✨︎ Resumen (TL;DR):
- Binance tuvo que preparar un procedimiento especial de firma porque pausar los retiros no anuló la delegación activa en Ethereum.
- La plataforma valoró el robo del 29 de octubre en unos 6,340 millones de dólares; la última transferencia no autorizada fue de 2,961.9 ether.
- Binance revocó la delegación de la billetera Binance14 a las 00:10 UTC del 30 de octubre y después reportó la reposición de aproximadamente 98 % del monto afectado.
Binance tardó en revocar los permisos que los atacantes usaron para mover fondos porque tuvo que preparar un procedimiento especial de firma. La plataforma explicó que suspender los retiros no anulaba la delegación que un contrato bajo control de los intrusos mantenía sobre una billetera conectada a internet. Binance valoró el robo del 29 de octubre en unos 6,340 millones de dólares.
El detalle aparece en el informe inicial del 3 de noviembre. Los intrusos obtuvieron acceso al servicio interno que firma transacciones y, desde ahí, otorgaron a un contrato bajo su control permisos sobre una billetera. Esos permisos operaban al margen de la infraestructura habitual de retiros, por lo que suspender los retiros no los anuló automáticamente.
Por qué pausar retiros no anuló la delegación
EIP-7702 es una función de Ethereum que permite a una cuenta delegar ciertas capacidades de ejecución al código de un contrato inteligente. La especificación contempla que esa delegación permanezca registrada hasta que la cuenta la cambie o la elimine. Binance señaló que los atacantes aprovecharon ese mecanismo.
En el caso descrito por la plataforma, el contrato de los atacantes recibió derechos parciales de ejecución sobre una billetera. La delegación seguía registrada en la cadena aunque Binance ya había suspendido los retiros. Para detener esa vía, la empresa tuvo que modificar el estado de la cuenta en la blockchain.
La billetera utilizaba computación multipartita. MPC es un sistema que distribuye el proceso de firma entre varias partes. Según Binance, no había una clave privada única disponible para revocar las autorizaciones de inmediato, así que el equipo tuvo que desarrollar y ejecutar un procedimiento específico.
El informe no detalla cómo estaba configurado ese proceso ni cuánto tiempo consumió cada etapa. La explicación tampoco demuestra que MPC sea, por sí mismo, la causa de la intrusión.
Binance sitúa el acceso previo en una campaña contra los equipos de sus ingenieros y en el uso posterior de su servicio interno de firma. La investigación sigue abierta y la compañía anunció una revisión externa de sus conclusiones.
La cronología separa la transferencia de la revocación
La cronología de la plataforma empieza con la salida de 233.46 millones de XRP desde 5 billeteras entre las 20:05 y 20:09 UTC del 29 de octubre. Después de recibir una alerta interna por movimientos de gran volumen, Binance comenzó a investigar.
La empresa indicó que la última transferencia no autorizada, de 2,961.9 ether, se confirmó a las 23:56 UTC. La operación ya había sido transmitida y permanecía pendiente antes de confirmarse. Por eso, esa hora señala la confirmación, no necesariamente el momento en que comenzó la transferencia.
A las 00:10 UTC del 30 de octubre, Binance ejecutó una nueva autorización que eliminó la delegación de la billetera identificada como Binance14. Un análisis independiente de GCSA, centrado en transacciones de Ethereum, también identificó la delegación y su posterior revocación.
Esa revisión no establece por sí sola la causa completa de la intrusión ni el importe finalmente recuperado. Además, la vía de Ethereum explica solo una parte de las salidas: Binance reportó movimientos de activos en Bitcoin, Solana y Optimism.
Fondos repuestos, pero no necesariamente recuperados
En su informe inicial, Binance calculó en unos 2,850 millones de dólares los activos congelados o interceptados. La cifra depende de la conciliación y de los precios de mercado. Inmovilizar esos fondos no significa que hayan sido devueltos a la empresa o a sus clientes.
El 4 de noviembre, la plataforma afirmó que había repuesto aproximadamente 98 % del monto afectado con recursos propios y que seguía adquiriendo el resto. Reponer los activos es distinto de recuperar las mismas criptomonedas sustraídas.
Ese mismo día, Binance comunicó una nueva instantánea de reservas con cobertura de 44 tokens, frente a 10 en la anterior. La empresa esperaba tardar entre 50 y 60 horas en generar la prueba criptográfica completa que permitiría a los usuarios de los activos cubiertos verificar sus saldos.
Mientras esa prueba no esté disponible, la actualización de reservas no equivale a esa comprobación. La reposición del monto tampoco confirma cuánto de las criptomonedas originales recuperó Binance, y la revisión externa anunciada sigue pendiente.
