Binance confirmó el viernes que atacantes robaron aproximadamente $6,300 millones en varias blockchains, en lo que la casa de cambio describió como el mayor robo en la historia de las criptomonedas. La empresa se ha comprometido a cubrir todas las pérdidas.

Solo en Ethereum, unos $2,500 millones fueron drenados de una wallet de Binance en menos de cuatro minutos utilizando la función EIP-7702 de la red, y cerca de $3,000 millones de los activos afectados han sido congelados desde entonces.

La casa de cambio dijo que su investigación inicial sugería que el incidente de seguridad pudo involucrar una laptop comprometida, pero que una investigación posterior reveló puntos de brecha adicionales.

Investigation update: Our initial investigation suggested that the security incident may have involved a compromised laptop, however our subsequent investigation has uncovered additional points of breach. This was a complex attack, and we are doing all we can in coordination… pic.twitter.com/FQQ3vKT6GU

— Binance (@binance) October 30, 2026

Un drenaje de cuatro minutos en Ethereum

El atacante utilizó EIP-7702, una función que se activó en mayo de 2025 como parte de la actualización Pectra de Ethereum, para mover unos $2,500 millones en ether y tokens fuera de una wallet de Binance en menos de cuatro minutos el jueves.

La mayoría de las wallets de Ethereum están controladas por una sola clave privada y no pueden aplicar reglas como límites de gasto. EIP-7702 permite que una wallet ordinaria tome prestado código de un contrato inteligente al firmar un mensaje corto conocido como autorización. La función fue creada para ayudar a las wallets a agrupar pagos y permitir que terceros cubran las comisiones de transacción.

En las semanas siguientes al lanzamiento de la actualización, la firma de trading Wintermute descubrió que la mayoría de las delegaciones tempranas apuntaban a scripts "sweeper" — programas que reenvían los fondos de una wallet a un ladrón — una señal temprana de que la función estaba siendo utilizada de forma abusiva para robar.

How the Binance hack worked: The attacker exploited EIP-7702 – an Ethereum Pectra upgrade That lets a regular wallet temporarily act as a smart contract with a valid private key signature. Hacker pre-collected 50 EIP-7702 authorizations with sequential nonces Not knowing the… pic.twitter.com/Cq5lv8Qwc7

— philarekt (@philarekt) October 29, 2026

Cómo se desarrolló el ataque

El atacante comenzó a financiar su wallet principal a través de Tornado Cash, un servicio de mezcla de criptomonedas, a partir del miércoles. Probó el plan en sus propias wallets y desplegó un contrato sweeper aproximadamente a las 16:00 UTC del jueves, configurado de modo que solo la wallet del atacante pudiera operarlo.

A las 20:20 UTC, el atacante envió una única transacción que contenía 50 autorizaciones. Cada una estaba firmada por una wallet etiquetada como "Binance 14" en Etherscan y llevaba un valor distinto de contador de transacciones, o nonce, de manera que una coincidiera mientras la wallet seguía enviando retiros. Ethereum aceptó la autorización numerada 18,914,809 e ignoró las otras 49.

A las 20:24 UTC, el atacante movió unos 167,464 ETH y 63 tokens, incluidos aproximadamente 1,600 millones de USDT. Más depósitos de clientes fueron barridos de la wallet a las 21:04 y 21:44 UTC. Según TRM Labs, el atacante también utilizó la wallet para ordenar a otra wallet de Binance que enviara 823 millones de USDC. El permiso no fue revocado hasta las 00:10 UTC del viernes — casi cuatro horas después de la transacción inicial.

El robo se extendió más allá de Ethereum

La operación no se limitó a Ethereum. El atacante también movió 18,270 bitcoins, cientos de millones de XRP y fondos en Solana y Tron. Esas redes no utilizan EIP-7702, y los fondos salieron mediante transferencias firmadas ordinarias, según TRM Labs.

La investigación apunta a una laptop comprometida

El co-CEO de Binance, Richard Teng, dijo que los hallazgos iniciales apuntaban a la laptop comprometida de un ingeniero de DevOps. Señaló que el ataque no fue una acción única de "un clic" y que no había evidencia de que las claves privadas se hubieran filtrado.

Binance indicó después que los investigadores encontraron puntos de brecha adicionales, pero la empresa no los nombró ni explicó cómo el atacante obtuvo las firmas.

Las firmas de seguridad opinan

Las firmas de seguridad dijeron que la actualización no causó el hackeo, pero que pudo haber ayudado a los atacantes a eludir controles. Ido Ben-Natan, CEO de la firma de seguridad Blockaid, dijo que los atacantes pudieron haber robado los fondos sin EIP-7702, pero que la función les permitió hacerlo en un solo barrido y pudo haber ayudado a eludir algunas verificaciones. Ivo Georgiev, CEO del proveedor de wallets Ambire, ofreció una evaluación contrastante, afirmando que la función hizo poca diferencia porque los hackers ya podían autorizar transacciones.

Debido a que la operación también involucró transferencias firmadas ordinarias en redes que no utilizan EIP-7702, el incidente no establece que la función de Ethereum por sí sola explicara la totalidad del robo. Los puntos de brecha adicionales y la ruta del ataque, que aún no se ha publicado, dejan sin resolver el alcance de cualquier cambio de seguridad.

Binance se compromete a cubrir las pérdidas

Binance dijo que unos $3,000 millones de los activos afectados han sido congelados. La casa de cambio planea utilizar su fondo de emergencia SAFU y fondos propios para cubrir las pérdidas. La ruta completa del ataque no ha sido publicada. Una mayor claridad dependerá de la investigación de Binance, incluida una explicación de los puntos de brecha adicionales y de cómo se obtuvieron las firmas.