Binance publicó su segunda actualización del incidente de seguridad el 30 de octubre, presentando un plan de recuperación en cuatro partes para el reciente hackeo del exchange, con el objetivo de iniciar la restauración de retiros aproximadamente 34 horas después del anuncio. El reinicio por fases de los retiros seguía condicionado a la finalización de verificaciones de seguridad, remediación y validación de los sistemas afectados, mientras los depósitos y otros servicios no afectados continuaban operando con normalidad, según el anuncio.

Los co-CEO Yi He y Richard Teng firmaron la actualización, que ubicó el compromiso de la billetera caliente aproximadamente a las 8:05 p.m. UTC del 29 de octubre. Las billeteras calientes son billeteras conectadas a internet que los exchanges utilizan para procesar retiros diarios, en contraste con los sistemas de almacenamiento en frío fuera de línea. Al abordar la pérdida estimada de 6.300 millones de dólares, el comunicado subrayó que los usuarios no asumirán el costo:

"Binance absorberá el impacto financiero de estos fondos robados, no nuestros usuarios."

El exchange se comprometió a cubrir las pérdidas a través de su Fondo de Activos Seguros para Usuarios (SAFU) y su tesorería corporativa, es decir, las reservas financieras de la empresa. SAFU es un fondo de emergencia que Binance estableció en 2018 y financia con una parte de las comisiones de negociación.

Compras de tokens y congelamientos en la cadena

Binance dijo que más de 6.340 millones de dólares en fondos de la empresa habían sido reservados para las pérdidas, incluidos 5.000 millones ya mantenidos en los activos de tokens afectados. Esas tenencias cubrían aproximadamente el 80% de las pérdidas en activos como $USDC, $USDT, BTC, ETH y BNB, con compras en curso a través de canales de mercado y de venta extrabursátil para adquirir los tokens restantes equivalentes. Las operaciones extrabursátiles se negocian directamente entre contrapartes en lugar de ejecutarse en libros de órdenes públicos.

Aproximadamente 3.000 millones de dólares habían sido congelados en la cadena, reportó Binance, y los esfuerzos de recuperación continuaban junto con autoridades policiales, emisores de tokens, empresas de inteligencia y otros exchanges. El análisis independiente de la firma de análisis de blockchain Elliptic sobre los esfuerzos de rastreo y congelamiento situó los congelamientos verificados en 2.840 millones de dólares a partir de su actualización de las 8 a.m. UTC del 30 de octubre, predominantemente en $USDT y $USDC. Los fondos congelados seguían sujetos a trabajos de recuperación en curso.

Dado que el rastreo de activos robados se basa en los registros públicos de transacciones de blockchain, los investigadores pueden examinar los saldos y transferencias de las billeteras directamente en la cadena. Por separado, Binance planeó una instantánea inicial de prueba de reservas dentro de las 12 horas posteriores a su anuncio, con resultados esperados para el lunes 2 de noviembre, mostrando las tenencias de la plataforma frente a los saldos de los clientes. Las certificaciones de prueba de reservas se convirtieron en una práctica generalizada de transparencia entre los principales exchanges tras el colapso de FTX en 2022.

La investigación apunta al acceso de firma

Los hallazgos iniciales indicaron que la laptop comprometida de un ingeniero de DevOps permitió presentaciones de retiros no autorizadas. Los ingenieros de DevOps mantienen el despliegue de software y la infraestructura que lo respalda. Binance sostuvo que no había encontrado evidencia de claves privadas de billeteras filtradas, las credenciales criptográficas que controlan el acceso a los fondos en la cadena.

En un video separado del 30 de octubre, Teng describió puntos adicionales de brecha, controles de aprobación eludidos y un mecanismo de autodestrucción que destruyó herramientas y rastros. Binance dijo que había contenido la infraestructura comprometida, revocado las autorizaciones afectadas e introducido controles adicionales contra actividades no autorizadas, mientras especialistas internos y externos trabajaban para reconstruir la secuencia completa del ataque.

El análisis de la firma de seguridad de blockchain Hypernative identificó acceso de firma comprometido y firmas válidas producidas desde claves controladas por Binance. La firma describió el uso de EIP-7702, una característica de Ethereum que permite a una billetera regular ejecutar código de contratos inteligentes, para ejecutar código controlado por atacantes a través de una billetera de Binance.

Binance dijo que esperaba más hallazgos técnicos verificados dentro de aproximadamente 48 horas posteriores al anuncio, sujetos a consideraciones de la investigación, seguidos de un informe detallado post-mortem que cubra el ataque y las salvaguardas introducidas en respuesta.