Una funcionalidad introducida en Ethereum en 2025 para facilitar el uso de monederos de criptomonedas fue una de las herramientas utilizadas en el ataque hacker multimillonario contra Binance. Conocida como EIP-7702, la tecnología permitió que los criminales tomaran el control de un monedero de la exchange y robaran aproximadamente 2.500 millones de dólares en ETH y otros tokens en menos de cuatro minutos.
El importe representa solo una parte de los aproximadamente 6.300 millones de dólares robados a Binance el jueves 29, en el mayor ataque hacker registrado hasta ahora en el mercado de criptomonedas. La intrusión afectó a distintas blockchains, incluidas Bitcoin, Ethereum, Solana y Tron, y ha reabierto el debate sobre la seguridad de los sistemas que utilizan las grandes exchanges para autorizar transacciones.
Según una investigación publicada por CoinDesk este viernes, el criminal consiguió utilizar una autorización digital válida para hacer que un monedero de Binance ejecutara un contrato inteligente bajo su control. De este modo, pudo mover los fondos sin necesidad de una nueva aprobación de la exchange para cada transferencia.
El ataque explotó una característica de la EIP-7702, implementada en la actualización Pectra de Ethereum en mayo de 2025. La funcionalidad se desarrolló para hacer los monederos más flexibles y facilitar operaciones cotidianas, pero también puede suponer un riesgo cuando usuarios o instituciones autorizan la ejecución de código malicioso.
Cómo se utilizó la actualización de Ethereum en el ataque
Para entender el ataque hay que comprender el funcionamiento de la EIP-7702. Antes de esta actualización, los monederos tradicionales de Ethereum estaban controlados directamente por claves privadas, responsables de autorizar cada transacción. Los monederos basados en contratos inteligentes, en cambio, podían ejecutar operaciones más complejas, como establecer límites de gasto o agrupar distintas transferencias.
La EIP-7702 acercó estos dos modelos al permitir que los monederos tradicionales utilicen funcionalidades de contratos inteligentes sin necesidad de transferir sus fondos a otra dirección.
En la práctica, esto significa que un monedero puede autorizar la ejecución de un código externo para realizar determinadas operaciones. Entre las aplicaciones legítimas están la posibilidad de agrupar varias transacciones en una sola operación y permitir que terceros paguen las comisiones de red.
El problema es que, si el contrato autorizado es malicioso, también puede mover los fondos del monedero. Además, la autorización puede seguir siendo válida hasta que se sustituya o revoque, lo que permite realizar nuevas transferencias mientras el código permanezca activo.
Fue precisamente ese mecanismo el que apareció en la investigación sobre el ataque a Binance.
Según la reconstrucción de las transacciones realizada por CoinDesk, el criminal preparó un contrato inteligente diseñado para retirar automáticamente los fondos de un monedero identificado como "Binance 14".
A las 17:20 del jueves, hora de Brasilia, el atacante envió una transacción con 50 autorizaciones digitales firmadas por el propio monedero de Binance. Todas ellas permitían delegar el control del monedero al contrato malicioso.
El elevado número de autorizaciones tenía una explicación técnica. Como el monedero procesaba un gran volumen de operaciones, su contador de transacciones, llamado nonce, cambiaba constantemente. El criminal utilizó firmas con 50 valores consecutivos de ese contador para aumentar las probabilidades de que al menos una fuera aceptada por la red.
La estrategia funcionó. Una de las autorizaciones fue validada por Ethereum, lo que permitió que el contrato del atacante pasara a operar a través del monedero de la exchange.
Menos de cuatro minutos después, a las 17:24, se retiraron aproximadamente 167.464 ETH y otros 63 tokens, incluidos cerca de 1.600 millones de dólares en USDT.
La intrusión no terminó en ese momento. Como los sistemas de Binance siguieron dirigiendo depósitos al monedero comprometido, el criminal consiguió retirar nuevos fondos en otras dos operaciones, realizadas a las 18:04 y a las 18:44.
Según TRM Labs, el atacante también utilizó el control obtenido sobre Binance 14 para mover aproximadamente 823 millones de dólares en USDC de otro monedero de la exchange, identificado como Hot Wallet 34.
La autorización maliciosa permaneció activa durante casi cuatro horas y solo se revocó de madrugada el viernes.
¿Cómo consiguió el hacker las autorizaciones?
Aunque los datos registrados en la blockchain muestran cómo se retiró el dinero, todavía no está del todo claro cómo consiguió el atacante las firmas necesarias para ejecutar el ataque.
Este es un punto central de la investigación, porque la EIP-7702 exige una autorización válida del monedero cuyo funcionamiento se va a modificar. Por tanto, el criminal no podía simplemente elegir un monedero y hacerse con su control sin obtener una firma reconocida por la red.
Richard Teng, co-CEO de Binance, afirmó este viernes que las primeras investigaciones apuntaban al compromiso del ordenador de un ingeniero de DevOps de la empresa. La sospecha inicial era que la intrusión habría permitido acceder a un contenedor de servicios utilizado por la exchange.
Sin embargo, Binance informó posteriormente de que había descubierto otros puntos de compromiso durante la investigación, lo que indica que el ataque fue más complejo de lo que se pensaba inicialmente.
Según Teng, no se han encontrado pruebas de filtración de las claves privadas de los monederos, y todavía no se ha podido determinar exactamente cómo consiguieron los atacantes producir las autorizaciones utilizadas en las distintas blockchains.
Una de las hipótesis consideradas es que los criminales hayan comprometido la infraestructura responsable de firmar las transacciones de Binance, haciendo que los propios sistemas de la empresa produjeran autorizaciones aparentemente legítimas.
Esta posibilidad cobra fuerza porque el ataque no se limitó a Ethereum. Los atacantes también consiguieron transferir 18.270 bitcoins, cientos de millones de XRP y fondos de monederos en otras redes que no utilizan la EIP-7702.
Es decir, aunque la actualización de Ethereum se explotó para retirar parte de los fondos, no explica por sí sola la intrusión multimillonaria.
TRM Labs identificó características similares a las de ataques anteriores atribuidos a hackers de Corea del Norte, incluido el asalto de 1.500 millones de dólares contra Bybit en febrero de 2025. La empresa de análisis blockchain señaló tener un alto nivel de confianza en la implicación del mismo grupo criminal, aunque la autoría todavía no ha sido confirmada por Binance.
¿Supone la EIP-7702 un riesgo para los usuarios de Ethereum?
El episodio también ha reabierto el debate sobre los riesgos asociados a la EIP-7702, una de las principales novedades de la actualización Pectra, desarrollada para acercar los monederos tradicionales a las funcionalidades que ofrecen los contratos inteligentes.
La propuesta, entre cuyos autores figura el cofundador de Ethereum Vitalik Buterin, busca mejorar la experiencia de los usuarios al permitir operaciones más simples y flexibles, reduciendo los pasos necesarios para utilizar aplicaciones descentralizadas.
No obstante, la propia documentación técnica de la EIP-7702 reconoce los riesgos asociados a la delegación de permisos. Esto se debe a que un contrato autorizado puede recibir amplios poderes para ejecutar operaciones en nombre del monedero.
El problema ya había llamado la atención de los expertos poco después de implementarse la actualización. En junio de 2025, la firma de trading Wintermute detectó que más del 80% de las delegaciones realizadas a través de la EIP-7702 apuntaban a copias de un mismo contrato malicioso, diseñado para transferir automáticamente fondos de monederos comprometidos.
Esto no significa, sin embargo, que la actualización tenga una vulnerabilidad que permita robar criptomonedas a cualquier usuario. El riesgo surge cuando se concede una autorización válida a un código malicioso, ya sea mediante estafas que inducen al usuario a firmar permisos, ya sea mediante el compromiso de los sistemas responsables de generar esas firmas.
En el caso de Binance, las investigaciones apuntan a esta segunda posibilidad, aunque el origen exacto de las autorizaciones todavía no se ha esclarecido.
El episodio pone de manifiesto que una funcionalidad desarrollada para facilitar el uso de criptomonedas también puede amplificar los daños de una intrusión si se comprometen los mecanismos de autorización.
Mientras continúan las investigaciones, Binance afirma que cubrirá las pérdidas con recursos propios y con su fondo de protección a los usuarios, conocido como SAFU. La exchange también informó de que aproximadamente 3.000 millones de dólares de los activos afectados ya habían sido congelados, principalmente con la ayuda de emisores de stablecoins. El congelamiento, sin embargo, no significa necesariamente que todos esos fondos vayan a recuperarse.
La puerta de entrada al bitcoin, la mayor criptomoneda del mundo, está en MB. Es simple, seguro y transparente. Deja de posponer una inversión con un potencial enorme. ¡Invierte en pocos clics!
