El robo a Binance, un hackeo de criptomonedas valorado por la propia plataforma en US$6.300 millones, ya figura como el mayor hurto de activos digitales del que se tenga registro. Binance lo confirmó el jueves 29 de octubre y este viernes 30 precisó el primer rastro de su investigación: la computadora portátil comprometida de un ingeniero de DevOps, el equipo técnico que mantiene en pie la infraestructura interna.
Con esa máquina, el atacante habría llegado a un contenedor de servicio, un entorno aislado donde corre parte del programa que procesa operaciones, y desde ahí envió transacciones de retiro no autorizadas. Binance repitió un dato que cambia la lectura del caso: no apareció evidencia de filtración de las claves privadas de sus billeteras. El sistema firmó lo que no debía firmar.
Una computadora portátil en el centro del golpe
El codirector ejecutivo de Binance, Richard Teng, matizó la versión inicial en X: no fue una acción de un solo clic ni obra de los permisos de un solo empleado. La empresa habla de un proceso de ataque más complejo, con puntos de brecha adicionales que su equipo sigue rastreando, y pidió no atribuir responsabilidad a una persona concreta mientras la revisión continúa.
La firma de inteligencia TRM Labs reconstruyó el tramo final con datos de la cadena de bloques. La preparación llevaba al menos 36 horas en marcha. A las 20:20 UTC el operador presentó una sola transacción con 50 autorizaciones EIP-7702, un estándar de Ethereum que permite delegar una cuenta a un contrato inteligente, firmadas de antemano; una coincidió con el contador interno de la billetera caliente y bastó. Tres minutos y 24 segundos después, esa billetera envió todo su saldo a una dirección del atacante: 167.464 unidades de ether y 63 tokens, entre ellos más de 1.600 millones de USDT.
Las billeteras del atacante llegaron a reunir más de US$5.700 millones, datos de Arkham recogidos por CoinDesk: cerca de US$1.500 millones en bitcoin, US$900 millones en ether, unos US$1.500 millones en USDT y más de US$800 millones en USDC. Chainalysis ajustó su cálculo del monto robado a US$5.912 millones en el momento del hurto; Elliptic lo sube a US$6.430 millones. Son estimaciones de firmas que siguen el dinero en la cadena, no una auditoría cerrada de Binance.
US$3.000 millones congelados y los retiros en pausa
Del robo a Binance, cerca de US$3.000 millones quedaron congelados en la cadena con ayuda de socios del sector. Tether congeló más de US$1.567 millones en USDT y Circle más de US$800 millones en USDC, unos US$2.400 millones entre los dos emisores de monedas estables; el Consejo de Seguridad de Arbitrum inmovilizó otros US$30,5 millones. Elliptic calcula US$2.840 millones congelados y unos US$3.330 millones todavía en manos del atacante, repartidos en unas 43 direcciones y sin un emisor que pueda bloquearlos.
La plataforma revocó la autorización de la dirección afectada, pausó los retiros y rehace el servicio de retiros y sus direcciones relacionadas. Los depósitos operan con normalidad y la reanudación de los retiros quedó estimada en 48 horas, una ventana que la propia empresa presenta como cálculo y no como promesa. Binance cubrirá las pérdidas con el fondo SAFU, su fondo de emergencia para usuarios creado en 2018, y con fondos propios, y promete una prueba de reservas actualizada al cerrar la reparación.
El mercado sintió el golpe el mismo jueves: el bitcoin cayó 4,8 % y bajó de US$77.000, el ether perdió 5,7 % y BNB, el token de la cadena vinculada a Binance, retrocedió 8 %, datos de CoinDesk. La plataforma custodiaba unos US$144.000 millones antes del incidente, cifra de DefiLlama citada por CoinDesk; lo robado equivale a cerca del 4 % de ese total.
La pista norcoreana y la comparación con Bybit
TRM Labs atribuyó este hackeo de criptomonedas, con confianza alta, a TraderTraitor, un grupo patrocinado por el Estado de Corea del Norte; Chainalysis también vinculó los fondos con ese país al detectar mezcla con dinero del hurto a Bitget del mes pasado. El patrón de preparación se parece al de el robo de US$1.500 millones a Bybit en febrero de 2025, hasta este jueves el mayor del sector: allí los atacantes comprometieron la máquina de un desarrollador del proveedor de billeteras y lograron que los firmantes aprobaran una transacción maliciosa.
Elliptic pidió calma con esa atribución. Su científico jefe, Tom Robinson, señaló dos rarezas: el atacante retuvo el USDT robado durante 37 minutos en Ethereum y 46 minutos en Tron sin convertir la mayor parte, y el lavado se apoya en creadores de mercado y protocolos de préstamo, un camino distinto a los puentes entre cadenas usados tras el caso Bybit. Los grupos ligados a Corea del Norte suelen mover las monedas estables en minutos, recordó Robinson.
Para quien guarda fondos en la plataforma, el consejo práctico que deja CyberInsider es directo: seguir solo los anuncios oficiales y desconfiar de ofertas de recuperación o mensajes que pidan credenciales, claves privadas o pagos para desbloquear retiros. Binance prometió publicar el informe técnico completo cuando la investigación cierre y verifique cada hecho; hasta ese informe, la ruta exacta entre una computadora comprometida y los retiros que movieron US$6.300 millones sigue siendo la pieza que falta del caso.
Fuente: CyberInsider
