Billeteras vinculadas al presunto hackeo a Binance recibieron decenas de miles de ETH de contratos de Uniswap y pidieron prestados 19,762 ETH en Aave contra aproximadamente 60 millones de dólares en USDT. No hay indicios de que alguna de las dos aplicaciones haya sido explotada.

Al momento de las 22:07 UTC, unos 253,000 ETH—valorados en aproximadamente 570 millones de dólares—se encontraban en dos billeteras sin ninguna transferencia saliente. A diferencia de las stablecoins centralizadas, el ETH no tiene ningún emisor que pueda congelar el activo.

La actividad se produjo cuando el atacante detrás de las billeteras que drenaron Binance utilizó exchanges descentralizados y protocolos de préstamo como rutas de salida. Los registros de Etherscan de 10 billeteras, ocho de las cuales están etiquetadas como explotadores, muestran al presunto atacante convirtiendo stablecoins que los emisores pueden congelar en ETH, que no puede ser congelado por ningún emisor.

Las billeteras vinculadas al exchange de criptomonedas más grande del mundo fueron drenadas en al menos 5,500 millones de dólares el jueves, con un total que sigue aumentando. Binance dijo que estaba investigando un incidente de seguridad pero no confirmó si los fondos de los usuarios fueron afectados. Los expertos en seguridad creen ampliamente que el exchange fue hackeado. De confirmarse, el incidente sería el mayor hackeo en los 18 años de historia de la industria cripto.

Los emisores de stablecoins Tether y Circle se movieron rápidamente para incluir en listas negras las direcciones asociadas con el presunto atacante, congelando parte de los fondos y haciéndolos inaccesibles. Como emisores centralizados, ambas empresas pueden incluir direcciones en listas negras para que sus tokens no puedan moverse. Más de 2,000 millones de dólares en USDT y USDC han sido congelados hasta ahora por diferentes proveedores de stablecoins. El ETH no tiene emisor, lo que significa que los fondos convertidos a ETH antes de una congelación ya no pueden bloquearse de la misma manera.

Los intercambios se realizaron a través de Uniswap, un exchange descentralizado donde las operaciones se liquidan automáticamente sin una empresa actuando como intermediaria. Una billetera de relevo recibió 20,940 ETH, valorados en 45.58 millones de dólares, del contrato UniswapX de Uniswap a las 20:34 UTC. Otra recibió 3,552 ETH, valorados en más de 8 millones de dólares, a las 20:47 UTC.

Dos billeteras posteriores recibieron aproximadamente 18,085 ETH, valorados en alrededor de 41 millones de dólares, de contratos de Uniswap en lotes de 7,444 ETH y 10,642 ETH. También recibieron unos 16,498 ETH, valorados en 37.5 millones de dólares, en lotes de 6,946 ETH y 9,552 ETH.

Aave, una aplicación de préstamos que permite a los usuarios depositar criptomonedas como colateral y pedir prestados otros activos, ofreció una segunda ruta de salida. Entre las 20:57 y las 21:01 UTC, una billetera depositó 10 millones y luego 50 millones de dólares en USDT. Contra esos depósitos, pidió prestados 3,271 ETH, valorados en 7.43 millones de dólares, y luego 16,491 ETH, valorados en 37.47 millones de dólares. La ruta de préstamo llega al mismo destino que los intercambios: las stablecoins depositadas quedan atrás como colateral, mientras que el ETH prestado no tiene ningún emisor con el poder de congelarlo.

Las transacciones llevaron a Odysseas Lamtzidi, fundador de la empresa de ciberseguridad Phylax Systems, a advertir sobre un "contagio en pleno efecto".

Update: They just approved AAVE. Contagion in full effect — Odysseus | phylax.systems (@odysseas_eth) October 29, 2026

Aave desde entonces ha congelado sus mercados V3 en la mainnet de Ethereum, bloqueando nuevos depósitos y préstamos. El paso subraya una diferencia estructural en cómo puede responder la industria: los emisores de stablecoins incluyen direcciones individuales en listas negras, mientras que los protocolos descentralizados pausan mercados enteros.

Kamino, un protocolo de finanzas descentralizadas construido en Solana, también pausó sus mercados de Solana y Bitcoin como precaución. Kamino dijo que no se vio afectado por la situación de Binance y que había pausado temporalmente los préstamos en el mercado SOL/BTC mientras monitoreaba los acontecimientos y se comunicaba con socios.

Kamino can confirm that it is currently unaffected by the ongoing Binance situation Out of an abundance of caution, we have temporarily paused borrowing in the SOL/BTC Market We are actively monitoring the situation and are in communication with various partners. Any further… — Kamino (@kamino) October 29, 2026

El ETH se ha acumulado en las billeteras de los presuntos explotadores en lugar de moverse. Una billetera etiquetada como Exploiter 8 mantenía 195,460 ETH, valorados en 444.2 millones de dólares, a las 22:03 UTC. Otros 57,891.77 ETH, valorados en 131.6 millones de dólares, habían llegado a una billetera etiquetada como Exploiter 11. En conjunto, las tenencias sumaron unos 253,000 ETH, o aproximadamente 570 millones de dólares.

El segundo grupo de fondos llegó después de cuatro transferencias en 28 minutos: de Exploiter 4 a Exploiter 5, de 5 a 6, de 6 a 7 y de 7 a 11.

El atacante también intercambió 36 millones de RLUSD, la stablecoin respaldada por dólares de Ripple, por 15,439 ETH. Otros 52.54 millones de RLUSD permanecían sin congelar en la billetera de custodia, según una actualización en cadena que circula en X. Etherscan mostró que la billetera principal de recepción mantenía aproximadamente 88.5 millones de dólares en RLUSD a las 20:41 UTC, lo que coincide con el valor combinado de ambas cantidades. Si el RLUSD restante se congela por completo, si el ETH acumulado comienza a moverse, si Aave y Kamino reabren sus mercados pausados y si Binance detalla el impacto en los fondos de los usuarios son los desarrollos inmediatos a observar.

La co-CEO de Binance, Yi He, dijo que Ripple desde entonces había congelado unos 200 millones de dólares en RLUSD, además de más de 2,000 millones de dólares en USDT y USDC congelados por proveedores de stablecoins.

"Thanks to the Ripple team for promptly freezing approximately 200 million. User Funds are SAFU", escribió Yi He en X, en referencia al fondo de reserva de emergencia de Binance.

"Ripple is closely monitoring reports of a potential exploit involving Binance and its attackers' RLUSD holdings and we are actively freezing affected funds", dijo Jack McDonald, vicepresidente senior de stablecoins de Ripple, en un comunicado. "We're coordinating with relevant parties and stand ready to support any investigation and appropriate action to keep users protected".

Ripple is closely monitoring reports of a potential exploit involving Binance and its attackers’ RLUSD holdings and we are actively freezing affected funds. We’re coordinating with relevant parties and stand ready to support any investigation and appropriate action to keep users… — Jack McDonald (@JackMcDonald) October 29, 2026

Tornado Cash, un mixer que oculta el rastro de los pagos en criptomonedas, hasta ahora aparece solo como fuente de financiamiento de la dirección que estableció el ataque.

Para conocer cómo se han desarrollado antes incidentes de esta magnitud, el hackeo a Bybit es el precedente más reciente: tras ese ataque, el grupo Lazarus de Corea del Norte convirtió el 84.45% del ETH robado en Bitcoin a través de Thorchain, una red de intercambios entre cadenas, según el CEO de Bybit. Monero, una moneda de privacidad que oculta la identidad de los participantes en las transacciones, subió alrededor del 6% el jueves, lo que sugiere una posible rotación hacia la moneda de privacidad.

Source: https://decrypt.co/382194/binance-hack-exit-ramps-defi-exchange-ethereum