Binance publicó el 3 de noviembre su primer informe detallado sobre el ataque del 29 de octubre que afectó aproximadamente 6.340 millones de dólares en activos digitales, revelando que los atacantes pasaron meses construyendo acceso antes de llegar a la infraestructura de firma de wallets del exchange. El exchange de criptomonedas citó la ingeniería social, el compromiso de endpoints y el uso indebido de las capacidades de autorización de transacciones de Ethereum como causas del incidente.

La empresa dijo que la operación combinó entrevistas de trabajo falsas, malware y el compromiso de herramientas internas de IA. Alrededor de 2.850 millones de dólares en fondos han sido congelados o interceptados, el 98% de los tokens afectados ha sido repuesto y los retiros se han reanudado en general, según Binance.

— Binance (@binance) November 3, 2026

En el informe, Binance dijo que publicaba el relato completo porque las lecciones del incidente van más allá del exchange. El relato es notable por la ruta que describe: el acceso al sistema de firma de wallets se construyó a través de endpoints de empleados, flujos de contratación y herramientas internas, en lugar de un ataque directo a las propias wallets — una secuencia que Binance presentó como relevante para toda la industria.

El ataque comenzó meses antes del robo de 6.340 millones de dólares

Según Binance, la intrusión comenzó en junio, cuando un ingeniero de Wallet DevOps recién contratado descargó un paquete de software modificado durante la instalación de una herramienta de codificación con IA. El exchange detectó ese incidente, rotó las credenciales y reemplazó el dispositivo, pero el atacante ya había obtenido información sobre cómo el ingeniero trabajaba en la infraestructura de wallets y sobre otros miembros del equipo.

El ingeniero fue atacado nuevamente en septiembre a través de un sitio legítimo de búsqueda de empleo. El atacante se hizo pasar por un reclutador, movió el proceso a una entrevista por video y luego pidió al ingeniero descargar una tarea de programación. Según Binance, el malware incrustado en el repositorio se ejecutó durante la instalación y escribió en la computadora de trabajo del empleado.

La herramienta interna de IA se convirtió en parte de la ruta de ataque

Binance dijo que los atacantes usaron luego el dispositivo suplantado y la herramienta de IA para acceder a los sistemas de otros dos ingenieros. Para el 20 de octubre, habían localizado un token para despliegues de contenedores en posesión de un empleado de Wallet DevOps. Usando el conjunto de credenciales robadas, los atacantes lanzaron un contenedor y enviaron código malicioso al entorno de wallets de Binance el 29 de octubre.

Los hackers accedieron posteriormente a un servicio interno de firma de wallets, eludiendo el procedimiento habitual de retiros del exchange.

Los atacantes explotaron EIP-7702 para seguir moviendo cripto

Varias redes fueron afectadas por el ataque. Según el informe, el atacante drenó cinco hot wallets de Binance — las wallets conectadas a internet que los exchanges usan para transferencias diarias — con un total combinado de 233,46 millones de XRP. Transferencias adicionales movieron 970.503 SOL y 44,2 millones de OP, seguidas de transferencias de 18.270 BTC.

EIP-7702 es una característica de Ethereum que permite la delegación de derechos de ejecución de una cuenta a un contrato inteligente, y Binance dijo que los atacantes la explotaron. La investigación de la empresa detectó manipulación maliciosa de nonces — alteración de los números de secuencia que Ethereum usa para ordenar las transacciones de una cuenta — en 50 transacciones de firma.

Según el informe, las autorizaciones maliciosas no fueron eliminadas después de que se pausaron los retiros, porque pausar los retiros no era una opción que pudiera detener todas las transferencias de inmediato. La configuración de wallets de Cómputo Multi-Parte complicó aún más la respuesta, ya que no había una única clave privada que pudiera usarse para revocar rápidamente las autorizaciones maliciosas.

Binance congela 2.850 millones de dólares y repone el 98% de los tokens

Aproximadamente 6.340 millones de dólares en activos digitales fueron afectados, según el co-CEO de Binance, Richard Teng. Más de 2.850 millones de dólares han sido congelados o interceptados con la asistencia de las fuerzas del orden, los emisores de tokens y empresas de inteligencia de blockchain, según el directivo.

On 29 October, Binance was the target of one of the most sophisticated attacks the digital asset industry has ever seen. ~$6.34B in assets were impacted. We take full responsibility and we're making it right. No user bears the loss. We set aside more than the full amount required. At this moment, 98% of impacted tokens had been replenished; we're completing the remaining 2%. Withdrawals have broadly resumed. This wasn't one mistake or one breach – it was a months-long campaign. We're publishing the full report because the lessons go far beyond Binance. ~$2.85B has already been frozen or intercepted with law enforcement, issuers and blockchain intelligence firms. The speed of coordination could not be matched in traditional finance.

— Richard Teng (@_RichardTeng) November 3, 2026

Binance se ha comprometido a absorber las pérdidas del incidente en lugar de transferirlas a los usuarios. Para el 31 de octubre, los activos de tokens que representaban el 98% de las tenencias afectadas habían sido renovados, mientras que los activos restantes, menos líquidos, estaban en proceso de compra.

El exchange ha reconstruido desde entonces los sistemas de wallets y las herramientas internas de IA afectadas, reemplazado los dispositivos comprometidos, revocado credenciales y agregado detección de anomalías conductuales basada en IA. Según el cronograma de Binance, aún pendiente: el 2% final de reposición de tokens, la compra de los activos menos líquidos restantes y el trabajo continuo de recuperación con las fuerzas del orden, los emisores de tokens y las empresas de inteligencia de blockchain sobre fondos aún no congelados o interceptados.

Fuente: CryptoNinjas