El informe inicial de la plataforma, que según Binance el FBI atribuye a Corea del Norte, describe una campaña de meses y una delegación en Ethereum que complicó la contención
Binance publicó el informe inicial sobre el ataque del 29 de octubre de 2026, que califica de grave y altamente sofisticado. Según la plataforma, unos 6.340 millones de USD en activos digitales resultaron afectados y cerca de 2.850 millones se congelaron o interceptaron.
El relato muestra cómo una campaña paciente, iniciada con ingeniería social, terminó dentro del servicio que firma las transacciones de sus billeteras calientes.
Una campaña de meses, no un simple phishing
En junio de 2026, un ingeniero de infraestructura descargó una instalación alterada de Homebrew mientras buscaba una herramienta de IA para programar. Binance detectó la anomalía y cambió el equipo, pero el rol de ese ingeniero y de su equipo, lamenteblemente quedó expuesto.
En septiembre, otro ingeniero fue contactado en una plataforma de empleo por alguien que se hacía pasar por director de proyecto. Tras dos entrevistas, recibió una “tarea” con código malicioso que, según Binance, sus herramientas de protección no pudieron detectar.
El 20 de octubre, el atacante usó una herramienta interna de IA para tomar control de otros dos ingenieros. El 29 de octubre, entre las 17:15 y las 19:56 UTC, empleó credenciales robadas para desplegar un contenedor y lanzar el ataque. Una serie de movimientos friamente calculados, con un resultado final devastador.
Cómo se movieron los fondos
Con acceso al servicio interno de firma, los atacantes iniciaron transacciones fuera del proceso normal de retiros. Entre las 20:05 y las 20:09 UTC, cinco billeteras calientes enviaron 233,46 millones de XRP. Luego salieron unos 970.500 SOL, 44,2 millones de OP y 18.270 BTC.
También usaron el mecanismo EIP-7702 de Ethereum, que permite a una cuenta delegar ciertos derechos de ejecución a un contrato inteligente sin exponer su clave privada, para dar a un contrato propio control parcial sobre una billetera de Binance.
Suspender los retiros no bastó, ya que las autorizaciones maliciosas ya estaban en la cadena y operaban por separado. Como la billetera usaba computación multipartita (MPC), no existía una clave única para revocarlas, y el equipo tuvo que diseñar un procedimiento específico. La última transferencia, de 2.961,9 ETH, se confirmó a las 23:56 UTC. A las 00:10 UTC del 30 de octubre se limpió la delegación.
Qué impacto tiene
Binance asegura que absorberá la pérdida. Apartó más de 100% de los fondos necesarios y, al 31 de octubre de 2026, había repuesto 98% de los activos afectados, algo verificable en su Prueba de Reservas.
Desafortunadamente, el eslabón vulnerable fueron las personas y las herramientas internas, no el cifrado. Binance afirma que en 2026 frenó 57 intentos sospechosos vinculados a Corea del Norte, lo que muestra la presión constante sobre las plataformas.
Conclusión
El informe es inicial y quedará sujeto a revisión independiente, y la empresa mantiene reservados algunos detalles técnicos. Este suceso constituye una fuerte señal de que los exchanges tendrán que reforzar la protección de sus equipos de desarrollo y los controles sobre firmas y delegaciones. Lo próximo será ver los hallazgos de esa revisión y si otras plataformas reportan intentos similares.