Binance ha prometido cubrir todas las pérdidas de los clientes tras una brecha que estima afectó a $6.3 mil millones. Su esfuerzo de recuperación ahora involucra varios procesos diferentes, desde congelamientos de stablecoins hasta el rastreo de activos que ningún emisor de tokens puede bloquear.
Resumen
- Binance estima que la brecha del 29 de octubre afectó aproximadamente a $6.3 mil millones.
- El exchange afirma que sus socios han congelado aproximadamente $3 mil millones en activos afectados.
- TRM Labs rastreó transferencias en 10 blockchains y valora las salidas originales en $6.36 mil millones.
- Blockaid identificó 50 autorizaciones de Ethereum en una transacción dirigida a Binance 14.
- Binance se ha comprometido a cubrir las pérdidas a través de 2 fuentes, su fondo SAFU y fondos de la empresa.
Binance ha estimado que $6.3 mil millones en criptomonedas se vieron afectados por su brecha del 29 de octubre y se comprometió a cubrir todas las pérdidas mientras sus socios han congelado aproximadamente $3 mil millones.
La actualización de seguridad de Binance dice que su investigación preliminar apunta al portátil de un ingeniero de DevOps comprometido que puede haber permitido el acceso a un contenedor de servicio interno y el envío de retiros no autorizados.
El exchange dice que no ha encontrado evidencia de que se filtraran las claves privadas de las billeteras. Ha revocado la autorización de la dirección afectada, involucrado a las autoridades y prometido un informe técnico después de que los investigadores terminen de establecer qué sucedió.
Los investigadores de blockchain han publicado relatos separados de las transferencias. Sus cifras describen diferentes etapas del incidente y utilizan alcances diferentes, con algunos contando el valor cuando los activos salieron de Binance y otros describiendo activos que posteriormente fueron congelados.
La cifra de congelamiento de $3 mil millones, por lo tanto, se sitúa junto a la estimación de $6.3 mil millones. Binance no ha descrito los $3 mil millones como dinero ya devuelto a los clientes, ni ha publicado una contabilidad final de su propia pérdida financiera después de las recuperaciones.
El hackeo de Binance alcanzó varias redes en cuestión de minutos
Según TRM Labs, la ráfaga principal de transferencias comenzó aproximadamente a las 20:05 UTC del 29 de octubre y movió la mayor parte de los fondos robados en unos 20 minutos. Su investigación abarca 10 redes, con una ola adicional que alcanzó Avalanche y Polygon más tarde esa noche.
La estimación de TRM valora los activos en el momento de cada transferencia. La cifra de $6.3 mil millones de Binance es la estimación de la empresa del impacto del incidente, por lo que la diferencia entre los dos totales no establece por sí misma que los investigadores encontraran otro robo.
La firma atribuye el ataque al grupo TraderTraitor de Corea del Norte utilizando inteligencia en cadena y fuera de cadena. Binance no ha confirmado la identidad del atacante, y la atribución sigue siendo la evaluación de los investigadores.
Como crypto.news informó anteriormente, la atribución y rastreo iniciales conectaron el incidente con una unidad de hackers previamente identificada por el FBI en el robo de Bybit de febrero de 2025. Una atribución técnica y una conclusión criminal son etapas separadas, incluso cuando los investigadores expresan alta confianza.
Las transferencias involucraron activos con opciones de recuperación muy diferentes. Los tokens de dólar pueden tener controles del emisor, mientras que el Bitcoin y Ethereum nativos no otorgan a una empresa de stablecoins un poder comparable para incluir en lista negra el saldo de un titular.
Una dirección que aparece en el registro de rastreo puede, en consecuencia, ser una pista útil sin ser un saldo recuperable. Los investigadores pueden seguir transferencias públicas después de que un atacante cambie de billetera, pero la capacidad de observar un movimiento no otorga automáticamente a nadie la autoridad para revertirlo.
Una autorización de Ethereum cambió lo que podía hacer una cartera caliente
La investigación técnica de Blockaid describe un ataque contra Binance 14, una cartera caliente de Ethereum muy activa. Una transacción contenía 50 autorizaciones EIP-7702, y una de ellas coincidía con el contador de transacciones de la cuenta y activaba una delegación a código malicioso.
Los investigadores afirman que el atacante utilizó posteriormente la cartera delegada para transferir una gran cesta de activos y llegó a otra cuenta inteligente controlada por esa cartera. La delegación maliciosa podría seguir siendo útil para depósitos posteriores hasta que fuera eliminada.
El mecanismo de autorización de carteras ya había sido examinado en la cobertura técnica de la publicación. Su papel en este incidente fue permitir que el código operara en el contexto de una cartera existente una vez aceptada la autorización requerida.
La especificación EIP-7702 de Ethereum describe una delegación persistente, no un permiso que necesariamente desaparece tras una sola transacción. Advierte de que el código delegado tiene acceso sin restricciones a la cuenta y debe ser auditado minuciosamente por los proveedores de carteras.
La distinción explica por qué eliminar la autorización afectada debe formar parte de la respuesta junto con la detención de los retiros. Una pausa en la interfaz de cliente de un exchange y la eliminación de una delegación on-chain abordan partes diferentes del mismo incidente.
Blockaid describe otras transferencias como transacciones firmadas ordinarias desde carteras en varias redes. Sus hallazgos no establecen que cada dólar saliera a través de la delegación de Ethereum, y una sola característica de Ethereum no puede explicar por sí misma las transferencias de Bitcoin o Tron.
La declaración preliminar de Binance y el relato técnico de los investigadores abordan cuestiones diferentes. El exchange describe una posible vía de entrada a sus sistemas, mientras que los investigadores describen lo que hicieron las transacciones autorizadas on-chain.
La investigación completa todavía tiene que conectar esas etapas. La declaración del exchange de que no ha encontrado una filtración de claves privadas no significa que cada transacción aprobada por su infraestructura de firma fuera intencionada por la empresa.
Los fondos congelados y los fondos devueltos pertenecen a totales separados
Binance afirma que aproximadamente 3.000 millones de dólares han sido congelados mediante la cooperación con socios del sector. Una congelación restringe el movimiento de los activos afectados, mientras que la recuperación requiere un paso adicional que devuelva el valor al propietario legítimo o a una dirección de recuperación acordada.
Utilizando las cifras redondeadas del exchange, 3.000 millones de dólares divididos entre 6.300 millones de dólares equivalen aproximadamente al 47,6%. La diferencia restante es de 3.300 millones de dólares, o el 52,4% de la estimación inicial.
Esos cálculos describen la relación entre las dos cifras anunciadas por Binance. No establecen que 3.300 millones de dólares hayan desaparecido sin posibilidad de recuperación, ni que todo el saldo congelado pueda utilizarse de inmediato para reembolsar a los clientes.
El denominador puede cambiar a medida que los investigadores identifiquen transferencias, eliminen el doble conteo o actualicen los precios. El numerador puede cambiar a medida que los emisores localicen más tokens o las autoridades autoricen una transacción de recuperación.
El primer informe de TRM situaba los activos congelados o asegurados en aproximadamente 2.700 millones de dólares, por debajo de la estimación posterior de Binance. Sus cifras eran una instantánea de rastreo con fecha, y el total posterior de la empresa no debería sumarse a ellas como si describieran fondos separados.
La misma precaución se aplica a los anuncios de los emisores. Una congelación de Tether y una congelación de Circle pueden ser componentes del agregado de Binance, por lo que sumar ambas al total del exchange contaría algunos activos dos veces.
Las stablecoins que se intercambiaron antes de que actuara un emisor introducen otra complicación. El emisor de un token de dólar puede ser capaz de bloquear ese token, pero sus controles no siguen automáticamente al tenedor hacia un activo nativo diferente.
Por lo tanto, la contabilidad de la recuperación necesita tanto los saldos de tokens como su estado. Los activos identificados, los activos inmovilizados, los activos transferidos a custodia de recuperación y los activos utilizados para restaurar los saldos de los clientes son cuatro descripciones diferentes.
Binance ha nombrado fondos de la empresa junto con SAFU
El compromiso de Binance es cubrir las pérdidas utilizando su Fondo de Activos Seguros para Usuarios y recursos de la empresa. No ha dicho que SAFU por sí solo absorberá todo el incidente.
La conversión de reservas de Bitcoin anterior del fondo se completó en febrero, cuando Binance reportó 15.000 BTC por un valor de aproximadamente 1.005 millones de dólares en ese momento. El anuncio de la conversión describió un saldo y una valoración históricos, no una declaración nueva de octubre sobre los recursos de seguro disponibles.
Incluso un fondo hipotético de 1.000 millones de dólares cubriría solo el 15,9% de un incidente bruto de 6.300 millones de dólares. Restar 1.000 millones de dólares de 6.300 millones de dólares produce 5.300 millones de dólares, pero esa aritmética no es una estimación del déficit real de financiación de Binance porque las recuperaciones y el saldo actual del fondo siguen siendo datos separados.
La elección del exchange de incluir fondos de la empresa es, en consecuencia, parte de la propia promesa. A los clientes se les ha dicho que Binance asumirá la pérdida, en lugar de decirles que esperen hasta que los investigadores recuperen cada token robado.
La promesa no identifica la combinación precisa de efectivo, criptomonedas u otros recursos de la empresa que se utilizarán. No establece el momento de ninguna recuperación controlada por el emisor ni el tratamiento contable de los saldos congelados.
El reembolso a los clientes y la pérdida neta final de la empresa pueden avanzar en calendarios diferentes. Binance puede reemplazar un activo de cliente faltante con sus propios recursos antes de que se recupere el activo original, dejando a la empresa perseguir la recuperación después.
Si un emisor devuelve posteriormente un activo que ya ha sido reemplazado, esa recuperación afectaría la propia exposición financiera de Binance. No debería contarse como un segundo reembolso de la misma pérdida del cliente.
Una actualización de reservas proporcionará una visión fechada del respaldo
Binance ha prometido una prueba de reservas actualizada después de la remediación. Su instantánea de reservas de agosto reportó ratios de reserva del 100,25% para Bitcoin y Ethereum, con un ratio más alto para USDT.
Un ratio de agosto no puede establecer el respaldo del exchange después de un incidente de octubre. Los saldos de los clientes, las tenencias de reservas y los activos afectados deben medirse en la nueva fecha de la instantánea.
El examen de la publicación sobre las prácticas de reporte de reservas de los exchanges explica que estos sistemas comparan los activos cubiertos con los saldos de clientes cubiertos. No incluyen automáticamente cada pasivo corporativo ni establecen que los controles funcionen continuamente entre instantáneas.
Un ratio superior al 100% significa que los activos incluidos en ese cálculo superan los saldos de clientes correspondientes incluidos en él. No mide la calidad de un sistema de retiros ni muestra cómo un atacante obtuvo una autorización válida.
La actualización de reservas prometida por Binance y el post-mortem técnico sirven, por lo tanto, a propósitos diferentes. La primera puede documentar el respaldo en un momento declarado, mientras que el segundo pretende explicar el compromiso y los pasos tomados para cerrar la ruta utilizada por el atacante.
El mismo activo no debería presentarse a la vez como liquidez de retiro libremente disponible y como propiedad de recuperación inmovilizada sin explicar su estado. Los tokens congelados pueden conservar un valor en dólares cotizado mientras permanecen no disponibles para los retiros ordinarios de los clientes.
La promesa de reembolso deja abierto el calendario de recuperación
La respuesta más contundente declarada por Binance es su compromiso de cubrir todas las pérdidas, respaldado tanto por SAFU como por fondos de la empresa. Las congelaciones reportadas otorgan al esfuerzo de recuperación un conjunto identificado de activos que los atacantes no pueden mover libremente bajo los controles aplicables.
Ninguno de los dos compromisos proporciona una cifra final de pérdidas. Binance aún no ha publicado la conciliación completa entre los activos robados, los saldos congelados, los activos devueltos y los recursos de la empresa comprometidos para reemplazar los fondos de los clientes.
El registro público también contiene un estado operativo cambiante. El aviso de seguridad inicial describía una pausa en los depósitos y retiros, mientras que los reportes posteriores describían los depósitos como operativos y los retiros sujetos a trabajos de seguridad adicionales.
Los avisos pertenecen a sus respectivos momentos de publicación. La capacidad de un cliente para retirar depende del aviso de servicio actual para la red correspondiente, no de si otra red ha reanudado operaciones.
Una estimación de reanudación es un objetivo de la empresa hasta que el servicio se restaure realmente. No es una fecha límite que obligue a cada cliente a actuar, y la declaración de seguridad examinada de Binance no impone una ventana universal de retiro para los clientes.
El informe técnico abordará el punto de entrada preliminar
La referencia del exchange a un portátil comprometido sigue siendo preliminar. Su declaración identifica una posible ruta desde el dispositivo de un ingeniero hasta un contenedor interno, pero no publica una explicación completa de cómo el atacante obtuvo cada autorización en las redes afectadas.
El análisis de Blockaid ofrece evidencia sobre la ejecución en Ethereum, mientras que la investigación de TRM abarca transferencias y atribución en un conjunto más amplio de redes. Su trabajo no reemplaza el relato prometido por Binance sobre los controles de acceso internos.
Binance.US, la filial estadounidense separada del exchange, dijo que sus operaciones no se vieron afectadas por el incidente.
Qué observar
Activos devueltos: Una transferencia confirmada a la custodia de recuperación establecería un estado diferente al de una congelación del emisor.
Avisos de retiro: Las actualizaciones de servicio específicas por red establecerán qué retiros se han reanudado realmente.
Instantánea de reservas: La fecha, los activos cubiertos y el tratamiento de los saldos congelados definirán qué establece el nuevo informe.
Análisis técnico posterior al incidente: El relato final debería conectar el acceso interno, la autorización de firma y las transferencias en la cadena.
Conciliación de pérdidas: La contribución divulgada por Binance y los activos recuperados determinarán su eventual exposición financiera.
Preguntas frecuentes
¿Cuánto dice Binance que se vio afectado?
Binance estima aproximadamente $6.3 mil millones. El rastreo separado de TRM valoró las transferencias originales en aproximadamente $6.36 mil millones usando los precios en el momento en que salieron.
¿Cuánto se ha congelado?
Binance dice aproximadamente $3 mil millones. Usando las cifras redondeadas del exchange, eso es aproximadamente el 47.6% del impacto estimado.
¿Congelado significa recuperado?
No. La cifra de $3 mil millones describe activos cuyo movimiento ha sido restringido, mientras que una devolución o recuperación real requiere un paso adicional.
¿Asumirán los clientes la pérdida?
Binance se ha comprometido a cubrir todas las pérdidas con SAFU y fondos de la empresa. Su declaración nombra 2 fuentes de financiación sin publicar sus contribuciones finales.
¿Robó el atacante una clave privada?
Binance dice que no ha encontrado evidencia de una filtración de clave privada de billetera. Blockaid identificó 50 autorizaciones EIP-7702 en el ataque a Ethereum, pero el compromiso interno completo sigue bajo investigación.
¿Se realizó cada transferencia a través de EIP-7702?
No. Blockaid describió otras transferencias firmadas ordinarias, y TRM rastreó las salidas a través de 10 redes, incluidos Bitcoin y Tron.
¿Puede tratarse el saldo de SAFU de febrero como actual?
No. El saldo reportado de 15,000 BTC y su valoración de febrero pertenecen a ese anuncio anterior, no a una nueva conciliación de octubre.
¿Qué ha prometido publicar Binance a continuación?
Binance ha prometido un informe de reservas actualizado y un post-mortem técnico, 2 divulgaciones que abordan el respaldo y el compromiso respectivamente. Este es un análisis educativo, no asesoramiento de inversión.
