Aunque mantengas pulsado el botón de retirar, las transferencias en la cadena siguen ejecutándose por su cuenta.
Hoy Binance desglosó minuto a minuto lo ocurrido la noche del 29 de octubre. Entre las 20:05 y las 20:09 UTC, cinco monederos calientes transfirieron 233,46 millones de XRP a direcciones de los atacantes. También se transfirieron aproximadamente 970.500 SOL, 44,2 millones de OP y 18.270 BTC. El incidente afectó a unos 6.340 millones de dólares; se congelaron o interceptaron 2.850 millones.
La clave está en dónde se concede el permiso. Los atacantes no obtuvieron una clave privada concreta: aprovecharon un servicio de firma para añadir una delegación EIP-7702 de Ethereum a sus propios contratos. Una vez que la delegación quedó registrada en la cadena, las transferencias evitaron el proceso de retiro. Pausar los retiros controla el canal normal, pero no puede detener una autorización que ya está activa en la cadena.
Los monederos calientes utilizaban computación multipartita, por lo que no había una clave privada única que pudiera revocarse de inmediato. El equipo tuvo que crear sobre la marcha un proceso de revocación. Durante ese intervalo, los atacantes enviaron 50 transacciones firmadas para manipular el nonce de la cuenta. La última, por 2.961,9 ETH, se confirmó a las 23:56 UTC. No fue hasta las 00:10 del 30 de octubre que se envió una autorización desde el monedero caliente Binance14 a la dirección cero, para eliminar el código de delegación.
Ninguno de los puntos de entrada fue una vulnerabilidad de código. En junio, el ingeniero de operaciones de monederos A buscó una herramienta de programación con IA y descargó un paquete de instalación de Homebrew manipulado. pyenv fue sustituido por una versión de 3.414 bytes, mientras que la versión legítima tenía 3.344 bytes. En septiembre, el ingeniero de software B fue atraído a una falsa entrevista a través de una plataforma de empleo y, al terminar la segunda ronda, le pidieron que descargara un repositorio con una prueba técnica. El 20 de octubre, una herramienta interna de IA se convirtió en un trampolín para moverse lateralmente por la red. Entre las 17:15 y las 19:56 del 29 de octubre, los atacantes utilizaron credenciales robadas para desplegar contenedores en el ordenador del ingeniero C.
Según Binance, en 2026 su equipo de seguridad detectó y detuvo 57 incidentes de ciberamenazas presuntamente vinculados a Corea del Norte. Lo que añadió Yi He fue más contundente: se pueden detener muchas, pero el costo de dejar pasar una sola es muy alto.
Lo más importante de este informe es la diferencia de tiempo. Para el 31 de octubre ya se había repuesto el 98 % de los tokens afectados, así que la compensación económica ya no es una incógnita. Lo que hay que investigar son esas cuatro horas, entre las 20:05 y las 00:10, durante las cuales los permisos de los atacantes siguieron activos en la cadena después de pulsar el botón de pausa. La próxima vez que leas un comunicado de este tipo, lo primero que debes preguntar es si se revocaron esas autorizaciones en la cadena.
#中本聪国际社区Baoluo币商资本 #币安推出BinanceIntelligence #币安 #SAFU
Hoy Binance desglosó minuto a minuto lo ocurrido la noche del 29 de octubre. Entre las 20:05 y las 20:09 UTC, cinco monederos calientes transfirieron 233,46 millones de XRP a direcciones de los atacantes. También se transfirieron aproximadamente 970.500 SOL, 44,2 millones de OP y 18.270 BTC. El incidente afectó a unos 6.340 millones de dólares; se congelaron o interceptaron 2.850 millones.
La clave está en dónde se concede el permiso. Los atacantes no obtuvieron una clave privada concreta: aprovecharon un servicio de firma para añadir una delegación EIP-7702 de Ethereum a sus propios contratos. Una vez que la delegación quedó registrada en la cadena, las transferencias evitaron el proceso de retiro. Pausar los retiros controla el canal normal, pero no puede detener una autorización que ya está activa en la cadena.
Los monederos calientes utilizaban computación multipartita, por lo que no había una clave privada única que pudiera revocarse de inmediato. El equipo tuvo que crear sobre la marcha un proceso de revocación. Durante ese intervalo, los atacantes enviaron 50 transacciones firmadas para manipular el nonce de la cuenta. La última, por 2.961,9 ETH, se confirmó a las 23:56 UTC. No fue hasta las 00:10 del 30 de octubre que se envió una autorización desde el monedero caliente Binance14 a la dirección cero, para eliminar el código de delegación.
Ninguno de los puntos de entrada fue una vulnerabilidad de código. En junio, el ingeniero de operaciones de monederos A buscó una herramienta de programación con IA y descargó un paquete de instalación de Homebrew manipulado. pyenv fue sustituido por una versión de 3.414 bytes, mientras que la versión legítima tenía 3.344 bytes. En septiembre, el ingeniero de software B fue atraído a una falsa entrevista a través de una plataforma de empleo y, al terminar la segunda ronda, le pidieron que descargara un repositorio con una prueba técnica. El 20 de octubre, una herramienta interna de IA se convirtió en un trampolín para moverse lateralmente por la red. Entre las 17:15 y las 19:56 del 29 de octubre, los atacantes utilizaron credenciales robadas para desplegar contenedores en el ordenador del ingeniero C.
Según Binance, en 2026 su equipo de seguridad detectó y detuvo 57 incidentes de ciberamenazas presuntamente vinculados a Corea del Norte. Lo que añadió Yi He fue más contundente: se pueden detener muchas, pero el costo de dejar pasar una sola es muy alto.
Lo más importante de este informe es la diferencia de tiempo. Para el 31 de octubre ya se había repuesto el 98 % de los tokens afectados, así que la compensación económica ya no es una incógnita. Lo que hay que investigar son esas cuatro horas, entre las 20:05 y las 00:10, durante las cuales los permisos de los atacantes siguieron activos en la cadena después de pulsar el botón de pausa. La próxima vez que leas un comunicado de este tipo, lo primero que debes preguntar es si se revocaron esas autorizaciones en la cadena.
#中本聪国际社区Baoluo币商资本 #币安推出BinanceIntelligence #币安 #SAFU