Actualización (30 de oct., 2:44 am UTC): Este artículo ha sido actualizado para incluir la investigación preliminar de Binance sobre la violación de seguridad.

La investigación inicial de Binance sobre la violación cripto multimillonaria apunta a la laptop comprometida de un ingeniero de DevOps. El exchange dijo el viernes que el compromiso pudo haber permitido que un atacante accediera a un contenedor de servicios y enviara transacciones de retiro no autorizadas. Añadió que no encontró evidencias de fuga de la clave privada de la wallet, aunque subrayó que su investigación sigue en curso.

La evaluación preliminar de Blockaid apunta en la misma dirección. En declaraciones a Cointelegraph el jueves, el CEO de Blockaid, Ido Ben-Natan, dijo que el incidente pareció involucrar un "mal uso de claves", en el que los atacantes engañaron o comprometieron un sistema de firma para autorizar transacciones maliciosas sin extraer la clave privada subyacente.

"Parece ser … un compromiso de la infraestructura de firma. No creemos que se haya filtrado una clave", dijo. La evaluación de Ben-Natan se basó en la experiencia de Blockaid con ataques similares y en sus observaciones de la actividad onchain.

Binance estima un impacto de $6,300 millones y congela unos $3,000 millones

Binance anunció sus hallazgos preliminares en un comunicado en X, al estimar el impacto total del incidente en unos $6,300 millones y decir que había trabajado con socios de blockchain para congelar aproximadamente $3,000 millones en activos robados onchain. De confirmarse, la estimación superaría el robo a Bybit de febrero de 2025, hasta ahora el mayor hackeo reportado en la historia cripto.

El exchange dijo que cubrirá todas las pérdidas utilizando su Secure Asset Fund for Users (SAFU) y fondos de la compañía, añadiendo que los fondos de los usuarios están seguros. SAFU es un fondo de seguro de emergencia creado por Binance en 2018, financiado con una parte de las comisiones de trading y diseñado para cubrir pérdidas de usuarios en casos extremos. También se comprometió a publicar una Prueba de Reservas actualizada, el método criptográfico que los exchanges usan para demostrar que poseen los activos que respaldan los saldos de los clientes.

Los depósitos y retiros fueron suspendidos temporalmente mientras se realizaban controles de seguridad, y Binance dijo que había revocado la autorización de la dirección afectada. La compañía trabaja con las autoridades y socios de inteligencia de blockchain para rastrear y recuperar los fondos, y dijo que publicará un post-mortem técnico detallado una vez que la investigación esté completa y los hechos plenamente verificados.

Blockaid identifica una delegación maliciosa de wallet

En un análisis onchain publicado en X, Blockaid dijo que el atacante agrupó 50 autorizaciones EIP-7702 en una sola transacción dirigida a Binance 14. Una autorización, según se reportó, coincidió con el nonce requerido de la cuenta, lo que permitió que fuera aceptada.

El EIP-7702, que entró en vigencia con la actualización Pectra de Ethereum en mayo de 2025, permite a una cuenta delegar la ejecución a código de smart contract. Blockaid detalló además que la cuenta afectada fue delegada a un contrato sweeper no verificado, que permitía a un operador designado drenar tokens y Ether.

Relacionado: El hackeo a Binance sacude los mercados cripto mientras BNB cae 7% y Bitcoin retrocede

Ben-Natan dijo a Cointelegraph que la operación pudo haber involucrado múltiples dispositivos comprometidos y movimiento a través de la red interna del exchange.

Antes de la última actualización de Binance, el CEO de Arkham, Miguel Morel, dijo a Cointelegraph que había información insuficiente para determinar si el ataque involucraba claves robadas o infraestructura comprometida. "Por lo que podemos ver, parece que el hackeo aún está en curso", dijo en su momento.

Comparación con Corea del Norte y Bybit

Al ser consultado sobre si la presunta manipulación de firmas se asemejaba al ataque a Bybit de febrero de 2025, Ben-Natan describió ambos incidentes como "muy, muy similares". En ese caso, la actualización forense publicada por Bybit dijo que los atacantes comprometieron las credenciales de un desarrollador de Safe, accedieron a la infraestructura del proveedor de wallets y engañaron a los firmantes para aprobar una transacción maliciosa. El FBI atribuyó ese robo, estimado en unos $1,500 millones, a hackers vinculados a Corea del Norte.

Ben-Natan también dijo que la actividad se asemejaba a operaciones vinculadas a Corea del Norte, citando la familiaridad de Blockaid con esos ataques. Señaló preparaciones onchain sofisticadas, pero enfatizó que la atribución seguía sin confirmarse.

Binance no ha identificado a los atacantes y dijo que trabaja con las autoridades para establecer sus identidades.

Magazine: Ledger manipulado fue reportado en Singapur un mes antes de que estallara la noticia: Asia Express