1. Resumen ejecutivo
El 29 de octubre de 2026, Binance sufrió un ciberataque sofisticado y de varias etapas que afectó a activos digitales por un valor aproximado de 6.340 millones de USD.
Atribución: Según la información de inteligencia más reciente publicada por la Oficina Federal de Investigación (FBI), la República Popular Democrática de Corea (RPDC / Corea del Norte) es responsable del ataque.
Protección de los usuarios: Binance anunció que los usuarios no sufrirán ninguna pérdida financiera. Se ha reservado más del 100 % de los fondos necesarios, y ya se ha repuesto el 98 % de los activos en tokens afectados. Esto puede verificarse en su página de Prueba de Reservas al 31 de octubre de 2026.
Recuperación de activos: De los 6.340 millones de USD afectados, se han congelado o interceptado con éxito aproximadamente 2.850 millones de USD.
2. Cronología y ejecución del ataque (29 de octubre)
El ataque se desarrolló rápidamente entre las 20:05 UTC y las 23:56 UTC en varias redes de cadenas de bloques:
Compromiso de un servicio interno: El atacante obtuvo acceso no autorizado a un servicio interno de firma de billeteras, eludiendo los procesos habituales de retiro.
Salidas masivas:
XRP: Cinco billeteras calientes enviaron 233,46 millones de XRP a una dirección controlada por el atacante (20:05–20:09 UTC).
SOL y OP: Las billeteras calientes de Solana y Optimism enviaron aproximadamente 970.500 SOL y 44,2 millones de OP.
BTC: Una billetera caliente envió 18.270 BTC.
Explotación de EIP-7702: El atacante utilizó el servicio de firma para explotar el mecanismo EIP-7702 de Ethereum. Esto le permitió asignar derechos de ejecución parciales de una billetera caliente de Binance a un contrato inteligente controlado por el atacante, sin exponer las claves privadas.
Desafíos de contención: Aunque Binance suspendió inmediatamente los retiros, las autorizaciones maliciosas de EIP-7702 operaban en la cadena de bloques de forma independiente de la infraestructura habitual de retiros. Además, como se utilizaba computación multipartita (MPC), no había una única clave privada cuyas autorizaciones pudieran revocarse al instante, por lo que se requería un procedimiento técnico especializado.
Transferencia final: La transferencia no autorizada final de 2.961,9 ETH se confirmó en la cadena de bloques a las 23:56 UTC.
Resolución: A las 00:10 UTC del 30 de octubre de 2026, Binance ejecutó una nueva autorización desde la billetera caliente Binance14 a la dirección cero, eliminando por completo el código de delegación EIP-7702 y deteniendo toda actividad no autorizada posterior.
3. Preparación del ataque y causas raíz
Las investigaciones revelan que se trató de una campaña coordinada y patrocinada por un Estado, de larga duración, que implicó técnicas avanzadas de ingeniería social:
Junio de 2026 (ataque a la cadena de suministro): Un ingeniero del equipo de DevOps de billeteras descargó una instalación manipulada de Homebrew mientras buscaba una herramienta de programación con IA. Aunque el equipo de seguridad de Binance detectó la anomalía, reemplazó el dispositivo y rotó las credenciales, quedaron expuestos el puesto del ingeniero y la infraestructura del equipo.
Septiembre de 2026 (ingeniería social): Los atacantes se dirigieron a otro ingeniero de software a través de una plataforma profesional de búsqueda de empleo, haciéndose pasar por un director de proyectos y un director ejecutivo ficticio. Utilizaron entrevistas falsas para establecer contacto y comprometer los dispositivos.
Contexto más amplio: Durante 2026, el equipo de seguridad de Binance detectó y bloqueó 57 intentos sospechosos de ciberataques vinculados a Corea del Norte, que utilizaron entrevistas de trabajo falsas, herramientas de desarrollo maliciosas, paquetes de software comprometidos y aplicaciones falsas de videoconferencias.