Por Canuto  

El atacante vinculado a la brecha de Binance convirtió altcoins en unos 70.480 ETH, valorados en aproximadamente USD $158,25 millones. La explicación de la plataforma sobre las claves privadas no disipó las dudas de varios investigadores.
***

  • Lookonchain rastreó la venta de 7,02 millones de UNI por USD $39,63 millones, junto con liquidaciones de ENA, PEPE, LINK, AAVE, ONDO y WLD.
  • Binance sostuvo que no encontró evidencia de filtración de claves privadas, mientras TRM Labs destacó transacciones firmadas en nueve cadenas ajenas a Ethereum.
  • La venta podría reducir los saldos declarados de algunos tokens en la prueba de reservas; Binance dijo que cubriría las pérdidas con su fondo de protección y recursos propios.

El atacante vinculado a Binance liquidó altcoins por USD $158 millones y reabrió el debate sobre las claves

El atacante vinculado a la brecha de seguridad de Binance convirtió varias altcoins en ETH y obtuvo, según rastreadores de blockchain, unos 70.480 ETH valorados en aproximadamente USD $158,25 millones. La operación incluyó UNI, ENA, PEPE, LINK, AAVE, ONDO y WLD. Mientras tanto, investigadores cuestionaron la explicación inicial de la plataforma sobre el posible acceso a sus sistemas de firma.

La venta concentró millones de dólares en pocas horas

Lookonchain informó que el atacante vendió 7,02 millones de UNI por USD $39,63 millones entre el 29 y el 30 de octubre, a un precio promedio reportado de USD $5,65 por token. También rastreó la liquidación de 217,5 millones de ENA, valorados en USD $33,93 millones, y de 7,77 billones de PEPE, por USD $31,66 millones. Estos movimientos formaron parte de la conversión de activos vinculados al ataque en ETH.

La lista de activos también incluyó 2,57 millones de LINK, vendidos por USD $26,05 millones a un precio aproximado de USD $10,14 cada uno. El atacante habría liquidado además 127.953 AAVE por USD $14,27 millones, junto con 21,85 millones de ONDO y 17,32 millones de WLD, por USD $6,62 millones y USD $6,09 millones, respectivamente. Los datos describen una salida distribuida entre varios tokens, no una única operación de gran tamaño.

La rapidez de la venta de UNI habría tenido un costo para quien la ejecutó: un analista señaló que 7.018.792 unidades se intercambiaron en 51 minutos y que el precio de la última operación quedó 21% por debajo del de la primera. Para PEPE, en cambio, el rastreador contabilizó 85 intercambios distribuidos durante una hora y media, sin operaciones superiores a USD $1,05 millones. Esa diferencia muestra dos ritmos de liquidación, aunque no permite establecer por sí sola la estrategia completa del atacante.

TRM Labs también reportó una operación distinta en la que el atacante habría vendido unos USD $325 millones en USDT a creadores de mercado a cambio de aproximadamente 122.300 ETH, con un descuento superior al 10%. Esa cifra corresponde a una operación separada de la liquidación de altcoins valorada en USD $158,25 millones y no debe confundirse con ella. La firma relacionó el descuento con la presión por convertir fondos y retirarlos antes de que otras entidades pudieran bloquearlos.

El riesgo de que Binance tenga que recomprar tokens

La liquidación puede tener consecuencias para los saldos de tokens que Binance declara en su prueba de reservas. Según el análisis citado, las posiciones robadas de ENA, UNI, PEPE y AAVE equivaldrían a entre 7% y 15% de las tenencias declaradas por la plataforma para cada uno de esos activos, porque la cartera vaciada se había contabilizado en la instantánea. El cálculo plantea una posible diferencia entre las reservas registradas y los tokens que permanecen disponibles.

Un operador sostuvo que Binance tendría una posición corta neta cercana a USD $40 millones en PEPE y que, por esa razón, podría verse obligada a recomprar el token. Esa afirmación es una interpretación de mercado, no una confirmación de que la plataforma ya haya realizado compras para reponer los saldos. Binance, por su parte, se comprometió a cubrir las pérdidas con su fondo de protección al usuario y con recursos de la empresa.

El debate sobre una posible recompra también atrajo actividad especulativa. Una cartera recién creada abrió en Hyperliquid una posición larga apalancada tres veces sobre 22,78 millones de ENA, con un valor reportado de USD $4,09 millones, poco después de que concluyera la venta masiva de ese token. La operación muestra que algunos participantes anticipaban un movimiento posterior del mercado, pero no demuestra que Binance fuera a comprar ENA ni que el precio necesariamente fuera a subir.

La prueba de reservas prevista para el 1 de noviembre podría aportar un punto de comparación sobre los saldos declarados después de las ventas, de acuerdo con la información publicada. Sin embargo, una instantánea de reservas no resuelve por sí sola cómo ocurrió la brecha ni permite atribuir responsabilidades técnicas. Su utilidad para este caso dependerá de qué activos incluya y de cómo se comparen los datos con los saldos anteriores a la salida de fondos.

El acceso a la firma sigue bajo discusión

Binance dijo que su investigación preliminar apuntaba a un posible compromiso del portátil de un ingeniero de DevOps. Según esa explicación, el atacante habría conseguido acceso a un contenedor de servicios y, desde allí, habría realizado retiros no autorizados. La empresa añadió que no había encontrado evidencia de una filtración de claves privadas de monederos. La distinción importa porque el uso de un sistema de firma no implica necesariamente que las claves hayan salido de su entorno protegido.

Varios investigadores interpretaron de otra manera los indicios técnicos y plantearon que el caso pudo pasar de un abuso de la delegación EIP-7702 a un posible compromiso de la clave de firma número 16 de Binance. EIP-7702 es una función de Ethereum que permite que una cartera convencional ejecute temporalmente código de contrato inteligente. La existencia de esa función dio pie a una discusión sobre autorizaciones, pero no explica por sí sola los movimientos registrados en otras redes.

La firma de seguridad Blockaid observó que el atacante envió 50 autorizaciones en una sola transacción para tratar de adivinar el nonce activo de la cartera caliente, es decir, el contador que ordena sus transacciones. Solo una de esas autorizaciones coincidió, de acuerdo con su análisis. Ese dato describe un intento de acertar el estado de la cartera y aporta una pista técnica, aunque no determina por sí mismo si el atacante extrajo claves o consiguió que un servicio legítimo firmara instrucciones bajo su control.

La objeción más amplia de los escépticos es que el incidente no se limitó a Ethereum. TRM Labs señaló que carteras de otras nueve cadenas movieron fondos mediante transferencias ordinarias firmadas, un patrón que, según su evaluación, podría ser compatible con que el atacante indujera al sistema de firma de la cartera caliente a aprobar transacciones elegidas por él. Un recuento citado en el informe atribuyó salidas de USD $1.449 millones en bitcoin y USD $628 millones en Tron, redes donde EIP-7702 no ofrece una explicación directa.

La diferencia entre robar una clave y usar un firmante

Una clave privada puede autorizar transacciones sin abandonar físicamente el sistema que la resguarda, si un servicio conectado permite solicitar firmas. Por eso, la ausencia de evidencia de una filtración de claves no descarta automáticamente un uso indebido de la infraestructura de firma. La pregunta técnica central es si el atacante obtuvo el secreto criptográfico o si logró que un componente autorizado aprobara transferencias que no debían ejecutarse.

El investigador on-chain 0xQuit consideró relevante que el atacante hubiera utilizado un repetidor y sostuvo que ese recurso habría sido innecesario si hubiera tenido acceso directo a las claves privadas. A partir de ese indicio, planteó como probable que el responsable no las tuviera. Se trata de una interpretación de un investigador, no de una conclusión definitiva sobre el incidente; la información disponible no permite resolver por completo el mecanismo de acceso.

La brecha también alcanzó a las finanzas descentralizadas. El atacante había tomado prestados aproximadamente 19.760 ETH en Aave utilizando USD $60 millones en USDT como garantía, y Aave congeló sus mercados V3 en Ethereum como respuesta. El episodio conectó la seguridad de un exchange centralizado con los riesgos de liquidez y exposición de protocolos DeFi, aunque las medidas descritas no equivalen a una explicación final sobre la vulnerabilidad.

En medio de estas tensiones, el precio de ETH cayó 5,2% hasta USD $2.190 durante las primeras horas del 30 de octubre, según el reporte citado. La caída coincidió con la incertidumbre sobre la brecha, las liquidaciones y la reacción de los protocolos, pero la información disponible no permite atribuirla a un único factor. En una cobertura reciente, DiarioBitcoin describió el temor a la brecha como un factor plausible para la caída de bitcoin, que registró una variación diaria de 3,57% y un volumen de negociación casi dos veces superior a su promedio de 30 días (“BTC cae por el temor a una brecha en Binance”). Esa explicación no confirma que el incidente fuera la causa única de los movimientos del mercado. La investigación de Binance y los datos de reservas posteriores serán relevantes para precisar tanto la magnitud del impacto como el modo en que se firmaron los retiros.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados