Fecha de publicación:
Fecha de modificación:
El robo de aproximadamente $6.300 millones de las billeteras de Binance no habría sido una operación improvisada. Los investigadores identificaron preparativos previos, pruebas con cuentas de criptomonedas y una estrategia que permitió a los responsables utilizar la propia infraestructura de autorización del exchange para transferir los activos.
La reconstrucción de TRM Labs y CoinDesk señala que los atacantes comenzaron a preparar la operación al menos un día y medio antes de ejecutar los movimientos principales. La billetera utilizada para coordinar el ataque recibió pequeñas cantidades de ether provenientes de Tornado Cash, un servicio que dificulta el rastreo de los fondos.
Posteriormente, los responsables desplegaron contratos inteligentes y realizaron pruebas con billeteras de prueba. Estas operaciones les permitieron comprobar que el código podía ejecutar transferencias y que las autorizaciones funcionaban como esperaban antes de intervenir las cuentas de Binance.
La parte más importante del ataque en Ethereum involucró una función denominada EIP-7702, incorporada a esa red en 2025 mediante la actualización Pectra.
Esta herramienta permite que una billetera convencional delegue temporalmente su funcionamiento a un contrato inteligente. La función fue diseñada para facilitar operaciones como agrupar pagos o permitir que terceros cubran las comisiones de una transacción.
Sin embargo, los atacantes consiguieron utilizarla para que una billetera caliente de Binance ejecutara instrucciones bajo su control. Para ello, necesitaban autorizaciones firmadas por la cuenta afectada.
Según el análisis de CoinDesk, el responsable preparó una transacción que contenía 50 autorizaciones firmadas por Binance 14, una de las billeteras del exchange.
La preparación de múltiples autorizaciones permitió que alguna coincidiera con el número que tenía la billetera cuando la red procesó la operación. Ethereum aceptó una de las 50 y descartó las restantes.
Con esa autorización, Binance 14 quedó vinculada a un contrato inteligente controlado por el atacante. La billetera comenzó a ejecutar instrucciones que enviaban sus activos hacia direcciones bajo el control de los responsables.
En una sola transacción, el atacante movilizó aproximadamente 167.464 ETH y otros 63 tipos de tokens, entre ellos unos $1.615 millones en USDT. La operación se completó en menos de cuatro minutos.
El problema no terminó con ese primer movimiento. Los sistemas de Binance continuaron enviando depósitos de clientes a la billetera comprometida y el código malicioso volvió a transferir los fondos.
La delegación maliciosa permaneció activa durante casi cuatro horas. Durante ese periodo, el atacante también utilizó el código para ordenar transferencias desde otra billetera del exchange, identificada como Hot Wallet 34, de la que salieron aproximadamente $823 millones en USDC, según TRM Labs.
La vulneración no se limitó a Ethereum. TRM Labs identificó movimientos desde billeteras de Binance en otras nueve cadenas de bloques, entre ellas Bitcoin, XRP Ledger, Solana y Tron.
En esas redes, las transferencias se realizaron mediante operaciones firmadas convencionales, no con la función EIP-7702. La característica común fue que los movimientos llevaban autorizaciones válidas de billeteras controladas por Binance.
El exchange indicó inicialmente que una computadora portátil comprometida de un ingeniero de DevOps de Binance habría permitido acceder a un contenedor de servicios internos y presentar retiros no autorizados. Posteriormente comunicó que los investigadores habían encontrado otros puntos de vulneración.
La empresa también aseguró que no encontró evidencia de que las claves privadas de sus billeteras hubieran sido filtradas. El origen de las firmas que permitieron ejecutar las transferencias en distintas redes continúa bajo investigación.
Congelamiento de los activos
Después de obtener los activos, los responsables recurrieron a plataformas descentralizadas para intercambiar criptomonedas y dificultar su recuperación.
Una de las operaciones más relevantes ocurrió en Aave. Una billetera vinculada con el atacante depositó $60 millones en USDT como garantía y obtuvo un préstamo de 19.762 WETH, valorados en aproximadamente $44 millones en ese momento.
La operación permitió convertir parte de los activos en Ether, una criptomoneda que no tiene un emisor centralizado con capacidad para congelar direcciones.
Binance informó que logró congelar cerca de $3.000 millones en coordinación con otras empresas del sector. Tether, Circle y otros emisores bloquearon activos vinculados con el incidente, mientras los investigadores continuaron siguiendo los movimientos en las cadenas de bloques.
Binance aseguró que cubrirá las pérdidas mediante el fondo SAFU y recursos propios. El incidente también abrió cuestionamientos sobre la seguridad de los exchanges centralizados, pues demuestra cómo una vulneración en los sistemas que autorizan transacciones puede comprometer grandes cantidades de activos sin que necesariamente se filtren las claves privadas de las billeteras.