El 29 de octubre de 2026, Binance sufrió lo que ahora se considera el mayor incidente de seguridad de criptomonedas registrado. Retiros no autorizados de varias billeteras calientes drenaron aproximadamente 6.300 millones de dólares a través de varias cadenas. La investigación inicial de Binance apunta a la computadora portátil de un ingeniero de DevOps comprometida, que permitió a un atacante acceder a un contenedor de servicio y enviar transacciones no autorizadas. El exchange ha declarado que no hay indicios de una filtración de claves privadas, que los fondos de los usuarios siguen a salvo y que cubrirá todas las pérdidas con su fondo SAFU y los recursos de la empresa.
Entre los activos robados había grandes cantidades de USDT y USDC. Tether congeló rápidamente más de 1.560 millones de dólares en USDT, mientras que Circle congeló aproximadamente 823 millones de dólares en USDC. Otros emisores también actuaron, lo que elevó el valor total de los activos congelados a unos 3.000 millones de dólares.
Una de las maniobras más sofisticadas del atacante involucró a Aave. Entre las 20:58 y las 21:01 UTC —unos 40 minutos antes de que Aave congelara sus propios mercados—, una billetera vinculada al atacante aportó 60 millones de USDT como garantía en Aave V3 Ethereum Core y tomó prestados 19.762 WETH (por un valor aproximado de 44,6 millones de dólares en ese momento).
Este paso fue eficaz por una sencilla razón: una vez depositados los USDT en los contratos de Aave, la lista negra de Tether ya no podía impedir que se usaran como garantía. Sin embargo, el ETH prestado no está sujeto al mismo mecanismo centralizado de congelación. El atacante transfirió el ETH a otra dirección, dejando a Aave con la garantía en USDT congelados frente a una deuda pendiente de aproximadamente 43,8 millones de dólares. La posición sigue sobrecolateralizada y sujeta a las reglas habituales de liquidación, por lo que Aave ha declarado que los proveedores no corren un riesgo significativo.
Como medida de precaución, Aave respondió congelando los nuevos depósitos y préstamos en 175 reservas de V3 en 16 redes y 117 reservas de V4 en cuatro redes. Las posiciones existentes aún se pueden reembolsar o retirar, y las liquidaciones continúan con normalidad.
El episodio pone de manifiesto una clara asimetría en la infraestructura cripto. Las stablecoins controladas por sus emisores pueden congelarse a nivel de contrato, pero los activos nativos como ETH no. Al canalizar garantías congelables a través de un importante protocolo de préstamos antes de que las congelaciones surtieran pleno efecto, el atacante convirtió parte de las stablecoins robadas en un activo mucho más difícil de incautar.
Binance sigue colaborando con las fuerzas del orden y con socios de blockchain para recuperar los fondos. Se espera un análisis técnico completo una vez concluida la investigación.
La posición de Aave sigue siendo saludable: no hay riesgo sistémico
A pesar de la notoriedad de la transacción, la posición que quedó en Aave no supone una amenaza significativa para el protocolo ni para sus usuarios.
El atacante aportó 60 millones de dólares en USDT y tomó prestados 19.762 WETH (aproximadamente 44,9 millones de dólares en ese momento) en un lapso de unos tres minutos. La posición resultante tiene un factor de salud de aproximadamente 1,04: está sobrecolateralizada según los estándares del protocolo, con 59,9 millones de dólares en garantías frente a 44,9 millones de dólares de deuda.
Puntos clave de los monitores de riesgo de Aave y los datos en cadena:
La deuda pendiente representa solo alrededor del 0,9 % de la reserva wETH de Aave V3 Core (que tenía aproximadamente 2,16 millones de WETH al momento de redactar esto).
La liquidez disponible en wETH sigue siendo considerable (unos 345.000 WETH, con una utilización de aproximadamente el 81,6 %), lo que significa que los depositantes aún pueden retirar sus fondos libremente si así lo desean.
Las liquidaciones funcionan exactamente según lo previsto. Si ETH sube aproximadamente un 4 %, hasta el nivel de unos 2.365 dólares, la posición se liquidará mediante los mecanismos normales del mercado, sin necesidad de ninguna intervención especial.
A diferencia de incidentes anteriores que involucraron garantías sin valor o tóxicas (como el relacionado con Kelp), estas garantías son USDT legítimos. No hay motivos para que se produzca una dinámica de retirada masiva de fondos ni una respuesta coordinada al estilo de “DeFi United”.
Posteriormente, el guardián de Aave congeló los nuevos depósitos y préstamos en los mercados afectados como medida de precaución para impedir nuevas conversiones de activos robados. Las posiciones existentes, incluida esta, siguen plenamente operativas para reembolsos y retiros. En teoría, la gobernanza podría actuar sobre esta posición concreta mediante una actualización personalizada, pero las ventajas prácticas serían escasas: se espera que las liquidaciones ordinarias la resuelvan sin problemas.
En resumen: el protocolo absorbió un uso adversarial sofisticado, pero totalmente conforme con las reglas, de sus mercados de préstamos y sigue funcionando con normalidad. Las reservas están congeladas para nuevas operaciones, pero los usuarios aún pueden gestionar sus posiciones sin interrupciones. Otro día de gran repercusión en DeFi, y Aave sigue intacto.