Un atacante sacó aproximadamente 6.360 millones de dólares de carteras de Binance repartidas en diez redes, en el mayor robo de criptomonedas registrado. La actividad comenzó el 29 de octubre y, según TRM Labs, la mayor parte del dinero salió en unos 20 minutos. Binance afirma que los fondos de sus usuarios están a salvo y se ha comprometido a cubrir las pérdidas.
La investigación aún no ha establecido públicamente quién ejecutó el ataque ni cómo obtuvo acceso. Binance dijo que el análisis inicial apuntaba al portátil comprometido de un ingeniero de DevOps, pero después encontró otros puntos de intrusión. La empresa no ha atribuido responsabilidad a ningún empleado y sostiene que no ha encontrado indicios de que se filtraran claves privadas de sus carteras.
Diez redes y una brecha en el sistema de firmas
Los movimientos afectaron a carteras de Binance en redes como Ethereum, Bitcoin, Tron, XRP Ledger y Solana, además de Arbitrum, Avalanche, Optimism, Base y Polygon. TRM calcula que el valor de los activos transferidos fue de unos 6.360 millones de dólares al precio de cada token en el momento del robo; a precios posteriores, la cifra descendía a unos 6.230 millones.
La primera explicación de Binance se centró en un portátil comprometido que habría permitido al atacante entrar en un contenedor de servicio y enviar transacciones de retirada no autorizadas. Sin embargo, que carteras de distintas redes y con diferentes sistemas de firma produjeran transacciones válidas llevó a TRM a apuntar a un acceso más amplio: la infraestructura que firma las operaciones de las carteras calientes de Binance.
TRM detalló un mecanismo específico en Ethereum. El atacante habría usado una autorización EIP-7702 para hacer que una cartera caliente ejecutara un contrato controlado por él y enviara sus fondos a otra dirección. La firma se preparó de antemano; después, el atacante volvió a barrer fondos que llegaron a esa cartera. En otras cadenas, los activos salieron mediante transferencias firmadas convencionales.
En X, el co-CEO de Binance, Richard Teng, rechazó que se tratara de una operación sencilla basada en los permisos de una sola persona: «no fue una acción de un solo clic», dijo, y describió un proceso de ataque más complejo. Binance ha revocado la autorización de la dirección afectada y suspendió temporalmente depósitos y retiradas mientras realiza comprobaciones de seguridad.
Fondos congelados y atribución de TRM
Binance comunicó que se habían congelado alrededor de 3.000 millones de dólares de los activos afectados. TRM estima el total en cerca de 2.700 millones, incluidos fondos inmovilizados por emisores de stablecoins y por el consejo de seguridad de Arbitrum. Las cifras reflejan distintos cortes de seguimiento: TRM situó su cálculo en torno a las 00:30 UTC del 30 de octubre.
Tether, Circle, Ripple y World Liberty Financial congelaron stablecoins vinculadas al robo. El Consejo de Seguridad de Arbitrum también intervino para sacar de alcance del atacante 8.426 ETH y 74,6 millones de ARB. Aun así, TRM calcula que el atacante conserva más de 420.000 ETH y 18.270 BTC, con un valor aproximado de 2.400 millones de dólares, además de cantidades menores en otros activos.
Para convertir parte de los fondos, el atacante vendió USDT a operadores de mercado y utilizó Aave para pedir ETH prestado contra USDT. TRM señala que esos movimientos permitieron cambiar activos que podían congelarse por otros fuera del alcance de un emisor. La firma espera que el seguimiento continúe a través de servicios de intercambio, puentes entre cadenas y operadores extrabursátiles, aunque esa es una previsión basada en robos anteriores, no una confirmación de movimientos futuros.
TRM atribuye el ataque a TraderTraitor, un grupo norcoreano, basándose en inteligencia dentro y fuera de la cadena. Binance, en cambio, aún trabaja con las fuerzas del orden para confirmar la identidad de los responsables y no ha respaldado públicamente esa atribución. El grupo también ha sido vinculado por TRM al robo de Bybit de febrero de 2025, valorado en 1.500 millones de dólares, que hasta ahora ocupaba el primer lugar entre los robos de criptomonedas conocidos.
«La investigación no ha atribuido responsabilidad a ninguna persona. Hasta ahora, no hemos encontrado pruebas de que se haya filtrado ninguna clave privada de una cartera.»
— Richard Teng, co-CEO de Binance
Binance promete cubrir las pérdidas
Además de afirmar que los fondos de los usuarios están a salvo, Binance ha reservado más de 6.340 millones de dólares de fondos propios para responder al incidente. La empresa indicó que 5.000 millones de esa cantidad ya están en los mismos tipos de tokens afectados. También cuenta con el fondo de reserva SAFU, valorado en unos 1.300 millones de dólares en su última valoración, destinado a proteger los activos de los usuarios en situaciones de este tipo.
La compañía prevé publicar un análisis técnico detallado cuando termine la investigación y los hechos estén verificados. También ha dicho que actualizará su prueba de reservas cuando concluya la remediación. Por ahora, la incógnita central sigue siendo cómo consiguió el atacante que carteras de diez redes firmaran transacciones bajo su control.
Fuentes: The Verge, PC Gamer, TechCrunch, TRM Labs
