Un ataque ejecutado el 29 de octubre en una decena de blockchains sustrajo unos 6.300 millones de dólares de Binance, según la cifra de la propia exchange, mientras que la firma de análisis blockchain TRM Labs sitúa el total en 6.360 millones de dólares. La mayor pérdida individual se produjo en el hot wallet "Binance 14" del exchange, que perdió aproximadamente 2.500 millones de dólares a través de un mecanismo incorporado a Ethereum desde mayo: EIP-7702.
EIP-7702 se activó el 7 de mayo de 2025 como parte de la actualización Pectra, una función impulsada por el cofundador de Ethereum, Vitalik Buterin. Permite que un monedero normal, conocido como cuenta de propiedad externa, se comporte como un contrato inteligente al delegar su ejecución a un contrato mediante la firma del propietario. La actualización había funcionado sin incidentes desde su lanzamiento.
Una autorización EIP-7702 requiere una firma de la clave privada de la cuenta, el ID de la cadena y el nonce exacto de la cuenta, el contador secuencial vinculado a cada dirección. La validez se comprueba contra ese nonce preciso en el momento en que un bloque incluye la transacción. En este caso, el atacante firmó 50 autorizaciones distintas para Binance 14, abarcando desde el nonce 18.914.775 hasta el 18.914.824, todas agrupadas en una única transacción de tipo 4, el formato introducido por Pectra. La firma de seguridad Blockaid, que detectó la operación, resumió el resultado sin rodeos: "Solo una de cada 50 dio en el blanco".
Esa única autorización coincidente fue suficiente. Según Etherscan, la transacción de delegación se registró a las 20:20 UTC del 29 de octubre. Blockaid registró la primera transferencia fuera de Binance 14 solo 3 minutos y 24 segundos después: 167.464 ETH, 1.600 millones de dólares en USDT y alrededor de sesenta tokens más. El mismo rol de atacante se utilizó por separado para extraer 823 millones de dólares en USDC de otro smart wallet.
Un hackeo repartido en diez cadenas
Según el desglose de TRM Labs, Ethereum representó unos 3.790 millones de dólares del total, incluyendo Binance 14, la extracción de 823 millones de dólares en USDC y otros hot wallets de Binance. Bitcoin le siguió con aproximadamente 1.470 millones de dólares, o 18.270 BTC. Las pérdidas en Tron alcanzaron unos 628 millones de dólares, incluidos 612,7 millones de dólares en USDT y TRX. El XRP Ledger perdió alrededor de 296 millones de dólares, equivalentes a 233,46 millones de XRP, y de hecho fue la primera cadena afectada, vaciada 15 minutos antes que Binance 14. Las pérdidas en Solana se situaron en unos 96 millones de dólares, mientras que Arbitrum, Optimism, Base, Avalanche y Polygon sumaron juntas aproximadamente 77 millones de dólares. El propio recuento de Blockaid, que solo contabiliza Ethereum, Bitcoin y Tron, alcanzó los 5.570 millones de dólares.
Binance afirma haber congelado aproximadamente 3.000 millones de dólares on-chain, atribuyendo el mérito a la cooperación de Tether y Circle, que bloquearon el USDT y el USDC robados antes de que los fondos pudieran moverse más.
Dos explicaciones enfrentadas
La actualización de Binance atribuye la brecha al portátil comprometido de un ingeniero de DevOps, lo que según la compañía permitió al atacante "acceder a un contenedor de servicio y enviar transacciones de retiro no autorizadas". El exchange sostiene que "no hay evidencia de filtración de claves privadas". El consejero delegado de Blockaid, Ido Ben-Natan, describió el episodio como un "mal uso de la clave".
TRM Labs llega a una conclusión distinta, afirmando que el incidente refleja "un compromiso de la infraestructura de firma de los hot wallets" en lugar de un único dispositivo. Binance ha prometido un análisis post mortem detallado una vez concluya su investigación.
Para los custodios que manejan grandes saldos en Ethereum, el episodio expone un detalle estrecho pero relevante de EIP-7702: una autorización se acepta por completo con el nonce correcto o se descarta, sin un estado intermedio de fallo parcial. De cincuenta intentos, uno fue todo lo que hizo falta.
