Hackers robaron aproximadamente $6.300 millones a Binance el jueves, en lo que constituye el mayor robo de criptomonedas registrado, superando ampliamente los $1.500 millones sustraídos de Bybit en febrero de 2025. Socios de la industria han congelado cerca de $3.000 millones en activos afectados, mientras los clientes del exchange esperan la reapertura de los retiros.

La firma de análisis blockchain TRM Labs rastreó las primeras transferencias no autorizadas alrededor de las 8:05 pm UTC del jueves, cuando las wallets de Binance fueron drenadas en múltiples blockchains. Los atacantes se dirigieron a las hot wallets, que los exchanges mantienen conectadas a internet para procesar retiros. Debido a que deben permanecer en línea, las hot wallets generalmente se consideran la parte más expuesta de la infraestructura de un exchange, y los principales ataques a exchanges se han centrado repetidamente en ellas.

TRM Labs atribuyó el ataque al grupo TraderTraitor de Corea del Norte, el mismo actor que el Buró Federal de Investigaciones de Estados Unidos (FBI) responsabilizó del robo a Bybit. Binance no ha confirmado públicamente la identidad de los atacantes. Si la atribución se confirma, los dos mayores robos de criptomonedas registrados se remontarían a un solo grupo.

Las cifras y la cronología siguientes provienen de la cobertura en vivo de Cointelegraph sobre el incidente y de las declaraciones posteriores del exchange. La investigación está en curso, tanto los totales de las pérdidas como el calendario de recuperación pueden cambiar.

Binance reserva $6.340 millones para cubrir las pérdidas

Binance dijo que ha reservado más de $6.340 millones en fondos de la empresa para cubrir las pérdidas, incluidos $5.000 millones ya mantenidos en los tokens afectados. Esa asignación excluye los activos congelados, y el exchange dijo que está comprando los tokens restantes mediante exchanges y operaciones fuera de mercado (OTC). En conjunto, los congelamientos de los socios y la reserva financiada por la empresa reflejan las dos principales palancas de recuperación en un robo de esta escala: interceptar los fondos robados mientras se mueven por el ecosistema y reponer los saldos de los clientes con el balance del propio exchange.

Un vocero dijo a Cointelegraph que los $5.000 millones estaban bajo custodia de Binance, pero se negó a revelar las direcciones de las wallets, citando razones de seguridad. La firma de seguridad CertiK dijo que necesitaba más información para verificar las tenencias de forma independiente.

El papel de EIP-7702 bajo escrutinio

La actualización EIP-7702 de Ethereum quedó bajo escrutinio después de que los atacantes la usaron para drenar una wallet de Binance. EIP-7702 es una función que permite a una wallet autorizar a un software para actuar en su nombre. El CEO de Blockaid, Ido Ben-Natan, dijo a Cointelegraph que sistemas de firma comprometidos probablemente facilitaron el robo.

Según Ben-Natan, los atacantes podrían haber robado los fondos sin EIP-7702, pero la función pudo haberles ayudado a sortear las salvaguardas y drenar los activos en una sola maniobra.

El co-CEO de Binance, Richard Teng, dijo que el atacante usó una delegación de EIP-7702 para obtener autoridad de ejecución sobre una hot wallet sin pasar por los controles de aprobación normales del exchange. Un "mecanismo de autodestrucción" destruyó las herramientas y rastros, complicando la investigación, dijo.

Binance dijo que los investigadores también habían descubierto brechas adicionales más allá de la laptop comprometida inicialmente sospechada. Sin embargo, el exchange reportó que no hay evidencia de que las claves privadas de las wallets se hayan filtrado, y dijo que esperaba compartir más hallazgos técnicos en aproximadamente 48 horas.

"Para ser claros: el atacante no simplemente usó los permisos de un ingeniero, y esta no fue una sola acción de 'un clic'," dijo Teng. "Nuestra investigación no ha atribuido responsabilidad a ningún individuo."

Chainalysis observó miles de transacciones en rápida sucesión que podrían indicar un lavado automatizado, con fondos circulando entre direcciones y en ocasiones regresando a wallets utilizadas anteriormente.

Los usuarios esperan la reapertura de los retiros

El robo sacudió los precios de las criptomonedas e impulsó al prestamista descentralizado Aave a imponer un congelamiento preventivo de nuevos depósitos y préstamos. Aave anunció en X que sus mercados reabrieron el viernes por la tarde, mientras los retiros de Binance permanecían suspendidos.

En una actualización del viernes en X, Binance dijo que apuntaba a comenzar a reabrir los retiros por etapas el domingo 1 de noviembre, sujeto a la finalización de las verificaciones de seguridad. Los depósitos y otros servicios no afectados permanecieron operativos.

En un anuncio oficial, el exchange también dijo que planeaba tomar una primera instantánea de proof-of-reserves dentro de las 12 horas posteriores al anuncio, con resultados listos para el lunes. El informe está destinado a mostrar los activos que Binance posee y el respaldo de los saldos de los clientes.

En una actualización del sábado, Binance dijo que había repuesto el 90% de los activos robados y que seguía en camino de reabrir los retiros para el domingo. En conjunto, la reapertura por etapas que comenzará el domingo, los hallazgos técnicos prometidos en aproximadamente 48 horas y los resultados de proof-of-reserves previstos para el lunes conforman la línea de tiempo contra la cual se podrá medir la recuperación del exchange.