Los atacantes drenaron la mayor parte de los aproximadamente 6.300 millones de dólares de las hot wallets de Binance en unos 20 minutos, y la secuencia completa del atraco ya está disponible como línea de tiempo. Según la firma de análisis de blockchain TRM Labs, los ladrones hicieron que el propio sistema de firma del exchange firmara las transacciones por ellos.

Un exchange de criptomonedas mantiene los fondos de los clientes en parte en hot wallets que permanecen en línea para procesar retiros, mientras el resto se guarda fuera de línea en almacenamiento en frío. Cada retiro pasa primero por una infraestructura de firma que verifica las solicitudes contra políticas internas; solo entonces las firma con las claves de la hot wallet. Quien controle esta capa, en consecuencia, no necesita ninguna clave privada. Binance reportó el robo el 29 de octubre de 2026 y citó nuevos puntos de entrada al día siguiente.

El patrón se asemeja mucho al hackeo de Bybit de febrero de 2025, en el que la capa de aprobación también falló y ningún bug de contrato tuvo influencia. TRM atribuye el ataque a Corea del Norte con alta confianza. En su reconstrucción del ataque, sitúa la pérdida en 6.360 millones de dólares en diez cadenas. Elliptic, en cambio, llega a 6.430 millones de dólares en once cadenas, con cada activo valorado al momento de la transferencia. Un informe de causa raíz prometido por el exchange debería aclarar la causa exacta.

36 horas de preparación vía Tornado Cash

Los preparativos comenzaron al menos 36 horas antes del robo. Desde el 28 de octubre de 2026, una wallet de operador recién creada recibió pequeños montos a través del mixer Tornado Cash: tres retiros de 0,1 ETH cada uno, según Elliptic. Alrededor de las 16:00 UTC del 29 de octubre de 2026, los atacantes desplegaron el contrato sweeper en la blockchain. El programa drena saldos en bloque y solo acepta comandos de la wallet de operador. Según la firma de seguridad Immunefi, consta de apenas unas 130 líneas de código.

Ese mismo día, horas antes, los atacantes habían probado una primera versión del código en dos wallets. Unas cuatro horas antes del ataque, ensayaron la versión final en una tercera wallet, tras lo cual los fondos de prueba regresaron al operador. Los atacantes así verificaron el código dos veces y lo ensayaron una. TRM ve el mismo patrón que en el hackeo de Bybit y el ataque a KelpDAO en abril de 2026.

Cómo se desarrolló el hackeo a Binance, minuto a minuto

En un comunicado inicial, Binance señaló una laptop posiblemente comprometida de un ingeniero de DevOps como punto de entrada. A través de esta máquina, los atacantes supuestamente habían accedido a un contenedor de servicios y enviado retiros no autorizados; según esta versión, al principio no había señales de claves privadas filtradas. Sin embargo, el 30 de octubre de 2026, el exchange reportó nuevos puntos de entrada y describió un ataque complejo que ninguna sola persona habría podido ejecutar. Binance aún no ha revelado cuáles son estos puntos, por lo que la laptop sigue siendo una afirmación inicial sin comprobar.

Los flujos de salida comenzaron a las 20:05 UTC del 29 de octubre de 2026 en la XRP Ledger. Para las 20:09, cinco wallets de Binance allí habían enviado 233,46 millones de XRP —valorados en unos 296 millones de dólares— a una sola dirección, con cada wallet deteniéndose en su saldo mínimo. Poco después de las 20:10, siguió Solana con 970.500 SOL, junto con Optimism. A las 20:20, la hot wallet de Bitcoin envió 18.270 BTC valorados en unos 1.470 millones de dólares; una denominada peel chain dividió el monto en fragmentos de 1.000 y 100 BTC dentro del mismo bloque. Al mismo tiempo, la hot wallet de Tron perdió 612,7 millones de USDT y 46,4 millones de TRX en dos minutos. Con el barrido de Ethereum a las 20:24, la fase principal había durado unos 20 minutos. Finalmente, una segunda oleada golpeó Avalanche y Polygon alrededor de las 23:05.

TRM extrae su conclusión central de esta secuencia. Por sí sola, la delegación de Ethereum podría parecer phishing. Sin embargo, los atacantes drenaron otras nueve cadenas con transferencias firmadas ordinarias, sin ninguna delegación. TRM concluye, por lo tanto, que el propio sistema de firma de las hot wallets firmó por el atacante. Datos de Elliptic respaldan esta lectura: una segunda hot wallet de Ethereum llamada "Binance 16" tiene su propia clave, y envió 28.006 ETH y otros tokens directamente al atacante, juntos valorados en 174 millones de dólares al momento del robo.

Cómo 50 autorizaciones desbloquearon el sweeper

En Ethereum, los atacantes usaron una función que llegó con la actualización Pectra en mayo de 2025. Bajo EIP-7702, una wallet común firma una autorización que apunta a un smart contract y luego ejecuta su código. La firma cubre solo el chain ID, la dirección de destino y el nonce —no la transacción individual—. El nonce es el contador de la cuenta. Ni el destinatario ni el monto forman parte de la firma, y cualquiera puede enviar tal autorización. La propia especificación advierte que la delegación otorga al código acceso sin restricciones a la cuenta.

A las 20:20:59 UTC, los atacantes enviaron una transacción con 50 autorizaciones. Cada una llevaba una firma de la clave de la wallet "Binance 14" y apuntaba al sweeper. Necesitaron tantas porque el nonce debe coincidir exactamente, mientras que la alta tasa de retiros seguía avanzando el contador. La serie cubrió los nonces 18.914.775 a 18.914.824; al final, solo el nonce 18.914.809 acertó, y la red descartó los otros 49. TRM lee la serie como una señal de acceso por tiempo limitado o de una ruta a través de un sistema de solicitudes.

A las 20::23 UTC, el atacante luego llamó al sweeper vía Binance 14. Una sola transacción drenó 167.464 ETH y 63 tokens —incluidos unos 1.600 millones de USDT— juntos valorados en unos 2.500 millones de dólares.

La delegación permaneció activa después, porque EIP-7702 la mantiene vigente hasta la próxima autorización. La especificación lo justifica por conveniencia, ya que los usuarios no deberían tener que configurar nuevos contratos constantemente. Aquí, sin embargo, la misma propiedad permitió más barridos de nuevos depósitos sin una nueva firma. Estos siguieron a las 20:41, 21:04, 22:39 y 23:56 UTC, entre otros. Binance 14 revocó la delegación solo a las 00:10 UTC del 30 de octubre de 2026 —casi cuatro horas después.

A través de la wallet comprometida, los atacantes también instruyeron a otra wallet de Binance y drenaron de ella 823 millones de USDC. Según TRM, esta segunda wallet es un smart account separado. En total, Binance perdió 3.790 millones de dólares en Ethereum según el conteo de TRM.

La carrera contra las congelaciones de stablecoins

Stablecoins como USDT, USDC y RLUSD tienen un emisor central que puede congelar direcciones individuales. Bitcoin y Ether carecen de tal autoridad, por lo que solo un exchange que congele los fondos entrantes o autoridades con acceso a las claves pueden detenerlos. Sin embargo, Tether y Circle congelaron las primeras direcciones solo alrededor de una hora después de que comenzaran los flujos de salida.

Según Elliptic, los atacantes intercambiaron 434 millones de USDT por 160.451 ETH vía Uniswap, 1inch y market makers, aceptando un descuento de entre el 12 y el 26% por debajo del precio de mercado —lo que Elliptic interpreta como la velocidad priorizada sobre el valor—. Para el momento de las primeras congelaciones, unos 786 millones de dólares en stablecoins ya se habían convertido en ETH y TRX.

Una segunda wallet atacante también recurrió al protocolo de préstamos Aave. Depositó 59,9 millones de USDT como colateral y pidió prestados 19.762 ETH valorados en unos 44 millones de dólares. Como resultado, el USDT congelable ahora se encuentra en el pool de Aave, mientras que el ETH se quedó con el atacante. Aave congeló los mercados afectados como precaución y desde entonces los ha reabierto; las posiciones permanecen totalmente colateralizadas.

En Tron, los atacantes intercambiaron 234 millones de USDT en SunSwap por 638 millones de TRX. Según Elliptic, la wallet principal de lavado allí ejecutó 546 transferencias de TRX a un intervalo mediano de 96 segundos. En su propio análisis, Chainalysis clasifica el patrón de transacciones en Tron como automatizado: muchas direcciones primero reciben exactamente 1 TRX, y luego el monto que posteriormente reenvían. Elliptic, no obstante, no puede juzgar si agentes de IA tienen algún papel.

TRM sitúa el resto no congelable en unos 2.400 millones de dólares en Bitcoin y Ether. Incluyendo XRP y TRX a precios actuales, Elliptic llega a 3.210 millones de dólares. El bitcoin está distribuido en 19 direcciones vía una peel chain y aún no ha llegado a ningún servicio. Los analistas, por lo tanto, esperan puentes, servicios de swap y escritorios OTC como siguiente etapa.

Los controles que los exchanges deben añadir

Las recomendaciones de TRM apuntan exactamente a estos puntos débiles. Los exchanges deberían rechazar autorizaciones EIP-7702 a menos que las esperen, y deberían tratar las solicitudes de muchas autorizaciones en un rango de nonces como una señal de compromiso. TRM recomienda además separar la infraestructura de firma y las rutas de aprobación por cadena y por nivel de wallet. En wallets de tesorería, cualquier delegación es una alarma inmediata, porque una dirección que no debería contener código de repente lo lleva.

En Binance, según el exchange, la delegación no pasó por las aprobaciones normales, y la revocación llegó solo después de casi cuatro horas. Para precisamente este escenario, TRM aconseja un proceso de revocación probado y preaprobado. El vicepresidente de Immunefi, Simone Imbrescia, igualmente ve la debilidad en la capa operativa, ya que el ataque requirió poco código on-chain.

Binance aún no ha revelado el punto de entrada inicial. El exchange mantiene los retiros pausados, planea una reapertura gradual y está renovando su sistema de retiros. Junto con el informe de causa raíz, también apunta a un informe de proof-of-reserves para el 2 de noviembre de 2026.

Basado en el reportaje de Crypto Valley Journal.