Un grupo de hackers consiguió mover unos 2.500 millones de dólares desde una cartera de Binance en una sola transacción y con unas comisiones de red de apenas 15 dólares. Para hacerlo, explotó una autorización vinculada a una función reciente de Ethereum que permite delegar en un programa la ejecución de operaciones en nombre del propietario de una cartera.
Una autorización en Ethereum abrió el acceso a los fondos
El ataque tuvo lugar el 29 de octubre y afectó a Binance 14, una cartera utilizada por Binance para gestionar las retiradas de sus clientes. En ella se almacenaban grandes cantidades de ether (ETH), criptomonedas estables y otros activos digitales.
El movimiento de distintas criptomonedas suele exigir varias operaciones separadas. Ese proceso puede ralentizar la extracción y ofrece más oportunidades para que los sistemas de vigilancia detecten una actividad anómala. Los atacantes, sin embargo, utilizaron EIP-7702, una función incorporada a Ethereum en mayo de 2025.
EIP-7702 permite que el titular de una cartera autorice a un programa a ejecutar transacciones en su nombre. La herramienta está concebida para simplificar el uso de las criptomonedas, entre otras cosas mediante la agrupación de varias operaciones en una sola. En este caso, los hackers obtuvieron esa autorización a través de los sistemas de Binance que habían comprometido.
Tras pagar alrededor de 15 dólares en comisiones, dieron permiso a un programa controlado por ellos para operar sobre la cartera. La primera transacción no transfirió fondos. Unos tres minutos y medio después, la autorización se utilizó para extraer unos 2.500 millones de dólares en una única operación.
Blockaid, una empresa de seguridad especializada en blockchain, calcula que en esa transacción salieron de la cartera 167.464 ETH y más de 60 criptomonedas diferentes. La mayor parte del valor correspondía a USDT, la stablecoin de Tether, con unos 1.600 millones de dólares.
El permiso siguió activo después de detectarse la intrusión
La capacidad de los atacantes para continuar moviendo fondos no desapareció cuando Binance detectó el incidente. La plataforma suspendió las retiradas y desactivó algunos sistemas, pero esas medidas no invalidaban automáticamente el permiso que ya figuraba en la red de Ethereum.
Al estar registrado directamente en la blockchain, el programa de los hackers podía seguir ejecutando transacciones al margen de los mecanismos habituales de retirada de Binance. Además, nuevos depósitos continuaron llegando a la cartera afectada. Según Elliptic, la cantidad sustraída mediante este procedimiento ascendió a unos 3.600 millones de dólares repartidos en varias transacciones.
Binance ha revocado posteriormente la autorización fraudulenta y asegura haber reconstruido la infraestructura de las carteras afectadas. También ha reforzado los controles sobre las transacciones y los permisos de acceso. La compañía afirma que asumirá las pérdidas para evitar que recaigan sobre sus clientes.
El FBI atribuye el ataque a Corea del Norte
El acceso inicial a los sistemas de Binance se habría producido mediante una campaña de engaño dirigida a un empleado. La plataforma señala que los atacantes recurrieron, entre otros métodos, a ofertas de empleo y entrevistas falsas para lograr la instalación de un programa malicioso. También habrían utilizado técnicas basadas en inteligencia artificial.
El FBI estadounidense atribuye el ataque a Corea del Norte, aunque ese país niega estar implicado. Con un botín total estimado en unos 6.300 millones de dólares, el incidente se considera el mayor robo de criptomonedas conocido hasta la fecha.
Binance informó el 3 de noviembre de que había congelado o interceptado fondos robados por aproximadamente 2.850 millones de dólares y que había repuesto el 98% de las criptomonedas afectadas. El caso muestra el riesgo que pueden introducir las funciones diseñadas para hacer más sencillas las operaciones con activos digitales cuando un atacante consigue controlar los sistemas que gestionan esas autorizaciones.
