El robo de activos de Binance ocurrió el 29 de octubre de 2026. En su actualización inicial, publicada el 3 de noviembre, la empresa describió una intrusión de varios pasos: un equipo comprometido meses antes, un falso proceso de selección y, finalmente, acceso a un servicio interno de firma que permitió iniciar transacciones fuera del proceso habitual de retirada. Binance también explicó por qué detener las retiradas no anuló automáticamente las autorizaciones EIP-7702 ya inscritas en la cadena.
Binance calificó su informe de inicial y dijo que la investigación y una revisión independiente seguían en curso.
De los equipos comprometidos al servicio de firma
Según Binance, Engineer A instaló en junio una versión manipulada de Homebrew mientras buscaba una herramienta de programación con IA. La empresa detectó la anomalía, sustituyó el dispositivo y cambió credenciales relacionadas. Más tarde, según su relato, los atacantes obtuvieron información sobre el papel de A y sus compañeros.
En septiembre, Engineer B recibió una propuesta de trabajo a través de una plataforma legítima de empleo. Tras entrevistas con personas que usaban identidades convincentes, le pidieron descargar un repositorio malicioso presentado como una tarea. Binance dijo que el código sustituyó un componente de una herramienta de desarrollo, ejecutó comandos y se comunicó con un servidor controlado por los atacantes.
El 20 de octubre, los atacantes utilizaron el equipo de B y una herramienta interna de IA para acceder a los sistemas de A y Wallet Software Engineer C, según la empresa. El 29 de octubre iniciaron sesión en el equipo de C, usaron credenciales robadas de A, desplegaron un contenedor y ejecutaron un script malicioso. Binance dijo que ese acceso llegó a un servicio interno de firma de billeteras, capaz de iniciar transacciones fuera del circuito normal de retirada.
Por qué EIP-7702 complicó la respuesta
Binance dijo que los atacantes usaron EIP-7702, un mecanismo de Ethereum, para delegar parte de los permisos de ejecución de una billetera caliente a un contrato inteligente controlado por ellos. La empresa señaló que se enviaron 50 transacciones de firma para manipular el nonce de la cuenta y establecer delegaciones maliciosas.
Binance afirmó que esas autorizaciones en cadena operaban al margen de su infraestructura habitual de retiradas. La billetera caliente usaba computación multipartita, un sistema que reparte la firma entre varias partes, y no tenía una clave privada única con la que revocar de inmediato esas autorizaciones. Por eso, la empresa dijo que tuvo que seguir un procedimiento especializado. La transferencia no autorizada final, de 2.961,9 ETH, se confirmó en cadena a las 23:56 UTC del 29 de octubre; Binance dijo que retiró la delegación Binance14 a las 00:10 UTC del 30 de octubre.
La atribución del FBI
El FBI atribuyó el robo de más de 6.000 millones de dólares a Corea del Norte en una alerta del 31 de octubre de 2026, y llamó TraderTraitor a la actividad maliciosa. Binance remitió a esa atribución en su actualización. La cobertura previa de NeoTeo analizó la conexión en cadena entre los robos a Binance y Bitget.
Qué informó Binance sobre los activos y la cobertura
En su actualización del 3 de noviembre, Binance calculó en unos 6.340 millones de dólares los activos afectados y en unos 2.850 millones los activos congelados o interceptados. La empresa indicó que esta última cifra podía cambiar por la conciliación de cuentas y la volatilidad del mercado.
Binance dijo que había reservado fondos equivalentes a más del 100 % de lo necesario para cubrir la pérdida. También afirmó que al 31 de octubre había repuesto el 98 % de los activos en tokens afectados. Como medidas técnicas, la empresa dijo que reconstruyó el sistema de billeteras afectado y la herramienta interna de IA, sustituyó dispositivos, retiró credenciales y tokens relacionados, amplió la detección de anomalías y reforzó los controles del servicio de billeteras.
