La investigación inicial apunta a que un atacante aprovechó la computadora comprometida de un ingeniero para acceder a uno de los sistemas de la plataforma y ejecutar retiros no autorizados. Binance aseguró que cubrirá las pérdidas y que sus socios lograron congelar hasta u$s3.000 millones.
El mayor exchange de criptomonedas del mundo, Binance, sufrió un ataque informático que provocó pérdidas estimadas en u$s6.300 millones. El episodio, que sacudió al mercado cripto, activó una respuesta coordinada entre la compañía, firmas de ciberseguridad y emisores de stablecoins para rastrear los activos y frenar la salida de fondos.
El contenido al que quiere acceder es exclusivo para suscriptores.
En una actualización difundida el jueves a última hora, la plataforma explicó que la investigación preliminar apunta a que el atacante habría utilizado la computadora comprometida de un ingeniero de DevOps para ingresar a uno de sus sistemas y ejecutar operaciones de retiro sin autorización.
Según la compañía, el acceso se habría producido a través de un contenedor de servicios. Hasta el momento, no encontraron indicios de que se hayan filtrado las claves privadas de las billeteras, aunque confirmaron que "el incidente se originó por múltiples factores".
A diferencia del sistema bancario tradicional, las operaciones con criptomonedas quedan registradas en la blockchain, una red distribuida que permite consultar los movimientos de los activos. Sin embargo, ese registro no identifica necesariamente a las personas detrás de cada transacción: permite rastrear las operaciones y las direcciones involucradas, pero no determinar por sí solo quién las controla.
En ese contexto, firmas de inteligencia forense como Blockaid, Arkham y Unchained detectaron movimientos anómalos y de alta frecuencia desde las billeteras calientes identificadas como "Binance 14" y "Binance 16", que terminaron vaciadas.
"Nuestro equipo de seguridad está rastreando la ruta completa del ataque a través del ordenador comprometido, que podría ser el punto de entrada del incidente", indicaron. También anticiparon que publicarán un informe más detallado una vez que logren determinar la causa raíz del problema.
Investigadores de ciberseguridad sostienen que el atacante no habría robado una clave privada del sistema, sino que habría aprovechado una función que permite a una billetera común delegar la ejecución de operaciones en un contrato inteligente. A través de ese mecanismo, habría enviado una ráfaga de 50 autorizaciones firmadas y utilizado el flujo constante de transacciones (nonces) que procesaba la billetera de Binance.
Al acertar una de esas autorizaciones, el atacante activó un contrato de barrido (sweeper contract) no verificado, que extrajo automáticamente millones en USDT, ETH y decenas de altcoins en cuestión de minutos.
Los analistas también detectaron la creación de nuevas direcciones de destino, financiadas inicialmente a través del mezclador de privacidad Tornado Cash. Esta herramienta permite dificultar el rastreo del origen de los fondos al interrumpir la trazabilidad de las operaciones en la blockchain.
En la madrugada de este viernes, la compañía dio más detalles del incidente: "Nuestra investigación inicial sugería que el incidente de seguridad podría haber involucrado una laptop comprometida; sin embargo, nuestra investigación subsiguiente ha descubierto puntos adicionales de brecha"m
"Este fue un ataque complejo, y estamos haciendo todo lo posible en coordinación con las fuerzas del orden para resolverlo. Todavía estamos recopilando los hechos, y compartiremos más directamente a medida que los tengamos", ahondaron.
Sobre el restablecimiento de todos los servicios, desde Binance aseguraron que siguen "en camino hacia el cronograma esperado para reanudar el servicio de retiros en 45 horas" y agregaron que "los depósitos siguen sin verse afectados".
Binance estimó el impacto total del episodio en torno a los u$s6.300 millones. En paralelo, informó que sus socios consiguieron congelar aproximadamente entre u$s2.500 millones y u$s3.000 millones vinculados al ataque.
La compañía aseguró que cubrirá las pérdidas con recursos del Fondo de Activos Seguros para Usuarios (SAFU, por sus siglas en inglés) y fondos corporativos. "Los fondos de los usuarios están completamente seguros", afirmaron. Sin embargo, no precisaron qué proporción de los activos afectados pertenecía a sus clientes.
Como parte de la respuesta inmediata, Binance revocó la autorización de la dirección afectada y trabajó junto con las fuerzas de seguridad y firmas de inteligencia blockchain para rastrear los fondos y avanzar en su recuperación.
Entre las medidas iniciales también dispuso:
La suspensión temporal de los depósitos y retiros mientras se completaban las verificaciones de seguridad.
La revocación de la autorización de la dirección afectada.
La intervención de las fuerzas del orden y de socios especializados en inteligencia blockchain para rastrear y recuperar los fondos.
En las últimas horas, la plataforma informó que ya volvió a habilitar los depósitos, que continúan operando con normalidad. Los retiros, en cambio, permanecen suspendidos mientras se completa una actualización del sistema de seguridad utilizado para esas operaciones.
"Esperamos reanudarlos en un plazo de 48 horas y actualizaremos con más detalles", comunicó la empresa en X.
Mientras continúa la investigación, Binance también pidió a sus usuarios que consulten exclusivamente sus canales oficiales ante la circulación de enlaces y mensajes fraudulentos. Además, recordó que su servicio de atención al cliente permanece disponible para responder consultas.
El cofundador y exdirector ejecutivo de Binance, Changpeng Zhao, se refirió al episodio en X y confirmó que la plataforma atravesaba un posible hackeo. "Los fondos de los usuarios están seguros. Sí parece un hackeo en Binance", escribió.
Aunque aclaró que ya no administra Binance.com, Zhao sostuvo que, como accionista, espera que "todos los fondos de los usuarios estén completamente cubiertos".
La respuesta del sector incluyó medidas para bloquear parte de los activos vinculados al ataque. Tether congeló más de u$s1.560 millones en USDT, Circle bloqueó más de u$s800 millones en USDC y Ripple hizo lo propio con cerca de u$s200 millones en RLUSD. En conjunto, la industria logró inmovilizar entre u$s2.500 millones y u$s3.000 millones.
También hubo medidas en el ecosistema de finanzas descentralizadas. Plataformas como Aave congelaron sus préstamos para impedir que los activos robados fueran utilizados como garantía para obtener Ethereum u otros tokens que no podían ser congelados.
El episodio también tuvo repercusiones en el mercado de criptomonedas. A las 22.30 de Buenos Aires, Bitcoin cotizaba cerca de los u$s77.600, su nivel más bajo desde septiembre, después de registrar una caída del 3,92%.
La baja representó una pérdida de unos u$s3.200 en apenas 24 horas. Otras criptomonedas también operaron en terreno negativo, mientras que el índice Nasdaq 100 terminó la rueda con un retroceso cercano al 1,4%.