Un grupo de hackers aprovechó el acceso a los sistemas internos de Binance y una función de Ethereum para sustraer cerca de u$s2.500 millones de una billetera de la exchange en una sola operación.
Según el análisis de la firma de seguridad Blockaid, los atacantes pagaron alrededor de u$s15 en comisiones para ejecutar el movimiento. El impacto total del ataque fue estimado en u$s6.300 millones.
El incidente expuso una falla en los controles de seguridad de una de las mayores plataformas de criptomonedas del mundo y puso en discusión los riesgos de las nuevas herramientas que permiten automatizar operaciones con activos digitales.
El ataque comenzó con una maniobra de ingeniería social. Según el informe de Binance, los atacantes utilizaron entrevistas laborales falsas y software malicioso para comprometer los dispositivos de empleados vinculados con el área de desarrollo y administración de billeteras.
A partir de ese acceso, consiguieron intervenir los sistemas internos que autorizaban las transacciones y utilizaron credenciales comprometidas para ejecutar movimientos de fondos sin pasar por el circuito habitual de retiros.
Uno de los principales objetivos fue Binance 14, una billetera caliente de Ethereum utilizada por la exchange para administrar fondos y procesar operaciones de sus clientes.
A diferencia de las billeteras frías, que permanecen desconectadas de internet, las hot wallets están conectadas a la red y permiten realizar transferencias con mayor rapidez.
Por eso, representan un punto crítico de seguridad para las plataformas que custodian criptomonedas.
Para concretar el robo, los atacantes utilizaron EIP-7702, una actualización de Ethereum implementada en mayo de 2025 que permite que una cuenta delegue determinadas funciones en un contrato inteligente.
La herramienta fue diseñada para simplificar el uso de las billeteras y facilitar operaciones como agrupar varias transacciones en una sola autorización. Sin embargo, en este caso, los hackers consiguieron que Binance 14 autorizara un programa controlado por ellos para operar sobre sus fondos.
Según Blockaid, los atacantes prepararon 50 autorizaciones diferentes para intentar establecer esa delegación. Una vez que consiguieron que una de ellas fuera válida, pudieron ejecutar el movimiento de activos. El costo de operación y hackeo fue de u$s15 en comisiones para habilitar el movimiento.
Tras detectar el ataque, Binance suspendió los retiros y trabajó con otras empresas del sector para bloquear los fondos robados.
También inició la reconstrucción de los sistemas afectados y anunció nuevas medidas para reforzar la seguridad de sus billeteras.
En su última actualización, el exchange garatizó que asumirá el costo total del incidente y que los fondos de sus clientes están protegidos.
La compañía indicó que ya había repuesto el 98% de los activos comprometidos y que contaba con reservas superiores al monto necesario para cubrir las pérdidas.
El 2% restante correspondía a criptomonedas con menor liquidez, que Binance todavía buscaba adquirir para completar la restitución. Además, la empresa detalló que logró interceptar u$s2.850 millones de los activos involucrados en el ataque.
Por su parte, el FBI atribuyó el robo a Corea del Norte y lo identificó como TraderTraitor. Según el organismo estadounidense, los responsables estaban convirtiendo los fondos sustraídos principalmente a Ether (ETH), una estrategia que dificulta el seguimiento de los activos y su recuperación.