✨︎ Resumen (TL;DR):
- Los atacantes pagaron unos 15 dólares en Ethereum para registrar una autorización sobre la billetera Binance 14.
- Tres minutos y 24 segundos después movieron 167,464 ether, cerca de 1,615 millones de USDT y alrededor de 60 tokens.
- La transferencia representó cerca del 40 % de los 6,300 millones de dólares en activos afectados que Binance calculó inicialmente.
Los atacantes que sustrajeron criptomonedas de Binance pagaron unos 15 dólares en comisiones de Ethereum para registrar un permiso sobre la billetera Binance 14. Tres minutos y 24 segundos después usaron esa autorización para mover activos valorados en aproximadamente 2,500 millones de dólares en una sola transacción. El ataque del 29 de octubre de 2026 afectó inicialmente activos por 6,300 millones de dólares, según el cálculo de Binance.
Los $15 registraron el permiso, no el robo
Bloomberg reportó que la comisión se pagó para registrar en Ethereum una autorización que permitió a un programa controlado por los atacantes actuar en nombre de la billetera. Ese paso no trasladó fondos por sí mismo.
El monto no representa el costo de toda la campaña ni el precio de acceso a Binance. En su investigación inicial, la plataforma explicó que los intrusos comprometieron equipos de ingenieros y después obtuvieron acceso no autorizado a un servicio interno que firma transacciones. El caso seguía bajo revisión independiente.
EIP-7702 es una función incorporada a Ethereum en 2025 que permite a una cuenta autorizar la ejecución de código de un contrato inteligente. La función requiere una autorización firmada por la cuenta. En este caso, la autorización apuntó a código controlado por los atacantes y, según el reporte de Binance, se usó después de la intrusión.
La billetera afectada, Binance 14, estaba conectada a internet y se usaba para procesar movimientos de la plataforma. A diferencia del almacenamiento desconectado, una billetera así mantiene activos disponibles para operaciones.
Qué salió de Binance 14 en una transacción
Blockaid reconstruyó la secuencia a partir de la actividad registrada en la cadena de bloques. Su análisis ubicó la activación del permiso y la transferencia principal con una diferencia de tres minutos y 24 segundos.
Desde Binance 14, los atacantes movieron:
- 167,464 ether.
- Aproximadamente 1,615 millones de USDT.
- Alrededor de 60 tokens adicionales.
USDT es una moneda estable diseñada para mantener un valor cercano al dólar. Blockaid estimó que el conjunto valía unos 2,500 millones de dólares a los precios de ese momento. Las cantidades individuales forman parte de ese total.
La transferencia representó cerca del 40 % de los 6,300 millones de dólares en activos afectados que Binance calculó inicialmente tras el ataque del 29 de octubre de 2026.
Las demás salidas siguieron otras rutas
El resto del ataque abarcó varias redes y billeteras. TRM Labs identificó también transferencias firmadas de forma ordinaria desde otras cuentas, de modo que la delegación de Ethereum no explica por sí sola cada salida incluida en el cálculo global.
La misma autorización dio acceso a una cuenta separada de Binance. TRM rastreó después la salida de 823 millones de USDC y señaló que Circle, el emisor de la moneda estable, congeló esos fondos.
Esos 823 millones de USDC corresponden a movimientos posteriores y no deben sumarse a los 6,300 millones de dólares como si fueran un robo adicional.
El permiso siguió activo tras pausar los retiros
Binance explicó que pausar los retiros no anuló automáticamente la autorización. Ya estaba registrada en Ethereum y funcionaba fuera de su sistema habitual de retiros; mientras permaneció activa, los atacantes pudieron volver a mover activos que llegaban a la billetera.
La configuración de firma distribuida de la cuenta hizo necesario preparar un procedimiento específico para retirar el permiso. Binance afirmó que lo revocó a las 00:10 UTC del 30 de octubre. Una revisión de GCSA también identificó la revocación en Ethereum.
Un portavoz de Binance dijo a Bloomberg que la empresa reconstruyó la infraestructura de las billeteras afectadas y actualizó sus controles de firma y monitoreo, incluidas medidas para revocar autorizaciones durante una emergencia.
Binance repuso 98 % del monto afectado
El 4 de noviembre, Binance afirmó que había repuesto aproximadamente el 98 % del monto afectado con recursos de la empresa y que seguía adquiriendo los activos restantes. Esa reposición cubre el faltante con otros recursos; no significa que se haya recuperado el mismo porcentaje de las criptomonedas sustraídas.
El dato de 15 dólares describe solo el registro de una autorización. La operación dependió de una intrusión previa en los equipos de ingenieros y el servicio de firmas, mientras el permiso siguió activo incluso después de pausar los retiros. Binance ya reportó su revocación y la reposición del 98 % con recursos propios, mientras seguía adquiriendo los activos restantes.
