Binance ha publicado su primer informe detallado sobre el incidente de seguridad tras el sofisticado ciberataque del 29 de octubre de 2026. El incidente afectó a varias redes de blockchain y dejó al descubierto graves debilidades en algunas partes de su infraestructura interna de firma de billeteras.
Binance reconoció que este incidente nunca debería haber ocurrido y pidió disculpas a los usuarios, socios y al conjunto de la industria de las criptomonedas por la preocupación, las interrupciones y la incertidumbre que causó.
La plataforma de intercambio también destacó que los usuarios no asumirán las pérdidas financieras. Binance afirma que cubrirá todo el impacto financiero de los fondos robados.
Analicemos lo que ocurrió, cómo obtuvieron acceso los atacantes y qué ha hecho Binance para reforzar su seguridad.
🔴 1. ¿CUÁNTO SE PERDIÓ?
Según el último informe de Binance:
Activos digitales afectados en total: aproximadamente 6.34 mil millones de dólares.
Activos congelados o interceptados: aproximadamente 2.85 mil millones de dólares.
Avance del reembolso: 98 % de los activos de tokens afectados.
Activos restantes: Binance está comprando los tokens pendientes, de menor liquidez.
Cobertura financiera: Binance afirma que ha reservado más del 100 % de los fondos necesarios para cubrir la pérdida.
Binance también confirmó que los activos repuestos pueden verificarse en su página de Prueba de Reservas.
La empresa declaró que los fondos de los usuarios seguirán protegidos y que asumirá la responsabilidad de cubrir el impacto financiero del incidente.
⚠️ 2. ¿QUÉ OCURRIÓ EL 29 DE OCTUBRE?
El ataque se desarrolló rápidamente en varias redes blockchain.
Entre las 20:05 y las 20:09 UTC, cinco billeteras calientes de Binance transfirieron aproximadamente 233.46 millones de XRP a una dirección controlada por los atacantes.
Otras transferencias no autorizadas incluyeron:
Aproximadamente 970,500 SOL desde billeteras calientes de Binance en Solana.
Aproximadamente 44.2 millones de OP desde billeteras calientes de Binance en Optimism.
Aproximadamente 18,270 BTC transferidos a una dirección controlada por los atacantes.
Movimientos adicionales de ETH relacionados con el mecanismo de autorización EIP-7702 de Ethereum.
Binance recibió una alerta interna sobre transferencias de gran volumen e inició una investigación de inmediato.
Los atacantes habían explotado el acceso no autorizado a un servicio interno de firma de billeteras, lo que les permitió iniciar transacciones al margen del proceso habitual de retiro.
🔴 3. ¿CÓMO EXPLOTARON LOS ATACANTES EIP-7702?
Uno de los aspectos técnicamente más importantes de este incidente involucró el mecanismo de autorización EIP-7702 de Ethereum.
EIP-7702 permite que una cuenta de propiedad externa delegue ciertos permisos de ejecución a un contrato inteligente sin exponer directamente su clave privada.
En este incidente, los atacantes utilizaron el mecanismo para conceder a un contrato inteligente bajo su control derechos parciales de ejecución sobre una billetera caliente de Binance.
Según se informó, los atacantes enviaron 50 transacciones de firma para manipular los nonce de las cuentas y establecer autorizaciones de delegación maliciosas.
Una vez establecidos estos permisos, los atacantes pudieron seguir moviendo activos sin depender de la infraestructura habitual de retiros de Binance.
Esto explica por qué suspender los retiros no bastó para detener todas las transacciones no autorizadas.
Binance también enfrentó dificultades técnicas adicionales porque la billetera caliente afectada utilizaba Computación Multipartita (MPC).
MPC significa que no existe una única clave privada que pueda usarse simplemente para revocar de inmediato la autorización maliciosa.
El equipo de seguridad tuvo que desarrollar y ejecutar un procedimiento especializado para revocar los permisos no autorizados en la cadena.
La última transferencia no autorizada, de aproximadamente 2,961.9 ETH, quedó finalizada en la cadena a las 23:56 UTC.
A las 00:10 UTC del 30 de octubre, Binance ejecutó una nueva autorización desde la billetera caliente Binance14 hacia la dirección cero, eliminando el código de delegación EIP-7702.
No se observaron más transferencias no autorizadas después de ese momento.
🕵️ 4. ¿CÓMO SE PREPARÓ EL ATAQUE?
La investigación de Binance indica que no se trató de un simple ataque de phishing ni de una brecha de seguridad aislada.
Fue una campaña sofisticada y de varias etapas que involucró ingeniería social, software malicioso, entornos de desarrollo comprometidos, herramientas internas de IA y acceso no autorizado a operaciones de firma de billeteras.
El informe describe varias etapas importantes.
Junio de 2026 – Ataque a la cadena de suministro
Un ingeniero que trabajaba en DevOps de billeteras descargó una instalación manipulada de Homebrew mientras intentaba instalar una popular herramienta de programación con IA mediante un motor de búsqueda.
Binance detectó la actividad sospechosa, reemplazó el dispositivo afectado y cambió las credenciales relacionadas.
Sin embargo, los atacantes ya habían obtenido información sobre el cargo del ingeniero y sus colegas que trabajaban en la infraestructura de billeteras.
Septiembre de 2026 – Falsas entrevistas de selección de personal
Una persona que se hizo pasar por director de proyectos se puso en contacto con otro ingeniero de software a través de una plataforma legítima de búsqueda de empleo.
Los atacantes organizaron dos rondas de entrevistas.
Durante la primera entrevista, un falso representante de Recursos Humanos hizo una videollamada en directo y compartió fotos y videos personales de redes sociales para ganarse su confianza.
Durante la segunda entrevista, le indicaron al ingeniero que descargara una tarea que contenía un repositorio de código malicioso.
El repositorio ejecutó código malicioso durante la configuración.
El malware utilizó técnicas avanzadas de ofuscación y evasión, y reemplazó un componente legítimo de una herramienta de desarrollo por una versión maliciosa.
Luego ejecutó comandos y estableció comunicación con un servidor externo controlado por los atacantes.
Según se informó, en ese momento el malware evitó ser detectado por las herramientas de seguridad de los dispositivos.
20 de octubre de 2026 – Herramienta interna de IA comprometida
Los atacantes aprovecharon el equipo comprometido del segundo ingeniero y usaron una herramienta interna de IA como trampolín para acceder a otros empleados, entre ellos el ingeniero A de DevOps de billeteras y el ingeniero C de software de billeteras.
Posteriormente, descubrieron en el equipo del ingeniero A un token de permiso para implementar contenedores.
Esto les brindó otra oportunidad para acercarse a la infraestructura de billeteras de Binance.
29 de octubre de 2026 – Ataque a las operaciones de firma de billeteras
Entre las 17:15 y las 19:56 UTC, el atacante accedió al equipo del ingeniero C de software, usó las credenciales robadas al ingeniero A de DevOps de billeteras, implementó un contenedor y activó un script malicioso.
Esto finalmente permitió a los atacantes llegar a las operaciones de firma de billeteras y realizar las transferencias no autorizadas.
🇰🇵 5. ¿QUIÉN FUE EL RESPONSABLE?
Según el informe de Binance, la información más reciente publicada por la Oficina Federal de Investigación (FBI) indica que la República Popular Democrática de Corea (RPDC) fue responsable del incidente.
Binance también reveló que su equipo de seguridad detectó y detuvo 57 casos sospechosos de ciberamenazas vinculadas a Corea del Norte durante 2026.
Estos intentos incluyeron técnicas como:
Entrevistas de selección de personal fraudulentas.
Software malicioso para desarrolladores.
Paquetes de software comprometidos.
Extensiones de navegador maliciosas.
Aplicaciones falsas de videoconferencia.
Campañas de ingeniería social.
Robo de credenciales y malware de acceso remoto.
Esto pone de relieve la creciente amenaza de ciberseguridad que enfrentan los exchanges de criptomonedas y la infraestructura blockchain.
🛡️ 6. ¿QUÉ HA HECHO BINANCE PARA MEJORAR LA SEGURIDAD?
Al 3 de noviembre de 2026, Binance informa que ya ha implementado varias mejoras de seguridad.
Entre ellas:
Reconstruir el sistema de billeteras afectado en un nuevo entorno.
Reconstruir la herramienta interna de IA afectada y reforzar los controles de acceso.
Reemplazar los dispositivos de los empleados afectados.
Revocar las credenciales y los tokens asociados a los ingenieros afectados.
Completar análisis de seguridad mejorados en los dispositivos de los empleados.
Mejorar la detección de anomalías de comportamiento basada en IA.
Reforzar los controles de riesgo de los servicios de billeteras.
Coordinarse con las fuerzas del orden, empresas de inteligencia blockchain y socios del sector para rastrear y congelar los activos robados.
Binance afirma que se han cerrado los puntos de entrada utilizados en el ataque y que los sistemas implicados en la ruta del ataque se han reconstruido o reemplazado.
🔍 7. ¿QUÉ OCURRIRÁ AHORA?
Binance ha anunciado tres áreas principales de inversión adicional en seguridad.
1. Revisión independiente de ciberseguridad
Binance está contratando a expertos independientes externos en ciberseguridad para realizar una revisión exhaustiva del incidente, validar sus hallazgos y recomendar mejoras de seguridad adicionales.
2. Ampliación de la inversión en seguridad de IA
El exchange planea aumentar la inversión en:
Detección de amenazas basada en IA.
Protección de dispositivos.
Seguridad de los entornos de desarrollo.
Supervisión de anomalías de comportamiento.
3. Fondo para la investigación en seguridad e iniciativas del sector
Binance está trabajando para crear un fondo de investigación en seguridad e iniciativas específicas junto con empresas líderes de IA, participantes del sector blockchain y firmas de ciberseguridad.
El objetivo es mejorar la seguridad de la IA y prevenir ataques similares en los entornos blockchain.
📊 8. EL PANORAMA GENERAL
Este incidente es un importante recordatorio de que incluso los grandes exchanges de criptomonedas se enfrentan a sofisticadas amenazas de ciberseguridad.
El ataque no se basó en una sola vulnerabilidad. Combinó ingeniería social, herramientas de desarrollo comprometidas, credenciales robadas, acceso a sistemas internos y técnicas avanzadas de autorización blockchain.
El incidente también demuestra que proteger los activos digitales exige algo más que proteger las claves privadas.
Los servicios de firma de billeteras, los dispositivos de los empleados, los entornos de desarrollo, las herramientas de IA, los permisos de acceso y los mecanismos de autorización en la cadena necesitan controles de seguridad sólidos.
Binance afirma que seguirá compartiendo información a medida que avance la investigación. Algunos detalles técnicos permanecerán confidenciales para evitar que los atacantes los aprovechen.
MI OPINIÓN:
Ahora, las preguntas más importantes son si Binance puede demostrar mejoras duraderas en su infraestructura de seguridad, con qué eficacia los expertos independientes validan la investigación y si el sector aprende de este incidente.
Recuperar las pérdidas financieras es importante, pero prevenir otro ataque lo es aún más.
El sector de las criptomonedas necesita estándares de seguridad más sólidos, mayor protección para los empleados y una comunicación más transparente de los incidentes.
¿Qué opinas?
¿Puede Binance recuperar plenamente la confianza de los usuarios después de un incidente de seguridad de 6.34 mil millones de dólares?
¿Se está volviendo esencial la seguridad basada en IA para los exchanges de criptomonedas?
¿Deberían todos los grandes exchanges publicar informes de auditorías de seguridad independientes más detallados?
Comparte tu opinión en los comentarios.
Fuente: informe inicial de Binance sobre el incidente de seguridad. La investigación y la revisión independiente siguen en curso.
Esto no es asesoramiento financiero. Investiga siempre por tu cuenta (DYOR) y gestiona tus riesgos.$