El hackeo de Binance: 6.300 millones de dólares y el fallo del EIP-7702
- Un atacante sustrajo aproximadamente 6.300 millones de dólares de los hot wallets de Binance en diversas cadenas.
- El método utilizó la delegación EIP-7702 de Ethereum para ejecutar código malicioso en la cuenta de la plataforma.
- Tether y Circle congelaron cerca de 3.000 millones de dólares, pero el ETH sustraído permanece fuera de control.
- La brecha se originó presuntamente por el compromiso del portátil de un ingeniero de DevOps de Binance.
La historia de la seguridad en los activos digitales ha alcanzado un punto de inflexión crítico. El 29 de octubre de 2026, Binance se convirtió en la víctima del robo de criptomonedas más grande jamás registrado. En una operación quirúrgica que duró apenas unos minutos, un atacante logró drenar una cantidad estimada en 6.300 millones de dólares, afectando a diez cadenas de bloques diferentes, incluyendo Ethereum, Arbitrum, Avalanche, Optimism, Tron y Bitcoin.
El incidente no fue el resultado de una simple filtración de claves privadas, sino de una explotación sofisticada de una funcionalidad técnica reciente. El núcleo del ataque reside en la delegación EIP-7702, una mejora introducida en la actualización Pectra de Ethereum en 2025. Esta norma permite que una cuenta ordinaria delegue su ejecución a un contrato inteligente, permitiendo que la cuenta actúe como si tuviera la lógica de dicho contrato.
La anatomía de una ejecución coordinada
El ataque comenzó a las 20:20:59 UTC. El perpetrador envió una transacción de tipo 4 que contenía 50 autorizaciones firmadas con la clave de la billetera Binance 14. Aunque 49 de estas firmas fueron inválidas, una sola logró coincidir con el nonce exacto de la cuenta en el momento del aterrizaje en la red. Esta coincidencia permitió delegar la billetera de Binance a un contrato recolector (sweeper contract) que el atacante había desplegado horas antes.
En solo cuatro minutos, el contrato malicioso movió 167.464 ETH, 1.615 millones de USDT y otros 60 tokens, dejando apenas 1 ETH para cubrir los costes de gas. Lo más alarmante para los analistas es que Ethereum no fue la puerta de entrada. Evidencias on-chain sugieren que las redes XRP y Solana fueron vaciadas primero, lo que indica que el atacante ya tenía control sobre la infraestructura de firma o la capa de retiradas de Binance antes de ejecutar el truco del EIP-7702 en la red principal de Ethereum.
El rastro del dinero y la carrera contra el reloj
Una vez obtenidos los fondos, el atacante inició una carrera frenética de 37 minutos para convertir los activos congelables en activos líquidos. Sabiendo que los emisores de stablecoins tienen la capacidad de bloquear fondos, el hacker vendió USDT con descuentos de entre el 4% y el 22% para deshacerse de ellos rápidamente antes de que Tether y Circle pudieran reaccionar.
A pesar de la rapidez, la respuesta de los emisores fue significativa. Tether logró congelar más de 1.500 millones de dólares en USDT y Circle bloqueó más de 800 millones en USDC. En total, Binance estima que unos 3.000 millones de dólares en activos han sido congelados. Sin embargo, los activos nativos como ETH, AVAX, OP y ARB son imposibles de bloquear, lo que deja una parte masiva del botín en manos del criminal.
El operador de la dirección de destino había sido financiado el día anterior mediante tres retiros de Tornado Cash, lo que demuestra una planificación meticulosa para anonimizar el origen de los fondos utilizados para lanzar el ataque.
Vulnerabilidades humanas en la infraestructura DevOps
La pregunta inmediata para cualquier empresario tecnológico es cómo se pudo comprometer una infraestructura de este calibre. Según las actualizaciones preliminares de Binance, la investigación apunta a un fallo de seguridad en el hardware. Específicamente, se sospecha que el portátil de un ingeniero de DevOps fue comprometido.
Este acceso permitió al atacante llegar a un contenedor de servicio y cursar solicitudes de retiro no autorizadas. Es un recordatorio brutal de que, independientemente de la robustez del código de un contrato inteligente o de la seguridad de una blockchain, el eslabón más débil sigue siendo la estación de trabajo del administrador. El acceso a las capacidades de despliegue y firma transformó un dispositivo personal en la llave maestra de miles de millones de dólares.
Impacto en el mercado y presión sobre Ethereum
La reacción del mercado no se hizo esperar. El precio de Ether experimentó una caída inmediata del 2,6% en una sola hora tras conocerse la noticia. El temor no reside en un fallo de la red Ethereum en sí —ya que la blockchain funcionó exactamente como fue diseñada— sino en la presión vendedora masiva. El hacker posee aproximadamente 195.460 ETH, una cantidad que, a diferencia de las stablecoins, no puede ser revertida ni congelada por ninguna entidad central.
Para mitigar el pánico, Binance ha suspendido temporalmente los retiros y depósitos, asegurando que utilizará su fondo de emergencia SAFU y sus propias reservas para cubrir la totalidad de las pérdidas de los usuarios. No obstante, la magnitud del robo, que alcanza los 6.300 millones de dólares, pone a prueba la solvencia incluso de los gigantes del sector.
Lecciones técnicas para el ecosistema Web3
El uso del EIP-7702 en este ataque revela un riesgo imprevisto en la flexibilidad de las cuentas de Ethereum. La capacidad de delegar código a una cuenta EOA (Externally Owned Account) simplifica la experiencia del usuario, pero crea un vector de ataque donde una sola firma válida, combinada con el control del nonce, puede entregar el control total de los fondos a un tercero.
La industria ahora se enfrenta a la necesidad de revisar los protocolos de firma. Si el ataque no fue una filtración de clave, sino un compromiso de la capa de firma, significa que los sistemas de multi-firma (multisig) o los módulos de seguridad de hardware (HSM) fueron eludidos o mal configurados en la capa de DevOps. La velocidad del drenaje, completado en unos 15 minutos a través de 10 cadenas, sugiere una automatización total del proceso de extracción.
Implicaciones para el tejido empresarial en España
Para las empresas españolas, especialmente aquellas integradas en la agenda digital y que exploran la tokenización de activos, este incidente es una señal de alerta sobre la gestión de riesgos operativos. En el contexto del AI Act y las normativas europeas de ciberseguridad, la responsabilidad sobre la custodia de activos digitales se vuelve crítica.
El tejido empresarial español, compuesto mayoritariamente por PYMES que empiezan a adoptar soluciones de tesorería en stablecoins o activos digitales, debe comprender que la seguridad no es un producto, sino un proceso. El hecho de que el punto de entrada fuera el portátil de un ingeniero subraya que las políticas de Zero Trust y la segmentación estricta de los entornos de desarrollo y producción son imperativas.
Además, este evento impulsa la necesidad de que las empresas locales no dependan exclusivamente de custodios centralizados. La diversificación de la custodia y la implementación de gobernanzas estrictas sobre las claves de firma son pasos esenciales para evitar que un fallo humano individual pueda comprometer la estabilidad financiera de una organización. La digitalización de la economía española requiere una cultura de ciberseguridad que vaya más allá del cumplimiento normativo, enfocándose en la resiliencia técnica real ante ataques de día cero o explotaciones de protocolos actualizados.
Preguntas frecuentes
¿Se han perdido los fondos de los usuarios de Binance?
Binance ha afirmado que los fondos de los clientes están seguros y que cubrirá todas las pérdidas utilizando su fondo SAFU y reservas propias.
¿Qué es el EIP-7702 y cómo se usó en el ataque?
Es una mejora de Ethereum que permite a una cuenta delegar su ejecución a un contrato inteligente. El atacante usó una firma válida para que la billetera de Binance ejecutara un contrato malicioso que vació los fondos.
¿Por qué no se pudieron recuperar todos los fondos?
Mientras que las stablecoins como USDT y USDC pueden ser congeladas por sus emisores (Tether y Circle), las criptomonedas nativas como Ethereum (ETH) no tienen una autoridad central que pueda bloquear las transacciones.
¿Cuál fue la causa raíz del hackeo?
Las investigaciones preliminares indican que el portátil de un ingeniero de DevOps fue comprometido, permitiendo al atacante acceder a contenedores de servicio y emitir retiradas no autorizadas.
Fuentes: Blockchainbreaches, Dev, Blockchain ·
glacom · IA para empresas y pymes: por dónde se empieza de verdad →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
