NodoBinance habría sufrido un robo de 6.360 millones: la clave estaría en cómo se autorizan las transferencias
La hipótesis principal apunta a los sistemas de firma y a un posible portátil comprometido, no a una ruptura de la criptografía. El alcance y la secuencia del ataque siguen pendientes de aclararse.
Binance habría sufrido un robo de aproximadamente 6.360 millones de dólares en criptomonedas, según las estimaciones preliminares atribuidas a TRM Labs. El análisis descrito identifica transferencias desde monederos asociados a la plataforma hacia direcciones de los atacantes en diez redes blockchain. Casi todos los fondos habrían salido en unos 20 minutos.
Entre las redes afectadas figuran Bitcoin, Ethereum, Tron, Solana y XRP Ledger. La investigación continúa y tanto la cifra como la explicación técnica deben considerarse provisionales.
El objetivo no habría sido romper la criptografía
La hipótesis atribuida a TRM Labs y Elliptic sitúa el problema en los sistemas que permiten autorizar y firmar operaciones, no en los algoritmos criptográficos de las redes afectadas.
La diferencia es fundamental: una transferencia puede tener una firma criptográfica válida y, aun así, haberse realizado sin el consentimiento de la empresa. Sería parecido a abrir una puerta con una llave obtenida ilícitamente: la cerradura funciona, pero quien entra no tiene permiso.
El ataque habría alcanzado los hot wallets, monederos conectados a internet que se utilizan para gestionar operaciones y atender retiradas. Los cold wallets, en cambio, mantienen sus claves desconectadas o especialmente protegidas.
Un portátil, entre las posibles vías de entrada
Una de las hipótesis descritas apunta al ordenador de un ingeniero de DevOps, el área que gestiona y automatiza la infraestructura de aplicaciones y servicios.
Los atacantes podrían haber accedido a ese equipo mediante programas maliciosos o credenciales robadas. Desde allí, habrían avanzado hacia sistemas internos hasta alcanzar un contenedor de servicio y enviar órdenes de retirada no autorizadas. Esta secuencia no está confirmada.
También se investiga el posible uso de EIP-7702, un mecanismo de Ethereum que habría permitido delegar el comportamiento de uno de los monederos en un contrato inteligente controlado por los atacantes. Esa posibilidad no explica por sí sola las operaciones descritas en las demás redes.
Qué queda por esclarecer
TRM Labs atribuye el ataque a TraderTraitor, un grupo vinculado a Corea del Norte. La investigación forense deberá aclarar la vía de entrada, los permisos comprometidos y el recorrido de los fondos.
También falta información esencial sobre el impacto para los usuarios: los datos aportados no detallan posibles pérdidas individuales, el estado de las retiradas ni eventuales medidas de compensación. Por ahora, no permiten dar esas consecuencias por establecidas.
