares que los investigadores de blockchain atribuyen a Corea del Norte, mientras la empresa intenta congelar los fondos ^[1]. La compañía vinculó la intrusión con la laptop comprometida de un ingeniero de DevOps, aunque también dijo haber encontrado puntos de intrusión adicionales que sigue investigando ^[2]. Al principio se investigaba una posible brecha de hasta 5,800 millones de dólares en activos digitales ^[3]. En México se reportó que Binance suspendió depósitos y retiros y que se habían congelado más de 2,500 millones de dólares ^[4].

Comentario del editor: Las cifras que circularon en medios mexicanos (2,500, 5,800 y más de 6,000 millones) no se contradicen. Corresponden a distintos momentos del incidente y mezclan lo congelado, lo estimado y lo confirmado. La lección para las fintech y los exchanges que operan en México va más allá de lo cripto: el punto de entrada señalado fue la estación de trabajo de un ingeniero con acceso privilegiado a la infraestructura. Si las estaciones de trabajo de DevOps no se segmentan ni se monitorean como si fueran servidores de producción, ahí está el hueco.

Polymarket: un proveedor externo sirvió JavaScript para vaciar carteras

Polymarket, la plataforma de mercados de predicción, tuvo interrupciones desde las 14:00 (hora del este de EE. UU.) del jueves y después las atribuyó al compromiso de un proveedor que no identificó ^[5]. Los atacantes usaron ese servicio externo para distribuir JavaScript que vaciaba carteras de criptomonedas. Polymarket suspendió las operaciones de forma temporal y se rastrearon alrededor de 2.5 millones de dólares hasta una cartera que se presume del atacante ^[6].

Comentario del editor: Es la misma lógica de cadena de suministro web que ya golpeó a comercios electrónicos con skimmers. El código que carga el navegador del cliente también es superficie de ataque, aunque no lo hospedes tú. Vale la pena revisar las políticas CSP y la integridad de los scripts de terceros.

Drupal Commerce Core: falla crítica explotada activamente

Drupal pidió a los administradores parchear una vulnerabilidad crítica de omisión de acceso en el módulo Commerce Core, que ya se explota en ataques reales ^[7]. Como el módulo da soporte a tiendas en línea construidas sobre Drupal, el riesgo recae sobre todo en sitios de comercio electrónico.

PHP2Shell: primeras explotaciones confirmadas

Empiezan a documentarse explotaciones exitosas de los errores conocidos como PHP2Shell. Una firma de ciberseguridad enumeró media docena de casos y otra identificó una campaña muy dirigida, presuntamente china, que comprometió servidores estadounidenses "afiliados al gobierno" ^[8].

Hugging Face y agentes de IA como vector de infección

Una campaña de criptominería que abusa de modelos alojados en Hugging Face volvió días después de su retiro. Secuestra servidores con GPU e instala puertas traseras, y uno de los modelos superó las 28,000 descargas ^[9]. Aparte, en GitHub apareció un falso kit de inicio para Solana pensado para engañar a agentes de programación con IA y hacer que instalen el troyano de acceso remoto NetSupport RAT ^[9].

Comentario del editor: Lo del kit de Solana es lo que hay que vigilar. El objetivo ya no es el desarrollador, sino el agente que ejecuta dependencias sin que nadie las lea. Los equipos que dejan a sus asistentes de IA instalar paquetes sin revisión humana le dan ese permiso a cualquiera que publique un repositorio convincente.

NetamLoader: nuevo malware contra gobiernos en Asia

Hay ataques contra sistemas Windows de gobiernos en Asia con un malware hasta ahora desconocido, bautizado NetamLoader. Usa componentes legítimos de software de Microsoft para ejecutar código malicioso, evadir las herramientas de seguridad y descargar programas adicionales en los equipos infectados ^[10].

Japan Airlines: datos de 92,000 pasajeros expuestos vía Amadeus

Japan Airlines informó que una brecha en el sistema de servicio a pasajeros (Passenger Service System) de Amadeus expuso los datos de cerca de 92,000 clientes ^[11]. El incidente ocurrió en el proveedor y no en la infraestructura propia de la aerolínea.

Buenos Aires: presunta filtración de 1.7 millones de registros escolares

Un actor con el alias "dmitryy" asegura haber publicado una base de datos llamada ALUMNOS GBA. Según su descripción, es un conjunto estructurado con información de inscripción de estudiantes de la provincia de Buenos Aires, Argentina, del ciclo escolar 2025, con unos 1.7 millones de registros ^[12]. Por ahora es solo una afirmación del actor; las autoridades educativas no la han confirmado.

Comentario del editor: Si se confirma, sería una filtración masiva de datos de menores en la región. Las bases de inscripción escolar se reutilizan después para fraude de identidad y extorsión a familias. Las secretarías de educación en México manejan padrones equivalentes, y sus controles de acceso suelen ser más débiles que los del sector financiero.

Referencias