Un portátil comprometido de un ingeniero DevOps habría abierto el camino para sacar 6.360 millones de dólares de monederos de Binance en diez redes blockchain. La plataforma dijo que el acceso permitió llegar a un contenedor de servicio y enviar transacciones de retiro no autorizadas, pero Richard Teng, codirector ejecutivo de Binance, advirtió que el ataque fue más complejo que el uso de los permisos de una sola persona.
Binance no ha encontrado indicios de que se filtrara una clave privada de monedero y no ha atribuido responsabilidad a ningún empleado. La compañía también informó de «puntos adicionales de brecha» y dijo que sigue reuniendo datos para reconstruir lo ocurrido.
Retiros suspendidos y fondos en seguimiento
El robo se produjo el 29 de octubre. TRM Labs calcula que el atacante movió aproximadamente 6.360 millones de dólares en activos desde monederos de Binance repartidos por diez blockchains. La mayor parte salió en unos veinte minutos, a partir de las 20:05 UTC. La cifra convierte el incidente en el mayor robo de criptomonedas registrado, según TRM, y supera en más de cuatro veces los 1.500 millones sustraídos en el ataque a Bybit de febrero de 2025.
Binance detuvo los depósitos y retiros mientras realizaba comprobaciones de seguridad y revocó la autorización de la dirección afectada. RedesZone informó que la plataforma esperaba reanudar los retiros en unas 48 horas, después de renovar la seguridad del servicio y de las direcciones relacionadas. La empresa confirmó que los depósitos seguían funcionando con normalidad; su actualización posterior, recogida por The Hacker News, mantenía los retiros suspendidos mientras continuaban la revisión y la recuperación segura del servicio.
La plataforma sostiene que los fondos de los usuarios están a salvo y ha prometido cubrir las pérdidas con el fondo SAFU y recursos propios. También dijo que publicará una versión actualizada de su prueba de reservas cuando termine la remediación. El compromiso de cubrir las pérdidas es de Binance: la cobertura no procede de una garantía pública de depósitos, como señala The Guardian.
Los emisores de activos y otros actores de las redes han congelado cerca de 2.700 millones de dólares, según TRM Labs. La firma cifra en unos 2.67 mil millones el valor de las stablecoins congeladas por Tether, Circle, Ripple y World Liberty Financial; el Consejo de Seguridad de Arbitrum también inmovilizó ETH y ARB. Las estimaciones publicadas sobre los activos que siguen bajo control del atacante varían: TRM calcula unos 2.400 millones de dólares en ETH y BTC, además de cantidades menores en otras redes.
En paralelo, Binance trabaja con empresas de análisis blockchain y fuerzas del orden para seguir el rastro y recuperar fondos. La compañía afirmó que está coordinando con socios para confirmar la identidad de los responsables. No ha publicado todavía una causa raíz completa.
TraderTraitor, la atribución de las firmas de análisis
Binance no ha vinculado públicamente el incidente a un grupo concreto. TRM Labs atribuye el ataque con un alto grado de confianza a TraderTraitor, una unidad de hackers norcoreana. Chainalysis coincide en la atribución, según The Hacker News. Las firmas señalan similitudes con ataques anteriores, entre ellas la preparación previa de transacciones y el movimiento coordinado de fondos.
TRM describe un acceso que alcanzó monederos de Binance en varias redes y sostiene que la explicación más probable es que el atacante consiguiera que la infraestructura de firma de la plataforma autorizara operaciones a través de distintas cadenas. En Ethereum, según el análisis de TRM, el atacante preparó 50 autorizaciones firmadas para que una siguiera siendo válida cuando se ejecutara. Un monedero caliente —conectado a internet para procesar retiros— envió después su saldo a una dirección controlada por el atacante.
Ese análisis de blockchain ofrece una explicación técnica del movimiento de fondos, pero Binance aún no ha confirmado públicamente el mecanismo completo. La empresa sí precisó que el incidente no fue una acción de «un solo clic» ni se limitó a los permisos de un ingeniero.
«Para que quede claro: el atacante no se limitó a usar los permisos de un ingeniero, y no fue una acción de “un solo clic”. Implicó un proceso de ataque más complejo. Nuestra investigación no ha atribuido responsabilidad a ninguna persona».
— Richard Teng, codirector ejecutivo de Binance
La investigación sigue abierta
Las firmas de análisis han descrito un patrón de conversión distinto al observado tras otros robos. TRM afirma que el atacante vendió USDT a creadores de mercado y pidió prestado ETH usando USDT como garantía en Aave, mientras los emisores congelaban activos. Chainalysis también ha observado movimientos que califica de inéditos, con transacciones repetidas entre direcciones. La ruta futura del dinero aún está por verse; TRM vigila los fondos y prevé que los activos puedan pasar por servicios de intercambio, puentes entre cadenas y corredores extrabursátiles.
Binance dice haber contenido la infraestructura comprometida, revocado autorizaciones y añadido controles, además de reforzar las comprobaciones en los sistemas afectados. La compañía está trabajando con expertos internos y externos para reconstruir la secuencia completa, identificar los factores que contribuyeron al ataque y decidir qué medidas evitarían que se repita. Mientras tanto, los retiros seguirán pausados hasta que Binance complete las revisiones y valide la integridad de los sistemas afectados.
Fuentes: BleepingComputer, RedesZone, The Hacker News, TRM Labs, the Guardian
