Fireblocks vincula el hackeo a Binance con una firma EIP-7702

La firma de seguridad Fireblocks sostiene que el histórico robo a las billeteras calientes de Binance se redujo a una única autorización EIP-7702 firmada. Según la empresa, esa firma transfirió el control de una billetera caliente principal de Ethereum ↗ 0.59% a un contrato malicioso, el cual drenó miles de millones de dólares en cuestión de minutos. El análisis añade detalles técnicos a la explicación inicial de Binance, que apuntaba a la computadora comprometida de un ingeniero de DevOps. Desde entonces, el exchange ha declarado que su investigación encontró más de un punto de vulneración.

Cómo funcionó el ataque

En su desglose del exploit, Fireblocks indicó que los atacantes drenaron las billeteras calientes de Binance en varias cadenas de bloques el 29 de octubre de 2026. Estimó las salidas brutas entre 3.3 mil millones y 6.3 mil millones de dólares. La firma señaló que el atacante no irrumpió en un contrato EIP-7702 existente. En su lugar, creó una nueva autorización que dirigió la billetera caliente conocida como "Binance 14" hacia código controlado por el atacante. En tres minutos, ese código envió 167,464 ETH y 1.615 mil millones de dólares en Tether, y luego tomó 780 millones de USD Coin de billeteras secundarias vinculadas.fireblocks.com

Fireblocks afirmó que el atacante planeó el movimiento con antelación. Desplegó un contrato ese mismo día, pagó las tarifas de gas con fondos canalizados a través de Tornado Cash y practicó en billeteras de prueba. Una transacción incluyó 50 autorizaciones para asegurar que al menos una fuera válida al procesarse. La firma indicó que el ataque afectó a Ethereum, Arbitrum ↗ 0.35% y Avalanche ↗ 3.59%, pero que EIP-7702 no puede explicar los movimientos reportados en Bitcoin ↗ 0.36% y Tron ↘ 6.25%.fireblocks.com

La versión de Binance

Al final del 29 de octubre, Binance informó en X que el incidente "podría involucrar la computadora comprometida de un ingeniero de DevOps, lo que permitió a un atacante obtener acceso a un contenedor de servicio y enviar transacciones de retiro no autorizadas". Añadió que no encontró "evidencia de filtración de claves privadas de billeteras", como informó Mashable. El codirector ejecutivo Richard Teng declaró más tarde que el atacante usó EIP-7702 para obtener aprobación de ejecución sobre una billetera caliente y que la delegación "no pasó por nuestros controles de aprobación normales". Binance indicó posteriormente que su investigación había descubierto "puntos adicionales de vulneración".bbc.co.uk+2

Atribución y recuperación

TRM Labs culpó a TraderTraitor, una unidad de hackeo norcoreana, y señaló que unos 6.36 mil millones de dólares salieron de las billeteras de Binance en 10 cadenas de bloques, la mayor parte en unos 20 minutos. Emisores como Circle ↘ 9.31% y Tether congelaron cerca de 3 mil millones de dólares. TRM indicó que otros 2.4 mil millones se movieron "fuera del alcance de cualquier emisor", y Binance se ha comprometido a cubrir las pérdidas de los clientes.nytimes.com+1

Fireblocks concluyó que la lección principal es que "ningún desarrollador o máquina de DevOps debería poseer autoridad unilateral para desplegar o alterar los permisos de una billetera".fireblocks.com