En la madrugada del 30 de octubre, hora de Pekín, se produjo un ataque que podría pasar a la historia de la seguridad de las criptomonedas.
Varios monederos calientes de Binance realizaron transferencias anómalas que involucraron activos por un valor aproximado de 6.300 millones de dólares y abarcaron varias redes de cadenas de bloques.
Esto no fue un robo de billetera corriente.
Lo más aterrador es que los hackers parecen no haber vulnerado directamente la cadena de bloques, sino haber explotado con éxito el propio sistema de firma y ejecución de transacciones de la plataforma de intercambio.
He vuelto a analizar los registros en cadena y las investigaciones públicas sobre este incidente, y hay varios detalles que merecen mucha atención.
1. A las 4:20 de la madrugada, Binance 14 fue tomado en secreto
El atacante puso en la mira la billetera caliente principal de Binance, Binance 14.
Esta billetera llevaba mucho tiempo gestionando grandes flujos de fondos.
El atacante utilizó el mecanismo EIP-7702 de Ethereum.
En pocas palabras: una billetera normal de Ethereum puede delegar parte de su capacidad de ejecución a un contrato inteligente mediante una autorización.
Una vez concedida la autorización, el contrato puede ejecutar operaciones en la billetera según la lógica predefinida.
Alrededor de las 4:20 de la madrugada, el atacante envió una transacción que contenía 50 autorizaciones firmadas previamente.
¿Por qué 50?
Porque cada autorización correspondía a un Nonce distinto (número de secuencia de la transacción). El atacante no podía predecir con exactitud cuál sería el Nonce de la billetera en ese momento, así que preparó 50 posibilidades de una sola vez.
Al final, solo una coincidió.
Así fue como se delegó al contrato malicioso del atacante el control de ejecución de la cuenta Binance 14.
2. Cuatro minutos después, se transfirieron de una sola vez aproximadamente 2.500 millones de dólares.
A las 4:24 de la madrugada, el atacante llamó a un contrato malicioso para ejecutar una operación Sweep.
En una sola transacción, transfirió:
167,464 ETH
aproximadamente 1.615 millones de dólares en USDT
más de 60 tipos de tokens
con un valor total de aproximadamente 2.500 millones de dólares.
Aún más sorprendente: 24 segundos después, otra billetera caliente, Binance 16, transfirió a la misma dirección del atacante aproximadamente 28,005.6 ETH, además de grandes cantidades de otros activos.
Esta transacción también fue una transferencia firmada normalmente, no una simple copia de la operación de autorización de Binance 14.
Esto significa que el atacante podría haber tenido acceso a más de una billetera.
3. Lo más absurdo: el sistema de consolidación automática siguió funcionando después del robo de la billetera
El atacante no dejó de llevarse fondos.
Como los depósitos de los usuarios seguían consolidándose en la billetera caliente según el proceso habitual, Binance 14, cuya autorización ya había sido comprometida, continuó recibiendo fondos.
La investigación en cadena también registró una transferencia posterior de aproximadamente 200 millones de USDT a esa billetera.
72 segundos después, el atacante también sustrajo esos fondos.
Este es el aspecto más preocupante de todo el incidente:
La billetera ya presentaba anomalías, pero el mecanismo de consolidación de fondos no se desactivó a tiempo.
No se trató simplemente de una transacción de robo de criptomonedas: el atacante aprovechó un sistema automatizado para seguir llevándose fondos.
4. ¿Cuánto se perdió realmente en este incidente?
Al principio, mucha gente se centró únicamente en los flujos de fondos en Ethereum.
Pero investigaciones posteriores de TRM Labs y Bitquery sobre los movimientos entre cadenas revelaron que el alcance del ataque iba mucho más allá de Ethereum.
Según la información pública disponible hasta ahora:
Salieron activos por valor de aproximadamente 6.300 millones de dólares de 17 billeteras calientes de Binance.
El incidente afectó entre 9 y 10 redes blockchain (las cifras varían ligeramente según los criterios de cada organización).
Se transfirieron aproximadamente 18,270 BTC de la red Bitcoin.
Se transfirieron aproximadamente 613 millones de USDT de la red TRON.
También se robaron grandes cantidades de ETH, USDT y otros tokens de Ethereum.
Las redes XRP, Solana, Base, Optimism, Avalanche y otras también se vieron afectadas.
Ya no se trata de una sola billetera comprometida: varios canales de fondos de la plataforma de intercambio presentaron anomalías al mismo tiempo.
5. Las stablecoins pueden congelarse; con ETH no es tan sencillo
Este incidente tuvo otra particularidad: los emisores centralizados de stablecoins pueden congelar los activos involucrados.
Tether congeló activos relacionados por un valor aproximado de 1.570 millones de dólares; Circle congeló más de 800 millones, y entidades como Ripple y World Liberty también participaron en la congelación de fondos.
Posteriormente, Binance anunció oficialmente que había congelado aproximadamente 3.000 millones de dólares en activos junto con sus socios.
Pero hay que tener en cuenta lo siguiente:
Que los activos estén congelados no significa que ya se hayan recuperado, ni que todos los activos afectados hayan vuelto a Binance.
ETH no cuenta con un mecanismo de lista negra del emisor como USDT, por lo que ninguna entidad centralizada puede congelar directamente cuentas de la red principal.
Según una instantánea posterior de Bitquery sobre los datos en cadena, el atacante aún tenía aproximadamente 508,600 ETH y otros 18,270 BTC. La cantidad de ETH incluye los que el atacante compró al intercambiar los activos robados; no todos fueron transferidos directamente desde Binance.
6. La explicación preliminar oficial de Binance difiere en un aspecto clave de los detalles en cadena
El 30 de octubre, Binance publicó un comunicado sobre el incidente de seguridad:
La investigación preliminar señala que el ataque podría estar relacionado con la intrusión en la computadora portátil de un ingeniero de DevOps. El atacante habría aprovechado el acceso para entrar en un contenedor de servicios y enviar transacciones de retiro no autorizadas.
Binance afirmó que, por el momento, no ha encontrado pruebas de que se hayan filtrado claves privadas de las billeteras.
También se comprometió a:
Suspender los servicios de depósito y retiro afectados para realizar una revisión de seguridad.
Revocar las autorizaciones de las direcciones afectadas.
Cubrir todas las pérdidas con fondos del SAFU y de la empresa.
Publicar posteriormente una prueba de reservas actualizada.
Hay una diferencia muy importante:
Los datos en cadena pueden demostrar que las transacciones se realizaron con firmas válidas, pero no permiten determinar por sí solos cómo se usó exactamente la clave privada.
Por eso, no se puede concluir sin más que se filtró la clave privada de Binance.
Lo más probable es que la investigación deba determinar qué elemento perdió el control de seguridad: los dispositivos internos, los contenedores de servicios, la aprobación de transacciones o la infraestructura de firma.
Además, TRM Labs atribuyó el ataque al grupo de hackers norcoreano TraderTraitor con un alto grado de confianza. Sin embargo, se trata de una atribución de una entidad de seguridad externa, no de una conclusión final publicada oficialmente por Binance.
7. Este incidente hace sonar las alarmas en toda la industria cripto
En mi opinión, lo más importante que debemos analizar de este incidente no es cuán hábiles son los hackers, sino si los sistemas de seguridad de las plataformas de intercambio siguen anclados en el pasado.
Antes, todos pensaban que:
Si la clave privada no se filtra, los activos están seguros.
Pero hoy esa lógica ya no basta.
Los dispositivos pueden ser vulnerados, los servicios internos pueden ser controlados, los sistemas de firma pueden ser objeto de abuso e incluso la consolidación automatizada puede convertirse en cómplice de los hackers.
En el futuro, las plataformas de intercambio deberían volver a examinar, como mínimo, estas cuestiones:
¿Las autorizaciones de firma requieren un proceso independiente de aprobación múltiple?
¿Se pueden detener las transferencias de grandes cantidades mediante la detección de anomalías en tiempo real?
¿Deberían las billeteras calientes contar con un mecanismo automático de desconexión de emergencia?
Si una billetera presenta anomalías, ¿se pueden pausar de inmediato los depósitos y la consolidación de fondos?
¿Se ha implementado una verdadera separación de permisos entre distintas cadenas y billeteras?
Hay otro aspecto que vale la pena tener en cuenta:
EIP-7702 no es en sí mismo una vulnerabilidad, y tampoco se ha demostrado que la IA haya sido la causa de este ataque. Lo que realmente debe preocuparnos es que los atacantes utilizan tecnologías cada vez más complejas para encontrar puntos débiles en los sistemas de seguridad tradicionales.
Una última reflexión:
La industria cripto siempre habla de descentralización, de que el código es la ley y de la autonomía sobre los activos.
Pero las plataformas de intercambio siguen siendo responsables de custodiar los activos de cientos de millones de usuarios.
Cuando una billetera caliente queda bajo control de un atacante y el sistema automatizado de consolidación sigue enviándole fondos sin parar, ya no se trata de un simple problema técnico.
6.300 millones de dólares: una lección de seguridad extremadamente costosa.
En la próxima etapa de competencia del sector, además de la profundidad de mercado, la liquidez, los productos y el número de usuarios, habrá que competir en algo más:
quién puede proteger de verdad los activos de sus usuarios.
Cuanto más rápido avanza la tecnología, menos puede quedarse atrás el sistema de seguridad.
Este incidente aún no ha terminado. Para conocer la verdadera respuesta, habrá que esperar al informe técnico completo de la investigación de Binance.
Fuentes principales consultadas:
\u003ca-617\u003eBinance oficial: actualización sobre el incidente de seguridad (30 de octubre)\u003c/a-617\u003e — Vía preliminar de intrusión, impacto de 6.300 millones de dólares, activos congelados y compromiso de compensación.
TRM Labs: investigación sobre TraderTraitor, de Corea del Norte, y el ataque a Binance — 50 autorizaciones, ataque entre cadenas y atribución al atacante.
Bitquery: investigación en cadena sobre el ataque a las billeteras calientes de Binance — 17 billeteras calientes, flujo de fondos, congelaciones y saldo del atacante.
Cointelegraph: análisis de EIP-7702 y la infraestructura de firma — 50 autorizaciones y diferencias entre el abuso de una clave privada y su filtración.
CoinDesk: análisis de las reservas de Binance y los activos de sus billeteras calientes — Relación entre Binance 14 y la prueba de reservas.
Reuters: reportaje sobre la atribución de TRM acerca de la identidad del atacante — Atribución a un grupo de hackers norcoreano.