Una computadora portátil se convirtió en la puerta de entrada a un robo récord
Un estimado de $6.3 mil millones desapareció de Binance en unos 20 minutos, marcando el mayor robo de criptomonedas de la historia. Esta suma asombrosa, aproximadamente cuatro veces mayor que el récord anterior, se movió a través de múltiples blockchains en una ráfaga de transacciones no autorizadas. La magnitud sugiere un atacante con acceso profundo, no simplemente un hackeo oportunista.
Los investigadores sospechan que la brecha comenzó con la computadora portátil comprometida de un solo ingeniero, un punto de partida aparentemente inocuo para un robo tan masivo. Este punto de apoyo inicial proporcionó una entrada a la infraestructura interna de Binance, permitiendo al atacante manipular sus sistemas de firma sin exponer directamente ninguna private key. Esta distinción es crucial: las claves permanecieron seguras en sus respectivas máquinas, pero el sistema autorizado para usarlas fue comprometido.
Binance describió una brecha en una máquina DevOps junto con "puntos adicionales de brecha", lo que indica un ataque complejo de múltiples etapas. Los informes forenses aún están pendientes, pero los hallazgos reportados sugieren que el atacante obligó a los propios sistemas de Binance a firmar transacciones arbitrarias. Esto permitió el vaciado rápido de hot wallets, demostrando una explotación sofisticada de los controles operativos internos.
Es posible que las claves se hayan quedado donde estaban, pero el sistema de firma no
Binance utiliza hot wallets compartidas para los retiros de los clientes, una práctica estándar en los exchanges. Cada transferencia requiere una firma de private key, sin embargo, Binance no encontró evidencia de exfiltración de claves. Esta distinción es crítica: el atacante no robó las claves; obligaron a los propios sistemas de Binance a firmar transacciones ilícitas.
Una firma de seguridad supuestamente rastreó 11 claves distintas firmando transferencias al atacante, lo que indica un compromiso sistémico, no una filtración de una sola clave. Esto sugiere un vector de ataque mucho más insidioso que el simple robo de credenciales. El atacante supuestamente eludió las salvaguardas típicas manipulando la infraestructura interna de Binance.
Los atacantes probablemente comprometieron servicios o contenedores internos, convirtiendo efectivamente el sistema de firma de confianza de Binance en un cómplice involuntario. Luego pudieron solicitar firmas válidas a los propios sistemas de Binance, lo que les permitió autorizar transacciones arbitrarias. Esto les permitió "barrer" las hot wallets, drenando fondos sin poseer nunca las private keys directamente.
En Ethereum, el atacante preparó 50 notas de autorización prefirmadas para explotar los nonces de las transacciones. Debido a que la hot wallet estaba procesando activamente los retiros de los clientes, 49 intentos fallaron debido a una falta de coincidencia en el contador. Sin embargo, un intento coincidió con la secuencia exacta, barriendo la billetera hasta dejar apenas 1 ETH. Este abuso sofisticado del proceso de firma destaca una profunda brecha de confianza en el sistema mismo.
Cincuenta intentos, un nonce y una billetera con 1 ETH restante
Los atacantes se enfrentaron a un objetivo en movimiento. Las transacciones de Ethereum llevan cada una un nonce, un valor secuencial que actúa como contador de transacciones. Debido a que la hot wallet seguía procesando retiros de clientes, su nonce cambiaba constantemente, invalidando cualquier autorización prefirmada si su valor de nonce esperado estaba desactualizado.
Su táctica reportada fue una elegancia de fuerza bruta: preparar 50 autorizaciones prefirmadas. De estos, 49 intentos supuestamente fallaron el nonce correcto a medida que el contador avanzaba. Sin embargo, uno coincidió precisamente, permitiendo un barrido que drenó la billetera, dejando apenas 1 ETH atrás.
Este sofisticado ataque supuestamente aprovechó EIP-7702, una propuesta que permite a las externally owned accounts delegar temporalmente un comportamiento similar al de los smart contracts. Esta delegación podría permitir acciones complejas, como un barrido programático, directamente desde la dirección de la hot wallet, eludiendo los controles estándar de firmas múltiples. Tales capacidades subrayan por qué la validación robusta de transacciones y los estrictos controles internos son fundamentales. Para más detalles sobre la brecha, consulte Binance Links $6.3 Billion Crypto Theft to Compromised DevOps Laptop.
¿Te está gustando? Recibe uno así en tu bandeja cada mañana.
un correo al día · date de baja en dos clics · sin rastreadores de terceros
Congelar miles de millones no pudo recuperar cada moneda
Luego vino la congelación: se estima que entre 2.7 y 3 mil millones de dólares en tokens centralizados quedaron inaccesibles. Emisores como Tether y Circle incluyeron rápidamente en listas negras los activos robados, congelando más de 1.5 mil millones de dólares en USDT y 800 millones de dólares en USDC, respectivamente. Ripple y el Security Council de Arbitrum también congelaron los saldos restantes de stablecoins, demostrando la centralización inherente y las capacidades de intervención de estos activos.
Pero los 2.4 mil millones de dólares restantes resultaron mucho más difíciles de alcanzar. Activos como ETH y BTC, convertidos y puenteados hacia capas base descentralizadas, quedaron fuera del alcance de la orden de congelación de cualquier entidad. Esta marcada división destaca el equilibrio duradero en las criptomonedas: los tokens centralizados ofrecen opciones de recuperación, mientras que los activos descentralizados defienden la resistencia a la censura.
Las firmas de rastreo atribuyeron rápidamente el sofisticado ataque a actores vinculados a Corea del Norte. Binance, por su parte, se comprometió a cubrir todas las pérdidas con sus propios fondos, pausó los servicios afectados y prometió un análisis técnico post-mortem exhaustivo. El incidente subraya una paradoja crítica: incluso cuando algunos criptoactivos prometen una descentralización inmutable, la infraestructura que los asegura sigue siendo un objetivo tentador para amenazas altamente organizadas patrocinadas por estados.
Preguntas frecuentes
¿Cómo funcionó supuestamente el hackeo de Binance?
Los investigadores dicen que los atacantes pueden haber comprometido los sistemas internos y utilizado la infraestructura de firma autorizada de Binance para aprobar transferencias maliciosas, en lugar de robar directamente las claves privadas de la billetera.
¿Por qué el atacante preparó 50 autorizaciones firmadas?
El contador de transacciones de la billetera, o nonce, cambiaba constantemente a medida que procesaba los retiros. El atacante supuestamente preparó múltiples intentos para que uno pudiera coincidir con el valor exacto del contador.
¿Por qué algunas criptomonedas robadas pudieron ser congeladas y otras no?
Los emisores de tokens centralizados pueden incluir en listas negras algunos activos, como las stablecoins. Los activos nativos como ETH y BTC no tienen un emisor único con la misma capacidad para congelarlos.
¿Dijo Binance que los fondos de los usuarios serían reembolsados?
Binance dijo que cubriría las pérdidas con sus propios fondos, incluido su fondo SAFU, mientras investigaba y trabajaba para restaurar los servicios afectados.