Los atacantes transfirieron unos 6.340 millones de dólares en criptomonedas desde al menos 11 carteras de Binance el 29 de octubre. Lo hicieron con autorizaciones que siguieron funcionando después de que la plataforma suspendiera los retiros y cerrara los servicios de carteras calientes. Dark Reading informó que Binance detectó actividad sospechosa en cuestión de minutos, pero detener las transferencias requirió revocar permisos registrados en la blockchain.
El incidente tiene consecuencias prácticas para las plataformas y otras empresas que procesan transacciones de criptomonedas en tiempo real: cerrar los retiros puede dejar intacta la autoridad que ya tenía el atacante. El análisis posterior al incidente de Binance, fechado el 3 de noviembre y citado por Dark Reading, indicó que esos permisos permitían a los atacantes mover activos al margen de su infraestructura habitual de retiros.
El ataque se prolongó desde las 20:05 UTC hasta la última transacción registrada, a las 23:56 UTC, casi cuatro horas después. Dark Reading informó que Binance congeló y recuperó después unos 2.850 millones de dólares en activos que se intentaron robar.
Cómo sobrevivió la autorización al cierre
Los atacantes aprovecharon el mecanismo EIP-7702 de Ethereum, introducido en 2025, que permite a una cuenta delegar la ejecución en código de contratos inteligentes, es decir, en software que se ejecuta en la blockchain. Con esa autoridad instalaron un «sweeper», un código que traslada automáticamente los fondos a una dirección controlada por el atacante.
El análisis de la firma de seguridad blockchain BlockAid determinó que una cartera principal del tesoro de Binance contenía más de cinco docenas de criptomonedas, por un valor aproximado de 2.500 millones de dólares. El sweeper transfirió esos activos a una dirección creada minutos antes, dejando la cartera con una sola moneda ETH.
Ido Ben-Natan, cofundador y director ejecutivo de BlockAid, explicó que una autorización EIP-7702 crea una delegación permanente. Una vez registrada en la blockchain, el código del atacante puede mover tanto los fondos existentes como los depósitos posteriores hasta que la cartera revoque esa autoridad. La autorización en sí no especifica ni un importe ni un destino, por lo que queda fuera de los detalles de la transacción que normalmente revisan los controles de retiro.
Las grandes transferencias desde otras carteras hacia la misma dirección activaron las alertas internas de Binance. La plataforma tomó medidas, pero su análisis indicó que se necesitaban transacciones adicionales en la blockchain para revocar las autorizaciones. Detener sus propios servicios de retiro no las invalidó.
Desarrolladores comprometidos dieron acceso a la firma
El análisis posterior de Binance describió dos vías de entrada a los sistemas de los desarrolladores. Uno de ellos descargó una versión comprometida de Homebrew, un gestor de paquetes de código abierto para Mac. Otro completó una prueba de software durante una entrevista de trabajo falsa, lo que comprometió su equipo.
Los atacantes usaron el acceso a esos dos sistemas y al de un tercer desarrollador para obtener privilegios de firma, es decir, la autoridad necesaria para aprobar acciones en la blockchain. Prepararon 50 autorizaciones firmadas dirigidas a la cartera que los analistas de blockchain denominan «Binance 14».
Los atacantes enviaron las 50 juntas para adaptarse al nonce de la cartera, un contador secuencial que se usa para validar transacciones. Al preparar un intervalo de posibles valores del contador, solo necesitaban que una de las autorizaciones coincidiera.
Dark Reading informó que el FBI atribuyó el ataque a operadores norcoreanos asociados con TraderTraitor. La agencia publicó más de 600 direcciones de Ethereum, 19 de Bitcoin y una dirección de SOL vinculadas al grupo.
Avi Sambira, vicepresidente de Sygnia para Norteamérica, comparó la selección de desarrolladores como objetivo con el robo a ByBit del 21 de febrero de 2025. Sygnia descubrió que los atacantes comprometieron el Mac de un desarrollador de Safe{Wallet} casi tres semanas antes del robo y que, durante unas dos semanas, usaron un token de AWS para operar en su entorno en la nube, antes de alterar la interfaz de firma.
Sambira dijo que la divulgación de Binance parecía coherente con una progresión similar, que va de equipos y herramientas internas comprometidos a credenciales, tokens o acceso a contenedores que respaldan la firma de carteras. Su advertencia más amplia fue que las identidades de los desarrolladores, los repositorios de código, las canalizaciones de compilación y despliegue de software, los sistemas de administración en la nube y las integraciones de terceros pueden estar a solo uno o dos límites de confianza de la autoridad de retiro.
Una técnica conocida, con una consecuencia mayor
Los ataques de sweeper basados en EIP-7702 ya habían causado pérdidas documentadas. Una investigación presentada en USENIX Security en agosto de 2026 por investigadores de la Universidad de Ciencia y Tecnología de Hong Kong y de otras dos universidades chinas identificó al menos 924 contratos inteligentes maliciosos habilitados por este mecanismo, que causaron pérdidas de al menos 2,3 millones de dólares.
Por separado, BlockAid informó de pérdidas de al menos 1,1 millones de dólares en cuatro casos y había pronosticado que, antes de que terminara 2026, se produciría un ataque de mil millones de dólares.
Expertos citados por Dark Reading cuestionaron si Binance tenía controles suficientes para identificar autorizaciones maliciosas y desactivarlas rápidamente. La plataforma hizo hincapié en la monitorización y la detección de anomalías en su relato del incidente, pero no respondió a las solicitudes de comentario de Dark Reading.
Qué deben preparar las empresas de criptomonedas
Ben-Natan recomienda que las empresas que procesan transacciones de criptomonedas usen simulaciones para detectar reglas maliciosas, apliquen límites a los importes y destinos de las transacciones y generen alertas ante ráfagas de transferencias grandes. También recomienda disponer de un interruptor de emergencia preconfigurado y probado, que pause la firma y detenga las recargas de carteras, para limitar lo que un sweeper pueda sustraer mientras los equipos de respuesta revocan su autoridad.
Sambira recomienda tener visibilidad sobre las identidades y sus permisos, la integridad de la infraestructura, la custodia y la aprobación de transacciones, así como la detección tanto dentro como fuera de la blockchain. Según dijo, monitorizar solo las transacciones en la blockchain detecta el ataque demasiado tarde en su progresión.
Las empresas deberían seguir cada identidad y cada sistema capaz de iniciar, aprobar, modificar o ejecutar transacciones, y prepararse para suspender esos privilegios. Las capacidades de respuesta deberían incluir revocar identidades y tokens, pausar transferencias, aislar carteras y reconstruir la infraestructura comprometida en cuestión de minutos, con la autoridad para actuar establecida de antemano.
Ari Redbord, director global de políticas de TRM Labs, afirmó que la monitorización rápida y las relaciones con las partes interesadas pertinentes pueden ayudar a los equipos de respuesta a limitar las pérdidas. Las transferencias de criptomonedas permiten a los ladrones mover fondos en tiempo real, lo que hace que la rapidez de respuesta sea especialmente decisiva. Las empresas deben probar sus controles de contención antes de que se produzca un incidente y ensayarlos periódicamente, para que los equipos de respuesta puedan usarlos en los primeros minutos de un ataque.
