Binance reanudó los retiros el domingo tras cubrir la mayor parte de los 6,300 millones de dólares robados en el ataque del 29 de octubre, según informó Reuters, y para las 15:30 UTC situó sus salidas netas en unos 3,600 millones de dólares. Sin embargo, los recuentos competidores de proveedores de datos on-chain muestran cifras más altas, y la diferencia se explica por las ventanas de medición, la cobertura de billeteras y la forma en que se etiquetan las nuevas direcciones del exchange.

Binance contó 9.5 horas, DefiLlama contó 24

Binance dijo que procesó unos 4,650 millones de dólares en retiros y 1,010 millones de dólares en depósitos entre las 06:00 y las 15:30 UTC del domingo, de acuerdo con The Block. Los depósitos compensaron aproximadamente una quinta parte de lo que salió, razón por la cual la cifra neta se sitúa cerca de los 3,600 millones de dólares y no en el total bruto. Esas horas siguieron a una congelación vigente desde el 29 de octubre.

El exchange calculó la cifra neta sobre 171,000 millones de dólares en activos bajo gestión según sus datos de pruebas de reservas del 28 de octubre, y fijó la salida en 2.1%. Ese denominador es anterior al hackeo, por lo que la proporción compara la salida del domingo con las tenencias de Binance antes del robo, no con lo que posee actualmente.

Binance también dijo que los volúmenes de retiros se estaban estabilizando tras el pico inicial, mientras que los depósitos se mantuvieron sustanciales. No publicó un desglose por horas, por lo que la forma de esa caída no puede verificarse desde fuera del exchange.

Las lecturas competidoras son las siguientes:

• Binance, autorreportado: unos 3,600 millones de dólares netos, 06:00–15:30 UTC, 1 de noviembre
• DefiLlama, vía The Block: unos 4,050 millones de dólares netos, 24 horas hasta las 16:37 UTC, 1 de noviembre
• DefiLlama, vía Reuters: unos 4,400 millones de dólares, ventana no especificada

Estas cifras no miden lo mismo. La ventana de 24 horas de DefiLlama abre el sábado por la tarde, más de 13 horas antes de que Binance procesara su primer retiro, en un momento en que los clientes no tenían forma de sacar fondos del exchange. Cualquier caída de saldo registrada en esas horas no pudo ser una salida de clientes.

La cobertura también difiere. DefiLlama rastrea unos 131,000 millones de dólares en billeteras que atribuye a Binance, muy por debajo de los 171,000 millones que reporta el exchange, lo que significa que ambos están contando flujos entre conjuntos distintos de direcciones.

Una nueva hot wallet parece dinero que sale

Después de que los atacantes vaciaron sus hot wallets, Binance comenzó a procesar retiros desde billeteras recién generadas y las añadió a su lista de pruebas de reservas, informó The Block. Hasta que un rastreador etiqueta una nueva dirección como perteneciente a Binance, los fondos que el exchange transfiere a ella se registran como una salida. La guía metodológica de CryptoQuant señala el mismo riesgo: las direcciones de exchange no identificadas pueden hacer que una transferencia interna parezca un retiro externo.

Esa es la base de la objeción de Binance a la lectura más alta de DefiLlama, que según el exchange no contabilizó plenamente los depósitos en la nueva hot wallet. Ningún rastreador ha publicado aún una reconciliación. Hasta que las nuevas direcciones sean etiquetadas y las ventanas se igualen, esa explicación se apoya en la palabra de Binance.

El mismo problema de etiquetado nubla los datos del día del ataque. CryptoQuant registró unos 28,000 BTC y aproximadamente 2,900 millones de USDT ERC-20 saliendo de billeteras etiquetadas como de Binance el 29 de octubre. Esos totales mezclan fondos robados, transferencias de emergencia y cualquier retiro de clientes procesado antes de la congelación, y la serie de USDT cubre solo la versión del token en Ethereum. La cifra de USDT plantea una segunda complicación: parte corresponde a stablecoins robadas que los emisores podrían, en principio, congelar. El análisis de Coindoo sobre cómo el hacker eludió esas congelaciones muestra cómo el atacante mantuvo esos fondos en movimiento de todos modos.

A dónde fue el dinero

Solo una pequeña parte de la salida del domingo apareció en plataformas rivales. Durante las mismas 24 horas, los diez exchanges más grandes siguientes en los datos de DefiLlama registraron unos 368 millones de dólares en entradas netas combinadas, encabezados por OKX con casi 317 millones de dólares, mientras que Bitfinex y Gate reportaron salidas netas. DefiLlama no cubre Coinbase ni Kraken, pero datos de CoinGlass citados por The Block mostraron que sus saldos de bitcoin subieron unos 984 BTC y 1,422 BTC respectivamente, mientras que los de Binance cayeron unos 19,289 BTC.

Por lo tanto, la mayor parte del dinero fue a direcciones que estos paneles no etiquetan. Podrían ser billeteras de autocustodia, exchanges más pequeños o direcciones de Binance que aún no han sido etiquetadas, y los datos on-chain por sí solos no pueden distinguirlas.

Qué pueden retirar realmente los clientes

Binance ordenó la primera fase de restablecimientos según la demanda de retiros de la semana anterior, razón por la cual las monedas principales y las redes de stablecoins más activas regresaron primero. En su actualización de recuperación del 1 de noviembre, el exchange dijo que los saldos de BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD y ZEC están totalmente respaldados. El roughly 5% del valor robado que aún no ha repuesto se encuentra en tokens menos líquidos fuera de ese grupo, que sigue comprando a través de canales de mercado y OTC.

Estado de los retiros el domingo por la tarde (UTC):

• 12:36 – Las 15 redes de la primera fase fueron reabiertas
• 16:22 – La página de estado mostraba 531 de 552 monedas suspendidas; 14 parcialmente restablecidas, incluidas BTC y ETH
• Aún en pruebas – Cardano, Chainlink, Hyperliquid, Litecoin, NEAR y otras redes

Para quien posea una moneda que siga suspendida, los miles de millones del domingo no dicen nada sobre su propio saldo. La página de estado de red de Binance indica la disponibilidad de cada par de activo y red.

Reponer el valor robado con dinero de la empresa es algo distinto a recuperar las monedas robadas. Binance dice que trabaja con autoridades policiales y socios de la industria para rastrearlas y congelarlas, pero su actualización del 1 de noviembre no indicó cuánto se ha congelado hasta ahora.

Los datos de reservas aún son anteriores al domingo

Ambas referencias de reservas en circulación son anteriores al repunte. La proporción del 2.1% se basa en datos del 28 de octubre. Binance dijo que su próximo reporte de pruebas de reservas, calculado con pruebas de conocimiento cero y previsto para el lunes, utiliza una instantánea del 31 de octubre. Ese reporte puede mostrar qué respaldaba los saldos de los clientes el sábado, no lo que quedaba tras los pagos del domingo. El defensor del inversor de la PCAOB también ha advertido que dichos reportes no son auditorías y revelan poco sobre las finanzas más amplias de una entidad.

Tres indicadores mostrarán si el domingo fue una limpieza de rezagos o el inicio de una salida más prolongada. El primero es si las monedas suspendidas vuelven a estar en línea. El segundo es si las cifras de DefiLlama se acercan a las de Binance una vez etiquetadas las nuevas billeteras. El tercero es la primera instantánea de reservas con fecha posterior al 1 de noviembre.

Este artículo fue publicado originalmente por Coindoo.