🔬 Autopsia técnica: cómo robaron 6.300 millones de dólares de Binance en 20 minutos, ¿sin robar la clave de una cartera?

$BTC Esto no es una noticia cualquiera. Es un análisis del ataque que tuvo lugar la noche del 29 de octubre, paso a paso, basado en fuentes oficiales y análisis en cadena, con una clara distinción entre lo confirmado y lo que no.

⏱ Cronología — minuto a minuto, en UTC

- Al menos 36 horas antes del ataque: los preparativos ya habían comenzado, según TRM Labs, y el atacante había tomado el control de la cartera caliente de Binance

- 20:05: comenzó la salida de fondos; la mayoría salió en unos 20 minutos

- 20:20: una transacción con 50 autorizaciones, cada una firmada por la cartera caliente de Binance, y cada una dirigida a un contrato de barrido que solo acepta instrucciones del operador

- Resultado preliminar: salieron unos 6.360 millones de dólares en 10 cadenas, según TRM Labs. Binance estima el impacto en unos 6.300 millones y Chainalysis calcula que lo robado ascendía a unos 5.912 millones en el momento del robo: la diferencia se debe al método de cálculo y al momento de la estimación, no son cifras totalmente contradictorias

🔑 La vulnerabilidad: un portátil, no una clave

Según la investigación preliminar de Binance:

- Un portátil de un ingeniero de DevOps fue comprometido

- La intrusión permitió acceder a un contenedor de servicio y, desde allí, enviar solicitudes de retiro no autorizadas

- Según la empresa, hasta ahora no hay pruebas de que se haya filtrado una clave privada de una cartera

- Binance afirma que después detectó puntos de intrusión adicionales y que los resultados son preliminares; el informe técnico completo se publicará cuando termine la investigación

Esta diferencia es importante: el atacante no vulneró la cartera en sí, sino el camino que lleva hasta ella. La cartera ejecutó órdenes que parecían legítimas porque estaban firmadas desde dentro del sistema.

⚙️ ¿Por qué Ethereum fue la más afectada? EIP-7702

En Ethereum, el atacante utilizó EIP-7702, una función de la actualización Pectra de mayo de 2025 que permite a una cartera normal ceder el control a un contrato inteligente.

En pocas palabras: la cartera normal empezó a comportarse temporalmente como un contrato inteligente, y el contrato fue quien dirigió los fondos. Esto no significa que EIP-7702 haya sido vulnerada; significa que el atacante aprovechó su acceso para usar una herramienta legítima con fines maliciosos.

Ethereum recibió el golpe más fuerte: unos 3.790 millones de dólares, incluidos unos 200.630 ETH, 1.875 millones de Tether, 823 millones de Circle y 88,5 millones de dólares de Ripple, según el rastreo de TRM Labs. En Bitcoin: 18.270 BTC, unos 1.470 millones de dólares.

🧊 ¿Por qué se congelaron las stablecoins, pero no Bitcoin ni Ethereum?

Porque los contratos de las stablecoins centralizadas tienen una función para bloquear direcciones. El emisor puede impedir que una dirección concreta mueva sus tokens.

- Tether: se congelaron 971,1 millones de USDT a las 21:01 y más de 1.567 millones en total para las 21:25; TRM contabiliza unos 1.770 millones en varias cadenas

- Circle: se congelaron 823 millones de USDC a las 21:04

- Ripple: se congelaron 40,5 millones de dólares de Ripple a las 22:01, después de que el atacante vendiera 48 millones en plataformas descentralizadas

- World Liberty: se congelaron 27,8 millones de USD1, junto con 48 millones de tokens World Liberty

- Consejo de Seguridad de Arbitrum: 8.426 ETH y 74,6 millones de ARB, unos 30 millones de dólares, se transfirieron a una cartera congelada mediante una decisión de gobernanza

En cuanto a Bitcoin y Ethereum nativas: no hay ningún emisor que pueda congelarlas. En este caso, la congelación solo es posible mediante una decisión de la red o de gobernanza, como ocurrió con Arbitrum.

Resultado: Binance calcula que se congelaron unos 3.000 millones y TRM contabiliza unos 2.700 millones; los aproximadamente 2.400 millones restantes siguen fuera de control. Entre ellos hay Bitcoin divididos en lotes de 1.000 y 100 BTC, y unos 420.000 ETH.

🏃 La carrera por escapar: ¿por qué pagó el atacante más de un 10 % adicional?

El atacante cambió unos 325 millones de USDT por Ethereum a través de UniswapX y pagó más de un 10 % por encima del precio de mercado.

No fue una tontería: fue el precio de la velocidad. Cada minuto de demora podía significar una nueva congelación. Ethereum no se puede congelar, así que era la única vía de escape antes de que Tether y Circle pudieran alcanzarlo.

❓ ¿Quién es el atacante? Lo confirmado y lo no confirmado

- Binance no lo ha confirmado oficialmente: la empresa no ha nombrado públicamente a ningún responsable y ningún gobierno ha atribuido oficialmente el ataque hasta ahora

- Análisis de TRM Labs: atribución con alto grado de confianza a TraderTraitor, la unidad norcoreana vinculada al grupo Lazarus y APT38, la misma entidad acusada del robo de 1.500 millones de dólares a Bybit en febrero de 2025

Esta diferencia es importante: la atribución es analítica, no un anuncio oficial de Binance. No la presentes como un hecho confirmado por la empresa.

🛡 ¿Qué hizo Binance después y qué significa para ti?

- Suspendió temporalmente los depósitos y retiros, y revocó la autorización de la dirección afectada

- Prevé reanudar los retiros en un plazo de 48 horas, después de volver a asegurar el servicio de retiros y las direcciones asociadas

- Afirma que los fondos de los usuarios están seguros y que las pérdidas están cubiertas por el fondo SAFU y los fondos de la empresa, con una prueba de reservas actualizada tras la reparación

Binance está comprando cantidades equivalentes de criptomonedas alternativas a las robadas para preparar la prueba de reservas, según Yi He

La lección técnica en tres líneas:

- El punto de fallo más peligroso no es la cartera fría, sino los permisos de retiro y los servicios conectados a ella

- La centralización es un arma de doble filo: permitió congelar rápidamente, pero también convirtió un portátil en la puerta de entrada a 6.000 millones

- La transparencia en la cadena hizo posible el rastreo y la congelación: el robo era visible en tiempo real

¿Qué significa todo esto? No fue un robo mediante la ruptura del cifrado, sino mediante la vulneración del acceso y los permisos, en una carrera entre la congelación centralizada y la huida descentralizada. La congelación ganó la mitad de la carrera, pero la otra mitad sigue fuera de control.

Ahora que sabes que la congelación salvó unos 3.000 millones, pero no puede detener Bitcoin ni Ethereum, ¿prefieres una plataforma que pueda congelar rápidamente o una cartera privada que nadie pueda congelar? Escribe «plataforma» o «cartera» 👇

Fuente: datos oficiales de Binance, TRM Labs, Chainalysis, Tether, Circle, BleepingComputer, The Hacker News, Cointelegraph — 30 de octubre de 2026

#بايننس #Noticias_Cripto