¡Un ingeniero de Binance cayó en una «falsa entrevista» de hackers norcoreanos! El robo de 6.300 millones de dólares, al descubierto
El 3 de noviembre, Binance publicó un informe preliminar sobre la investigación del incidente de seguridad del 29 de octubre. El informe reveló que hackers norcoreanos se infiltraron en varias etapas del proceso de firma de las billeteras mediante falsas contrataciones, malware y herramientas internas de IA comprometidas, y robaron activos por un valor aproximado de 6.340 millones de dólares. A la fecha de publicación del informe, se habían congelado 2.850 millones de dólares y se había repuesto el 98 % de los tokens afectados.
El grave incidente de seguridad fue dirigido por la República Popular Democrática de Corea (RPDC). Los atacantes aprovecharon entrevistas de trabajo a empleados, malware y herramientas internas de IA comprometidas para tomar gradualmente el control de los dispositivos de varios empleados. Finalmente, obtuvieron permisos de firma de las billeteras y eludieron el proceso habitual de retiro mediante el mecanismo de autorización EIP-7702 de Ethereum, robando criptoactivos por un valor total aproximado de 6.340 millones de dólares. Binance afirmó que la plataforma cubrirá íntegramente las pérdidas. A la fecha de publicación del informe, se habían congelado o interceptado activos por un valor aproximado de 2.850 millones de dólares y ya se había repuesto el 98 % de los activos en tokens afectados.
Cómo se llevaron 6.300 millones de dólares
En el informe, Binance también reconstruyó la cronología del ataque del 29 de octubre. Entre las 20:05 y las 20:09 UTC, cinco billeteras calientes de Binance transfirieron 233,46 millones de XRP a direcciones controladas por los atacantes. Después, billeteras calientes desplegadas en las redes Solana y Optimism transfirieron, respectivamente, alrededor de 970.500 SOL y 44,2 millones de OP. Binance inició una investigación de inmediato tras recibir una alerta interna, pero los atacantes siguieron actuando y transfirieron otros 18.270 BTC desde una billetera caliente.
La clave del ataque fue el abuso del mecanismo de autorización EIP-7702 de Ethereum. Este mecanismo permite que una cuenta delegue parte de sus permisos de ejecución a un contrato inteligente sin exponer la clave privada. Los atacantes lo utilizaron para que un contrato inteligente bajo su control obtuviera permisos parciales de ejecución sobre una billetera caliente de Binance y enviaron 50 transacciones firmadas, creando autorizaciones maliciosas de delegación mediante la manipulación del nonce de la cuenta.
Estas autorizaciones existían en la cadena y eran independientes de la infraestructura habitual de retiros de Binance. Por eso, aunque Binance suspendiera los retiros, los atacantes podían seguir transfiriendo activos.
El equipo de Binance tuvo que iniciar transacciones adicionales para revocar estas autorizaciones en la cadena. Sin embargo, como las billeteras calientes afectadas utilizan tecnología de computación multipartita (MPC), no existe una clave privada única que permita revocarlas de inmediato. El equipo tuvo que desarrollar y ejecutar específicamente.#币安10·30安全事件调查报告 #Binance reanudará los retiros de más activos
El 3 de noviembre, Binance publicó un informe preliminar sobre la investigación del incidente de seguridad del 29 de octubre. El informe reveló que hackers norcoreanos se infiltraron en varias etapas del proceso de firma de las billeteras mediante falsas contrataciones, malware y herramientas internas de IA comprometidas, y robaron activos por un valor aproximado de 6.340 millones de dólares. A la fecha de publicación del informe, se habían congelado 2.850 millones de dólares y se había repuesto el 98 % de los tokens afectados.
El grave incidente de seguridad fue dirigido por la República Popular Democrática de Corea (RPDC). Los atacantes aprovecharon entrevistas de trabajo a empleados, malware y herramientas internas de IA comprometidas para tomar gradualmente el control de los dispositivos de varios empleados. Finalmente, obtuvieron permisos de firma de las billeteras y eludieron el proceso habitual de retiro mediante el mecanismo de autorización EIP-7702 de Ethereum, robando criptoactivos por un valor total aproximado de 6.340 millones de dólares. Binance afirmó que la plataforma cubrirá íntegramente las pérdidas. A la fecha de publicación del informe, se habían congelado o interceptado activos por un valor aproximado de 2.850 millones de dólares y ya se había repuesto el 98 % de los activos en tokens afectados.
Cómo se llevaron 6.300 millones de dólares
En el informe, Binance también reconstruyó la cronología del ataque del 29 de octubre. Entre las 20:05 y las 20:09 UTC, cinco billeteras calientes de Binance transfirieron 233,46 millones de XRP a direcciones controladas por los atacantes. Después, billeteras calientes desplegadas en las redes Solana y Optimism transfirieron, respectivamente, alrededor de 970.500 SOL y 44,2 millones de OP. Binance inició una investigación de inmediato tras recibir una alerta interna, pero los atacantes siguieron actuando y transfirieron otros 18.270 BTC desde una billetera caliente.
La clave del ataque fue el abuso del mecanismo de autorización EIP-7702 de Ethereum. Este mecanismo permite que una cuenta delegue parte de sus permisos de ejecución a un contrato inteligente sin exponer la clave privada. Los atacantes lo utilizaron para que un contrato inteligente bajo su control obtuviera permisos parciales de ejecución sobre una billetera caliente de Binance y enviaron 50 transacciones firmadas, creando autorizaciones maliciosas de delegación mediante la manipulación del nonce de la cuenta.
Estas autorizaciones existían en la cadena y eran independientes de la infraestructura habitual de retiros de Binance. Por eso, aunque Binance suspendiera los retiros, los atacantes podían seguir transfiriendo activos.
El equipo de Binance tuvo que iniciar transacciones adicionales para revocar estas autorizaciones en la cadena. Sin embargo, como las billeteras calientes afectadas utilizan tecnología de computación multipartita (MPC), no existe una clave privada única que permita revocarlas de inmediato. El equipo tuvo que desarrollar y ejecutar específicamente.#币安10·30安全事件调查报告 #Binance reanudará los retiros de más activos
