Binance ha confirmado lo que la firma de análisis blockchain TRM Labs sitúa ya en 6.360 millones de dólares en pérdidas, superando los 1.500 millones robados a Bybit en febrero como el mayor hackeo sufrido jamás por un exchange de criptomonedas. El primer comunicado público del exchange sobre el incidente, publicado el jueves por la noche, se quedaba en 2.500 millones de dólares drenados de un hot wallet de Ethereum. A primera hora del viernes, la cifra había subido a 6.300 millones a medida que se conocía el alcance del ataque en múltiples blockchains.
Según la reconstrucción de TRM Labs, el ataque comenzó a las 21:05 (hora de París) con el vaciado de monederos en XRP Ledger, Solana y Optimism. A las 21:20, uno de los hot wallets de Ethereum más conocidos de Binance recibió una delegación bajo EIP-7702, una función de Ethereum activa desde la actualización Pectra de mayo. El monedero fue vaciado tres minutos después. El atacante, según se informa, había preparado cincuenta autorizaciones firmadas de antemano; solo necesitó una para ejecutar el robo.
Los emisores de stablecoins reaccionaron con rapidez. Tether congeló 971 millones de USDT vinculados al monedero principal del hacker a las 22:01, seguida tres minutos después por Circle, que congeló 823 millones de USDC. Changpeng Zhao, fundador de Binance, publicó en X a las 22:15: \"¡Los fondos de los usuarios están a salvo! Esto sí parece un hackeo a Binance. Gracias a Tether (~971 millones de dólares) y Circle (~823 millones de dólares) por su rápida congelación. Ya no dirijo Binance (.com). Pero como accionista, espero que todos los fondos de los usuarios queden íntegramente cubiertos\". Ripple congeló 40,5 millones de RLUSD a las 23:01, y World Liberty Financial congeló 27,8 millones de USD1 nueve minutos después.
Una segunda oleada de transferencias afectó a Avalanche y Polygon poco después de medianoche. Aave congeló sus mercados de préstamos a las 00:17 después de que el atacante depositara 60 millones de USDT para pedir prestados unos 20.000 ETH, por valor de alrededor de 44 millones de dólares. Yi He, cofundadora de Binance, anunció a las 00:59 que el exchange cubriría todas las pérdidas y suspendió los depósitos y retiros. A las 01:08, el Consejo de Seguridad de Arbitrum forzó dos transferencias por valor de unos 30 millones de dólares desde el monedero del hacker hacia una dirección congelada. \"ÚLTIMA HORA: el Consejo de Seguridad de Arbitrum ha ejecutado una transacción para congelar unos 30,5 millones de dólares procedentes del exploit de Binance. Gracias a todos los demás firmantes implicados\", escribió el investigador on-chain ZachXBT.
La actualización de seguridad de Binance a las 03:23 señaló como posible punto de entrada un \"portátil comprometido de un ingeniero de DevOps\", y afirmó: \"La investigación inicial sugiere que el incidente podría estar relacionado con el portátil comprometido de un ingeniero de DevOps. Esto, según los indicios, permitió a un atacante acceder a un contenedor de servicio y enviar transacciones de retirada no autorizadas. No hemos encontrado pruebas de una filtración de claves privadas de monedero\". Una actualización posterior, a las 05:30, suavizó el lenguaje hacia \"varios factores\". Yi He indicó que los retiros deberían reanudarse en un plazo de 48 horas.
Pérdidas por blockchain
Ethereum concentró la mayor parte, con 3.790 millones de dólares, incluidos 200.630 ETH y 1.875 millones de USDT. Las pérdidas en Bitcoin ascendieron a 18.270 BTC, unos 1.470 millones de dólares. Tron perdió 628 millones de dólares, XRP Ledger 296 millones, Solana 96 millones, y Arbitrum, Optimism y Base sumaron conjuntamente 39 millones, con Avalanche y Polygon aportando otros 38 millones. Binance había contabilizado 2.540 millones de dólares congelados on-chain a las 00:35. Frente a la estimación de DefiLlama de 144.000 millones de dólares en activos totales de Binance, la suma robada representa algo más del 4%.
TRM Labs atribuyó la operación, con alta confianza, a TraderTraitor, el grupo que el FBI ha vinculado anteriormente al hackeo de Bybit, una conclusión a la que llegó de forma independiente durante la noche el consejero delegado de Chainalysis, Jonathan Levin. La firma estima que 2.400 millones de dólares en bitcoin y ether robados, incluidos la totalidad de los 18.270 BTC, quedan fuera del alcance de cualquier congelación por parte de los emisores. Arkham ha designado el clúster de 70 direcciones verificadas del atacante como entidad oficialmente monitorizada, con un último recuento de 5.880 millones de dólares repartidos en 65 tokens, de los cuales 1.770 millones de USDT ya han sido congelados por Tether. El hacker no ha vendido nada de bitcoin, pero ha empezado a cambiar UNI, PEPE y LINK por ether.
Impacto en el mercado y en el exchange
Bitcoin cayó por debajo de los 77.000 dólares durante la noche, su nivel más bajo en más de un mes, mientras que ether perdió casi un 6% y el propio token BNB de Binance cayó más de un 8%. Los datos de CoinDesk mostraron liquidaciones en 24 horas por encima de 1.500 millones de dólares, dominadas por posiciones largas. Una excepción notable fue HYPE, que subió un 15% tras el anuncio, el mismo día, de una alianza con ICE, matriz de la Bolsa de Nueva York. Los creadores de mercado Wintermute y GSR afirmaron que su exposición a Binance se situaba por debajo del 20% y del 5% de su capital, respectivamente. El fondo de seguro SAFU de Binance, creado en 2018, mantiene aproximadamente 1.000 millones de dólares en bitcoin. El incidente eleva el total de pérdidas por hackeos en criptomonedas en lo que va de año a más de 2.810 millones de dólares antes de este robo, cifra ahora eclipsada por la magnitud del propio robo a Binance.
