Actualización (30 de octubre a las 2:44 a. m. UTC): Este artículo se actualizó para incluir la investigación preliminar de Binance sobre la brecha de seguridad.
Binance dijo que su investigación inicial sobre la brecha cripto de varios miles de millones de dólares apuntaba a la computadora portátil comprometida de un ingeniero de DevOps.
El exchange dijo el viernes que la vulneración de la computadora portátil pudo haber permitido a un atacante acceder a un contenedor de servicio y enviar transacciones de retiro no autorizadas. Añadió que no había encontrado pruebas de una filtración de la clave privada de una billetera, aunque su investigación continúa.
En declaraciones a Cointelegraph el jueves, el CEO de Blockaid, Ido Ben-Natan, dijo que la evaluación preliminar de Blockaid también apuntaba a un «uso indebido de la clave», en el que los atacantes engañaron o comprometieron un sistema de firma para autorizar transacciones maliciosas sin extraer la clave privada subyacente.
«Parece ser … un compromiso de la infraestructura de firma. No creemos que se haya filtrado una clave», dijo.
La evaluación de Ben-Natan se basó en la experiencia de Blockaid con ataques similares y en sus observaciones de la actividad onchain.
Binance estima un impacto de 6.300 millones de dólares y congela unos 3.000 millones
Binance situó ahora el impacto total estimado en unos 6.300 millones de dólares y dijo que había trabajado con socios de blockchain para congelar unos 3.000 millones de dólares en activos robados onchain.
El exchange dijo que cubriría todas las pérdidas utilizando su Fondo de Activos Seguros para Usuarios (SAFU) y fondos de la empresa, y añadió que los fondos de los usuarios estaban a salvo. También se comprometió a publicar una Prueba de Reservas actualizada.
Binance suspendió temporalmente los depósitos y retiros mientras realizaba comprobaciones de seguridad y dijo que había revocado la autorización de la dirección afectada. Está trabajando con las fuerzas del orden y socios de inteligencia blockchain para rastrear y recuperar los fondos.
El exchange dijo que publicaría un análisis técnico detallado una vez completada la investigación y verificados plenamente los hechos.
Blockaid identifica una delegación maliciosa de billetera
En su análisis onchain publicado en X, Blockaid dijo que el atacante agrupó 50 autorizaciones EIP-7702 en una sola transacción dirigida a Binance 14. Según se informó, una autorización coincidía con el nonce requerido de la cuenta, lo que permitió aceptarla.
EIP-7702 permite que una cuenta delegue la ejecución a código de contrato inteligente. Blockaid dijo que la cuenta afectada estaba delegada a un contrato de vaciado no verificado que permitía a un operador designado drenar tokens y Ether.
Relacionado: El hackeo de Binance sacude los mercados cripto mientras BNB cae un 7% y Bitcoin retrocede
Ben-Natan dijo a Cointelegraph que la operación pudo haber involucrado varios dispositivos comprometidos y un desplazamiento por la red del exchange.
Antes de la última actualización de Binance, el CEO de Arkham, Miguel Morel, dijo a Cointelegraph que no había información suficiente para determinar si el ataque involucraba claves robadas o una infraestructura comprometida.
«Por lo que podemos determinar, parece que el hackeo continúa», dijo en ese momento.
Corea del Norte y comparación con Bybit
Al preguntarle si la presunta manipulación de la firma se parecía al ataque contra Bybit de febrero de 2025, Ben-Natan describió los incidentes como «muy, muy similares».
En ese caso, la actualización forense publicada por Bybit dijo que los atacantes comprometieron las credenciales de un desarrollador de Safe, accedieron a la infraestructura del proveedor de billeteras y engañaron a los firmantes para que aprobaran una transacción maliciosa.
Ben-Natan también dijo que la actividad se parecía a operaciones vinculadas con Corea del Norte, citando la familiaridad de Blockaid con esos ataques. Señaló preparativos sofisticados onchain, pero enfatizó que la atribución seguía sin confirmarse.
Binance no ha identificado a los atacantes y dijo que está trabajando con las fuerzas del orden para establecer sus identidades.
Revista: Ledger manipulado fue reportado en Singapur un mes antes de que se conociera la noticia: Asia Express
