El permiso de US$15 que vació la billetera grande de Binance

El mayor robo de criptomonedas de la historia se decidió en una transacción que no movió ni un solo token. Bloomberg reconstruyó el golpe a Binance desde el examen de la cadena de bloques de la firma Blockaid, y el dato que sobresale es el precio de la llave: unos 15 dólares en comisiones de la red Ethereum bastaron para instalar un permiso sobre Binance 14, su billetera caliente de retiros. Tres minutos y medio después, ese permiso sacó US$2,500 millones en una sola transacción: el 40 % del botín total de US$6,300 millones.

El martes, la propia Binance contó que los infiltrados engañaron a un ingeniero con ofertas de trabajo falsas hasta que descargó un código malicioso, en una campaña con ingeniería social, dispositivos comprometidos e inteligencia artificial. Nadie forzó una cerradura criptográfica: trabajaron con una firma válida de la propia casa.

🔥 Tendencia

Gómez Mazara pide más competencia tras la avería de Claro

Un permiso que vacía la billetera

La pieza clave se llama EIP-7702. Llegó a Ethereum en mayo de 2025, con la actualización Pectra, pensada para facilitar el uso de las billeteras: permite que una cuenta común delegue en un programa su operación, una especie de pago automático. Antes, cada movimiento pedía su propia autorización. El 29 de octubre, a las 20:20 UTC, los atacantes enviaron una transacción con 50 autorizaciones EIP-7702 firmadas por la infraestructura comprometida. Como la billetera operaba sin pausa, cubrieron 50 números de secuencia y solo uno encajó. Esa delegación no transfirió fondos: solo cambió quién podía ordenar sobre la cuenta. Registrarla costó los 15 dólares en comisiones de red.

A las 20:24 UTC, tres minutos y 24 segundos después del registro, el programa malicioso se activó y ejecutó el vaciado: 167,464 ether, unos US$1,615 millones en la moneda estable USDT y alrededor de 60 tokens más salieron de Binance 14 en una sola transacción: cerca de US$2,500 millones. Tibane Labs describió ese programa con una frase seca: hace una sola cosa, vaciar la billetera hacia la dirección que su dueño elija. Por la vía ordinaria habrían hecho falta decenas de transferencias separadas, cada una con su oportunidad de encender una alarma.

Apagar la plataforma no apagó el permiso

El permiso vivía en la propia cadena de Ethereum, fuera del alcance de los interruptores internos: Binance detuvo los retiros y apagó sus billeteras calientes, y la autorización siguió vigente. Los depósitos continuaban entrando a Binance 14, y los atacantes continuaron sacando. Elliptic calcula que por ese mismo permiso se movieron unos US$3,600 millones en total, incluidos los US$2,500 millones iniciales, US$823 millones tomados de otra cuenta y cuatro barridos posteriores. La última transferencia no autorizada fue a las 23:56 UTC del 29 de octubre, y la delegación quedó eliminada a las 00:10 del día 30.

Binance confirmó a Bloomberg que EIP-7702 jugó un papel importante en el ataque. La empresa revocó la delegación, reconstruyó la infraestructura y reforzó los controles de firma y vigilancia, con políticas más estrictas para delegaciones y revocación de emergencia, y absorbió el impacto financiero, con los fondos de los usuarios protegidos. Del botín, unos US$2,850 millones quedaron congelados o interceptados con ayuda de emisores de tokens y socios del sector. Para Dan Caspi, directivo de tecnología de Hypernative, la función ayudó a moverse más rápido y a mantener el control aun después de detectada la intrusión, contó Bloomberg. Ido Ben-Natan, cofundador de Blockaid, puso el matiz ante Cointelegraph: el robo podía cometerse sin esa función; el permiso cambió la velocidad del golpe y la persistencia del control.

El total no cambia: US$6,300 millones, la cifra de Binance y las firmas de análisis en el robo que el FBI atribuyó a Corea del Norte y que Trump puso en duda en público. Lo nuevo es la mecánica: una función creada para simplificar el uso de las billeteras convirtió una intrusión en un vaciado en minutos, y abrir la puerta costó 15 dólares en comisiones.

Fuente: ForkLog