La investigación de Binance sobre su reciente brecha de seguridad ha ido más allá de la teoría inicial de que una sola laptop comprometida desencadenó el incidente. El co-CEO Richard Teng dijo que los investigadores han identificado puntos adicionales de intrusión y han rastreado cómo el atacante obtuvo la aprobación on-chain sobre una de las hot wallets del exchange. Añadió que no hay evidencia de una fuga de claves privadas. Binance se ha comprometido a cubrir todas las pérdidas con fondos propios y su Secure Asset Fund for Users (SAFU), el fondo de emergencia que el exchange creó en 2018 para cubrir pérdidas en casos extremos.

El ataque fue más complejo que una brecha de un solo clic

En una publicación en X, el co-CEO Richard Teng dijo que Binance inicialmente sospechaba que el hackeo comenzó con una laptop comprometida. Los hallazgos posteriores revelaron más puntos de intrusión, lo que hizo que el ataque fuera considerablemente más complejo que una brecha de un solo clic.

Según Teng, el atacante obtuvo acceso a un contenedor de servicios y luego envió transacciones de retiro no autorizadas. Recalcó que el incidente no fue un caso de un solo empleado que hiciera mal uso de los permisos, y Binance no ha asignado responsabilidad a ningún individuo.

Los investigadores dijeron que el atacante desplegó un mecanismo de autodestrucción para borrar herramientas y rastros, lo que ralentizó el avance del equipo de seguridad en la reconstrucción de la ruta del ataque. Este tipo de tácticas de borrado, comúnmente descritas en la industria de la seguridad como técnicas anti-forenses, están diseñadas para dificultar la reconstrucción posterior al incidente.

Teng también dijo que el atacante explotó EIP-7702, una función de autorización de Ethereum, para obtener la aprobación de ejecución on-chain sobre una hot wallet de Binance. Esto le permitió eludir los controles habituales de aprobación de Binance. EIP-7702 entró en vigor como parte de la actualización Pectra de Ethereum en mayo de 2025 y permite que las cuentas de usuario estándar adopten temporalmente funcionalidades de contratos inteligentes, como agrupar múltiples operaciones bajo una sola autorización.

El exchange no ha reportado ninguna falla en EIP-7702 en sí, y afirmó en cambio que el atacante usó la función para eludir sus controles internos. Binance dijo que no ha encontrado evidencia de que las claves privadas de las wallets estuvieran expuestas. La investigación continúa y el exchange planea publicar un análisis técnico post-mortem una vez verificados sus hallazgos.

Binance reserva 6.340 millones de dólares para cubrir las pérdidas

Teng dijo que los fondos de los clientes no se vieron afectados y que Binance indemnizaría a los usuarios. El exchange ha reservado más de 6.340 millones de dólares en fondos propios para cubrir los activos robados, según una actualización anterior de Teng.

Según Teng, unos 5.000 millones de dólares ya están en poder de la empresa en los mismos activos involucrados en el incidente, incluidos BTC, ETH, BNB, USDT y USDC. Binance trabaja para adquirir el monto restante mediante compras de mercado y transacciones extrabursátiles.

El exchange estimó el impacto total de la brecha en alrededor de 6.300 millones de dólares y dijo que aproximadamente 3.000 millones habían sido congelados on-chain con la ayuda de socios de blockchain. Teng señaló que la mayoría de los activos de los clientes se custodian en cold wallets y solo se trasladan a hot wallets cuando los usuarios solicitan retiros. Las cold wallets mantienen las claves privadas fuera de línea, mientras que las hot wallets permanecen conectadas a internet para procesar los retiros de los usuarios: la capa que ahora está en el centro de la investigación y los esfuerzos de remediación.