Por Canuto  

Un permiso delegado en Ethereum permitió que atacantes movieran cerca de USD $2.500 millones desde una hot wallet de Binance en una sola transacción, tras pagar alrededor de USD $15 en comisiones, según el análisis de Blockaid citado en el reporte. La firma también situó en USD $6.300 millones el impacto total del ataque, una cifra que debe distinguirse del primer movimiento.

***

  • Blockaid vinculó una autorización basada en EIP-7702 con el movimiento de cerca de USD $2.500 millones desde Binance 14 en una sola transacción.
  • La firma estimó en USD $6.300 millones el impacto total del ataque. Esa cifra se refiere al incidente en conjunto, no al primer barrido de USD $2.500 millones.
  • Binance dijo que revocó la delegación y reforzó sus controles; el FBI atribuyó el ataque a Corea del Norte, que negó participar.

 

 

Un permiso de Ethereum que permite a una billetera delegar ciertas acciones a un programa habría ayudado a los atacantes de Binance a mover cerca de USD $2.500 millones en una sola transacción, tras pagar alrededor de USD $15 en comisiones de red. Blockaid vinculó esa operación con una autorización basada en EIP-7702. La firma estimó en USD $6.300 millones el impacto total del ataque, una cifra distinta del monto del primer movimiento.

El caso combina una presunta maniobra de ingeniería social, el acceso a una hot wallet y una herramienta pensada para simplificar operaciones con criptoactivos. Blockaid describió el incidente como un ataque de unos USD $6.300 millones, mientras que el primer barrido que atribuyó a los atacantes rondó los USD $2.500 millones. Son cifras que corresponden a alcances distintos y no deben presentarse como si fueran el mismo movimiento.

La delegación que convirtió una autorización en un riesgo

Según la cronología que Binance publicó el 3 de noviembre, los intrusos habrían engañado a un ingeniero mediante ofertas laborales falsas para que descargara código malicioso. El exchange describió el incidente como una campaña sofisticada de varias etapas, basada en ingeniería social, dispositivos comprometidos y técnicas de inteligencia artificial, aunque la información disponible no detalla qué sistema de IA se habría utilizado ni qué tarea habría cumplido.

Una vez dentro, los atacantes apuntaron a Binance 14, una hot wallet que el exchange utiliza para procesar retiros de clientes, de acuerdo con los registros de Etherscan citados en el reporte. Este tipo de billetera opera en línea y permite atender movimientos con rapidez, pero también concentra activos que el servicio necesita para mantener sus operaciones; en este caso, contenía Ether, stablecoins y decenas de otros tokens.

El recurso técnico central fue EIP-7702, una actualización de Ethereum implementada en mayo de 2025 que permite que una cuenta autorice a un programa a actuar en su nombre y agrupe acciones. La función busca facilitar el uso de billeteras, pero una autorización amplia puede elevar el impacto de una intrusión si los atacantes consiguen acceso a una firma válida o al mecanismo que permite aprobarla.

En una billetera convencional, mover distintos activos puede requerir varias operaciones separadas, cada una con su propia autorización y una oportunidad adicional para que los sistemas de vigilancia detecten un comportamiento inusual. La delegación cambia esa dinámica: una vez concedido el permiso, el programa autorizado puede ejecutar acciones dentro del alcance de esa autorización, por lo que la seguridad de la firma y de los controles previos se vuelve decisiva.

Una operación inicial de USD $2.500 millones

Blockaid situó el comienzo de la secuencia alrededor de las 20:20 UTC del 29 de octubre, equivalentes a las 4:20 a. m. del 30 de octubre en Singapur. En ese momento, los atacantes enviaron instrucciones mediante una firma válida de Binance 14 para permitir que código bajo su control actuara en nombre de la cuenta, según el análisis de la firma de seguridad.

La primera transacción no trasladó fondos, sino que estableció la autoridad del programa para operar con la billetera. El costo de esa autorización rondó los USD $15 en comisiones de red, una suma pequeña frente al valor de los activos que, unos tres minutos y medio después, los atacantes movieron en una operación única.

Blockaid calculó que ese primer barrido alcanzó aproximadamente USD $2.500 millones e incluyó 167.464 ETH y más de 60 tokens adicionales. Entre los activos figuraban cerca de USD $1.600 millones en USDT, la stablecoin de Tether. La firma también publicó una estimación de USD $6.300 millones para el ataque en su conjunto; esa cifra no corresponde al primer barrido y el material citado no precisa cómo se relacionan ambos cálculos.

Dan Caspi, cofundador y director de tecnología de Hypernative, señaló que durante un ataque los defensores buscan ralentizar al intruso y sostuvo que EIP-7702 permitió a los hackers actuar con mayor rapidez y conservar el control incluso después de que Binance detectara la intrusión. Su observación apunta a una diferencia importante: desactivar servicios internos no necesariamente revoca un permiso que ya quedó registrado en Ethereum.

El alcance del robo y la respuesta de Binance

Binance explicó que detener los retiros o apagar sus servicios de hot wallets no cancelaba automáticamente la delegación, porque el permiso permanecía en Ethereum. Además, los depósitos seguían llegando a Binance 14, lo que, según el informe del incidente del exchange, dejaba abierta la posibilidad de iniciar más transferencias mientras el permiso continuara vigente.

Blockaid estimó en alrededor de USD $6.300 millones el impacto total del ataque. La cifra es mayor que los USD $2.500 millones atribuidos al primer barrido, pero no debe confundirse con ese movimiento individual. La información disponible no desglosa aquí cómo se compone el cálculo total ni permite conciliarlo con otras estimaciones, por lo que cada monto debe mantenerse atribuido a la fuente que lo publicó.

Binance afirmó que revocó la delegación afectada, reconstruyó la infraestructura de billeteras comprometida y actualizó sus controles de firma y monitoreo. También dijo que añadió políticas más estrictas para transacciones de delegación, vigilancia conductual mejorada, controles a nivel de transacción y procedimientos de revocación de emergencia, además de reforzar la aplicación de controles de acceso para evitar que se repita la vía utilizada.

El exchange aseguró que los fondos de los usuarios permanecían protegidos y que absorbió el impacto financiero del incidente. La Oficina Federal de Investigaciones de Estados Unidos atribuyó el ataque a Corea del Norte, mientras que Pionyang negó cualquier participación. Reuters describió el incidente como el mayor impacto de seguridad en la historia de las criptomonedas; la cifra de USD $6.300 millones debe entenderse como una estimación del ataque en conjunto, no como el primer barrido.

La tensión entre facilidad de uso y seguridad

El episodio no demuestra que la delegación de acciones sea, por sí misma, una vulnerabilidad de Ethereum, sino que una función de conveniencia puede amplificar las consecuencias de una cuenta comprometida. Cuando el permiso autoriza a un programa a ejecutar varias operaciones, los controles deben evaluar no solo si la firma es válida, sino también qué alcance concede y qué movimientos posteriores habilita.

El caso también muestra por qué una respuesta rápida no depende únicamente de pausar retiros dentro de un exchange. Si la autorización ya está registrada en la cadena, el equipo de seguridad necesita identificarla y revocarla mediante los mecanismos disponibles, al tiempo que vigila movimientos entrantes y salientes; Binance indicó que añadió precisamente procedimientos de revocación y controles adicionales para este tipo de transacciones.

Para los usuarios, el incidente vuelve visible una distinción relevante entre la custodia que ofrece una plataforma y la infraestructura que ejecuta sus movimientos. La noticia no atribuye pérdidas individuales ni afirma que los depósitos de clientes dejaran de estar disponibles; Binance sostuvo que protegió esos fondos y asumió el impacto, mientras el detalle técnico se concentra en la autorización de Binance 14.

La investigación descrita en el reporte deja pendientes la atribución del ataque, que el FBI asignó a Corea del Norte y Pionyang rechazó, y el desglose de la estimación de USD $6.300 millones. Por ahora, conviene distinguir esa cifra del primer movimiento de USD $2.500 millones que Blockaid describió por separado.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados