El fundador de Cardano, Charles Hoskinson, advirtió sobre la circulación de código peligroso tras la brecha en la billetera de Binance, al compartir un análisis técnico de terceros sobre el incidente. El informe vincula la función de delegación EIP-7702 de Ethereum con la transferencia rápida de activos, aunque el exchange no ha confirmado cómo obtuvieron los atacantes la autorización de firma.

En una publicación en X del 30 de octubre, Hoskinson advirtió que "hay código extremadamente peligroso ahí afuera". Compartió un relato técnico de CyberSatoshi que describe un contrato presuntamente diseñado para vaciar una billetera caliente muy activa de un exchange —una cuenta conectada a internet de la que dependen los exchanges para procesar retiros y depósitos de clientes:

Cuidado, hay código extremadamente peligroso ahí afuera. pic.twitter.com/w7wM1nn0Lz — Charles Hoskinson (@IOHK_Charles) October 30, 2026

Las pérdidas causadas por el ataque más amplio del 29 de octubre se estimaron en 6.300 millones de dólares, según Bloomberg. El anuncio de la empresa el 30 de octubre indicó que los investigadores no habían encontrado ninguna clave privada robada.

¿Qué encontró el análisis en la billetera de Binance?

Según CyberSatoshi, el contrato contenía una función que barría los fondos y dejaba solo un ETH, garantizando que el proceso de pago no fallara por falta de gas.

Esta teoría sobre cómo funcionaban las alertas dentro del exchange aún no ha sido verificada, y Binance no ha confirmado la información. Supuestamente, el contrato verificaba el saldo de cada token y continuaba sin importar si una transacción individual fallaba, lo que significa que otros tokens podían procesarse incluso si uno estaba restringido.

El análisis también identificó una función de ejecución que accedía a una billetera con aproximadamente 823 millones de dólares en tokens USDC. Supuestamente, esa billetera reconocía la billetera caliente restringida conocida como Binance 14 como controlador autorizado. Expertos en blockchain han comentado los hallazgos, pero sigue sin estar claro qué efecto tuvo esto, y el relato no muestra cómo el firmante original obtuvo los permisos.

¿Cómo funciona la delegación EIP-7702 de Ethereum?

EIP-7702 permite que cualquier cuenta del protocolo de Ethereum use el código de otras direcciones para la delegación, una capacidad pensada para llevar la funcionalidad de contratos inteligentes a las cuentas comunes de usuarios. El estándar admite transacciones por lotes y el pago de comisiones por terceros. Sus permisos consisten en un identificador de cadena, la dirección del delegado, nonces de transacción y firmas. Una vez verificados estos parámetros, el código se asigna a la cuenta.

Esto significa que el ataque no pudo haber ocurrido solo por EIP-7702: el atacante debía contar con un permiso de firma válido. Según CyberSatoshi, el atacante tenía acceso a la clave privada o pudo obtener permisos sin restricciones. Según Binance, sin embargo, no se encontró dicha fuga de claves privadas.

¿Por qué se enviaron 50 autorizaciones?

El investigador identificó un conjunto de 50 firmas para autorizaciones con nonces consecutivos. Un nonce es un valor que cambia cada vez que una cuenta realiza una transacción. Dado que se sabe que Binance 14 maneja transferencias frecuentes, el atacante presuntamente generó varios registros correspondientes a sus distintos nonces.

La investigación en blockchain muestra que una autorización corresponde al nonce actual de la billetera e inicia el proceso de delegación. Ethereum ejecuta cada autorización en secuencia, omitiendo las que no superan la validación, y varias autorizaciones consecutivas pueden tener éxito siempre que sus nonces sean correctos al momento del procesamiento. En el caso en cuestión, según diversas fuentes, solo hubo una entrada correspondiente. La siguiente acción delegada transfirió grandes cantidades de tokens en una sola transacción.

Según CyberSatoshi, esa velocidad dejó poco tiempo de reacción a Binance. A diferencia de los pagos con tarjeta, que incluyen mecanismos de contracargo, las transferencias en blockchain no tienen reversión integrada una vez confirmada la transacción. Sin embargo, la afirmación de que el movimiento pudo haberse detectado temprano mediante transacciones normales es cuestionable.

¿Qué riesgos de seguridad identifica EIP-7702?

Según las especificaciones de Ethereum, el código delegado puede acceder a una cuenta sin restricciones adicionales, y el estándar recomienda que los auditores de los desarrolladores de billeteras revisen el contrato y prevengan ataques de repetición.

La delegación persiste incluso después de que se completa la transacción que establece la delegación. Una autorización que ya fue procesada no simplemente se elimina, incluso si la ejecución de la delegación falla posteriormente. Una autorización que nombra la dirección cero elimina la delegación, lo que significa que el acceso delegado permanece vigente hasta que se revoque explícitamente.

Binance confirmó que ya revocó las autorizaciones afectadas y aumentó sus medidas de seguridad. La empresa aseguró a los clientes que las pérdidas serán compensadas y que se publicará un informe técnico. Cómo se obtuvo el acceso de firma sigue siendo una pregunta abierta, y el tema del control de accesos aún requiere investigación —lo que convierte el prometido informe técnico del exchange en el próximo documento a esperar para obtener respuestas.