El gigante de las criptomonedas Binance anunció el jueves que un incidente de seguridad en su plataforma ha afectado aproximadamente $6.3 mil millones en activos. El mayor exchange de criptomonedas del mundo declaró que casi $3 mil millones de estos fondos han sido congelados en la cadena hasta ahora. En respuesta a la brecha, los emisores de stablecoins Tether y Circle reportaron haber congelado más de 1.567 mil millones de USDT y 800 millones de USDC respectivamente. Además, el Consejo de Seguridad de Arbitrum ejecutó una transacción para congelar aproximadamente $30.5 millones relacionados con la explotación.
La investigación inicial de Binance sugiere que el incidente involucró la laptop comprometida de un ingeniero de DevOps, lo que permitió a un atacante acceder a un contenedor de servicio y presentar transacciones de retiro no autorizadas. El exchange aclaró que no hay evidencia de una fuga de claves privadas de billetera. Para mitigar pérdidas adicionales, Binance suspendió temporalmente los depósitos y retiros, revocó las autorizaciones de las direcciones afectadas y se asoció con fuerzas del orden y socios de inteligencia blockchain. La compañía confirmó que cubrirá todas las pérdidas utilizando su Fondo de Activos Seguros para Usuarios (SAFU) y fondos internos, con la expectativa de que los retiros reanuden dentro de las 48 horas siguientes a una revisión de seguridad.
Este evento marca el mayor robo de criptomonedas registrado hasta la fecha, superando el hurto de $1.5 mil millones de Bybit en febrero de 2025. La firma de inteligencia blockchain Chainalysis estimó la cantidad robada en aproximadamente $5.912 mil millones al momento del robo, casi cuatro veces la cantidad tomada en el siguiente mayor robo de criptomonedas. TRM Labs ha atribuido el ataque a actores de amenazas norcoreanos con alta confianza, vinculándolo al grupo TraderTraitor, que también estuvo detrás del robo de Bybit en 2025 y del hackeo de KelpDAO en abril de 2026.
Según TRM Labs, la preparación para el ataque comenzó al menos 36 horas antes del robo. Los atacantes tomaron el control de una billetera caliente de Binance presentando una sola transacción que contenía 50 autorizaciones pre-firmadas. Esta técnica involucró preparar firmas para conteos de transacciones consecutivos para asegurar su validez cuando se ejecutaran. Tres minutos y 24 segundos después de la delegación, el operador instruyó a la billetera caliente para transferir todo su saldo, incluyendo 167,464 ETH y 63 tokens como 1.615 mil millones de USDT, a una dirección controlada por el atacante.
El científico jefe de Elliptic, Dr. Tom Robinson, evaluó que actores vinculados a Corea del Norte perpetraron el robo, citando técnicas similares y la mezcla de fondos de la reciente explotación de Bitget. Elliptic señaló que en lugar de robar claves privadas, el atacante manipuló los propios sistemas de Binance para firmar transacciones en su nombre, un método que se asemeja al robo de Bybit donde se comprometieron infraestructura y personal en lugar de criptografía. Hasta ahora, Tether, Circle, Ripple y World Liberty Financial han congelado aproximadamente $2.67 mil millones en stablecoins, mientras que Arbitrum ha congelado aproximadamente $30 millones en ETH y ARB.
A pesar de estos esfuerzos, el atacante retiene el control de más de 420,000 ETH y 18,270 BTC, valorados en aproximadamente $2.4 mil millones, junto con cantidades menores en otras cadenas. Elliptic reportó que si bien se han congelado 2.84 mil millones en fondos, el atacante controla alrededor de $3.33 mil millones en activos distribuidos en aproximadamente 43 direcciones de billetera que no pueden ser congeladas por un emisor. Esto incluye 511,861 ETH, 18,270 BTC, 233 millones de XRP y 670 millones de TRX.
Los vínculos con Corea del Norte se basan en varios factores, incluida la mezcla de fondos de las explotaciones de Binance y Bitget en la misma dirección de Ethereum. Los atacantes utilizaron pequeños retiros de Tornado Cash para financiar sus billeteras y ejecutaron transacciones pre-firmadas en un solo estallido, técnicas observadas en hackeos anteriores atribuidos al régimen. Sin embargo, Elliptic instó a la precaución en la atribución debido a desviaciones en los patrones de lavado; a diferencia de los grupos norcoreanos típicos que intercambian stablecoins por activos nativos en minutos, este atacante retuvo USDT robados durante 37 a 46 minutos sin convertir la mayor parte y utilizó creadores de mercado y protocolos de préstamos DeFi de manera diferente a lo visto después del hackeo de Bybit.
El copresidente ejecutivo de Binance, Richard Teng, declaró que si bien el incidente pudo haber comenzado con una laptop comprometida, el ataque fue complejo y no una acción simple de un solo clic. La compañía ha revelado desde entonces que su investigación en curso descubrió puntos adicionales de brecha más allá del compromiso inicial de la laptop. Binance está coordinando con las fuerzas del orden para confirmar la identidad de los criminales y llevarlos ante la justicia.
Fuentes: The Hacker News.