Binance, la principal empresa de intercambio de criptomonedas del mundo, fue víctima de un golpe comando virtual en la tarde del jueves, donde un grupo de hackers logró infiltrarse en la PC de un ingeniero de la firma para lograr permisos que les permitan mover en apenas unos minutos una cifra cercana a los 6.300 millones de dólares, en lo que se volvió por lejos el robo cripto más grande de la historia.
Para poner en perspectiva, el robo a Bybit de febrero de 2025 había sido de apenas US$ 1.400 millones, cuatro veces menor.
El ataque ocurrió durante la tarde del jueves, en una operación que todavía es materia de investigación, pero que de a poco va arrojando algunas certezas.
En una primera instancia, la propia Binance reconoció el golpe y comunicó a través de sus redes sociales que había sido víctima de un «ataque complejo» en sus sistemas, avisando además que se haría cargo de todos los costos. También suspendió preventivamente todos los retiros por parte de los usuarios.
En ese mismo comunicado señaló que ya comenzaron a devolver los activos a los usuarios afectados. «Seguimos encaminados para cumplir con el plazo estimado de reanudar el servicio de retiros en 45 horas», explicaron desde Binance en un comunicado compartido con Clarín.
Según la propia empresa, la investigación inicial habla de un incidente de seguridad alrededor de la laptop de un ingeniero de desarrollo de sistemas (DevOps) que se vio comprometida. «Ello permitió a un atacante acceder a un contenedor de servicio y realizar transacciones de retiro no autorizadas», comentaron desde la empresa.
Sin embargo, con el correr de las horas encontraron más vulnerabilidades que pueden haber permitido el golpe. «Nuestra investigación posterior ha descubierto puntos de vulneración adicionales. Este fue un ataque complejo y estamos haciendo todo lo posible, en coordinación con las autoridades, para resolverlo», agregaron en otro tuit publicado a las 5:47 de este viernes.
Si bien desde Binance no indicaron de dónde vino el ataque, en el sector señalan que podría venir desde Corea del Norte. TRM Labs, una empresa de inteligencia blockchain que desarrolla software para investigar delitos financieros, emitió un primer informe que le atribuye el ataque al grupo TraderTraitor.
«Varias características de este ataque coinciden con robos anteriores vinculados a Corea del Norte, incluidos el hackeo de Bybit y el de KelpDAO en abril de 2026: pequeños retiros de Tornado Cash que financiaban una billetera de operador, una puesta en escena que comenzó mucho antes del robo y firmas obtenidas con anticipación y ejecutadas en una sola operación», sostuvieron desde TRM.
Según la firma, todo el ataque se ejecutó en apenas veinte minutos.
El atacante empezó a prepararse el 28 de octubre. Fondeó una billetera con pequeños retiros de Tornado Cash, un servicio de intercambio de divisas que oculta el origen del dinero y es elegido usualmente para el lavado de activos. Luego, probó su código en algunas billeteras de prueba. Ensayó la versión final unas cuatro horas antes del golpe.
A partir de las 17:05 del jueves en Argentina, hot wallets de Binance empezaron a transferir fondos a direcciones del atacante. Ocurrió en diez blockchains a la vez: Ethereum, Bitcoin, Tron, XRP Ledger, Solana y otras cinco. Una hot wallet se usa para atender operaciones y retiros.
El atacante usó una función de Ethereum (EIP-7702) que permite a una billetera común ceder su funcionamiento a un contrato inteligente mediante una firma. Se estima que esa firma llegó a partir de comprometer la laptop del DevOps. Con firmas válidas de Binance, la billetera quedó ejecutando un código del atacante, que la vació y siguió barriendo los fondos que llegaban después.
Billeteras en diez blockchains de Binance enviaron los 6.300 millones a una única dirección controlada por el atacante, alternando entre distintas divisas como XRP, Bitcoin, USDT o Ethereum.
Tres horas más tarde, TRM detectó que billeteras en Avalanche y Porygon también enviaron transferencias menores, por 28 y 10 millones de dólares. La firma señala que lo más probable es que el atacante haya vulnerado la infraestructura con la que Binance firma sus transacciones.
Chainalysis, otra empresa especialziada en análisis forense cripto, remarcó que encontraron miles de transacciones en poco tiempo que hacen circular los fondos entre direcciones, en un proceso de lavado automático de activos.
En el mientras tanto, Binance aseguró que cubrirá todas las pérdidas. «Binance cubrirá todas las pérdidas con los fondos del SAFU (fondos de emergencia) y los fondos de la empresa. Los fondos de los usuarios están a salvo», repitieron en cada comunicado.
A su vez, Tether, Circle, Ripple y World Liberty Financial (firmas que emiten algunos de los criptoactivos robados) congelaron 2.670 millones de dólares en stablecoins (monedas con el valor atado al dólar). Mientras que Arbitrum congeló unos 30 millones de dólares en Ethereum y Arbitrum (otras dos cripto), lo que suma un total aproximado de US$ 2.700 millones que quedaron imposibilitados para moverse.
El atacante aún controla más de 420 mil Ethereum y 18.270 bitcoins, con un valor aproximado de 2.400 millones de dólares, además de cantidades menores en otras cadenas.
La respuesta de uno de los CEO
El co-CEO de Binance, Richard Teng, difundió un video en el que brindó más detalles del ataque y confirmó que las pérdidas correspondían a hot wallets de Binance y no de los usuarios.
«Permítanme ser directo en el primer punto. NUNCA utilizamos fondos de clientes, por lo que no se vieron afectados. Los activos de los usuarios se mantienen bajo la arquitectura de seguridad establecida por Binance. La gran mayoría se encuentra en billeteras frías y solo se transfieren a una billetera caliente cuando un usuario realiza un retiro», explicó.
Para respaldarlo, la empresa prometió una prueba de reservas (Proof of Reserves), cuya versión inicial apunta a publicar el lunes.
Sobre el ataque, Teng agregó que el atacante usó un mecanismo de autodestrucción que fue borrando herramientas y rastros, lo que dificulta el análisis, y que aprovechó el protocolo EIP-7702 para obtener autorización de ejecución sobre una billetera caliente. Según Teng, esa delegación no pasó por los controles de aprobación habituales, y por eso la empresa mantiene los retiros pausados mientras reconstruye y vuelve a probar la infraestructura.
«Necesitamos pausar el servicio de retiros para investigar, reconstruir y volver a probar todo el sistema de infraestructura. Estamos reconstruyendo el servicio de retiros y no lo reactivaremos hasta que supere pruebas rigurosas», dijo. El análisis incluye una revisión de seguridad completa en toda la empresa, entre los que enumeró endpoints, nubes, gestión de claves y firmas de transacciones.
En el cierre dijo estar “muy esperanzado” en que los usuarios puedan retirar antes del domingo, un plazo que, según indicó, está en camino de cumplirse dentro de 40 horas. «Superaremos esta tormenta. Gracias por su apoyo y cuídense», cerró.
