El hackeo de Binance pone bajo escrutinio el EIP-7702 de Ethereum y la custodia de los exchanges

La versión de Binance sobre el ataque

Richard Teng, codirector ejecutivo de Binance, afirma que la industria de las criptomonedas debería estudiar el ataque descrito como el hackeo de Binance de 6.300 millones de dólares. En declaraciones a CNBC el martes, dijo que Binance había publicado un informe detallado para que otros participantes de la industria pudieran aprender de lo ocurrido. Su relato presenta el incidente no como una brecha única y repentina, sino como una campaña que se desarrolló durante meses y llegó hasta el sistema que autoriza las transacciones de las billeteras.

Teng citó una atribución del FBI a Corea del Norte y describió una secuencia que comenzó en junio con una herramienta falsa para desarrolladores. En septiembre, dijo, los atacantes recurrieron a entrevistas falsas de reclutamiento. El relato sigue su avance a través de herramientas internas de IA hasta llegar al sistema utilizado para autorizar las transacciones de las billeteras. Estos detalles sugieren que la ruta del ataque, según se informó, atravesó varias áreas de las operaciones de Binance antes de que se habilitara la transferencia de criptomonedas.

El incidente pone de relieve cómo una característica técnica puede formar parte de un robo sin ser necesariamente el punto de entrada original. Teng dijo que los atacantes se movieron por los sistemas internos antes de explotar una característica de Ethereum el 29 de octubre, después de que Binance hubiera suspendido los retiros. El relato disponible no establece todos los pasos técnicos entre el acceso interno reportado y la transacción de la billetera, por lo que la revisión independiente prometida será importante para comprender mejor lo ocurrido.

El papel de EIP-7702 en el robo

La característica de Ethereum identificada por los investigadores es EIP-7702, una actualización de mayo de 2025 que permite que las billeteras comunes tomen prestado código de contratos inteligentes. Según Gizmodo, esa capacidad intervino en el ataque. Blockaid, una empresa de seguridad de blockchain, descubrió que el atacante agrupó 50 autorizaciones firmadas en una sola transacción. Ese mecanismo ayuda a explicar cómo se utilizó la característica, pero no demuestra por sí mismo que la actualización tenga una vulnerabilidad.

El efecto reportado fue un movimiento rápido de fondos incluso después de que Binance suspendiera los retiros. Teng dijo que, en Ethereum, una billetera perdió alrededor de 167.464 ETH y 1.600 millones de dólares en Tether. Un relato detallado del incidente indicó que Binance eliminó la delegación casi cuatro horas después. Estas cifras describen los activos de la billetera reportada y el momento en que se eliminó la delegación; no deben confundirse con un recuento completo de todas las pérdidas ni de los fondos recuperados.

El investigador de Ethlabs Derek Chiang sostuvo que EIP-7702 no está defectuosa, aunque reconoció que hizo que el robo fuera más rápido y eficiente. Esa distinción importa: una característica puede ofrecer una capacidad útil y, aun así, influir en el funcionamiento de una explotación cuando los atacantes obtienen la autorización necesaria. La fuente no establece que los usuarios comunes de la actualización fueran el objetivo ni identifica un defecto en la propia característica.

Lo que revela el incidente sobre el riesgo de custodia

El relato plantea una pregunta aparte sobre quién puede firmar transacciones y cómo se protegen esos sistemas de firma. Teng dijo que los atacantes accedieron al sistema que autorizaba las transacciones de las billeteras, mientras que la evaluación de Chiang centra la atención en cómo se usó la función, más que en un defecto inherente. Si una revisión independiente confirma que los firmantes fueron comprometidos, la preocupación central sería el diseño de custodia del exchange, no simplemente la presencia de EIP-7702.

Esta distinción es relevante para los clientes de exchanges porque los sistemas de custodia controlan cómo se autoriza el movimiento de los activos que se guardan en una plataforma. La fuente afirma que los usuarios de billeteras compatibles con EIP-7702, como MetaMask, no tienen por qué alarmarse, pero esa tranquilidad refleja la opinión de Chiang, no una conclusión de la revisión independiente prometida. El relato no aporta pruebas de que esos usuarios de billeteras estuvieran expuestos al mismo riesgo que el sistema de firma de Binance.

En la descripción de Teng, las herramientas de IA aparecen como parte de la ruta que siguieron los atacantes por el entorno interno de Binance y como herramientas utilizadas en la campaña. Su presencia aporta contexto a la secuencia descrita, pero la fuente no especifica exactamente cómo se utilizó la IA ni afirma que esta causara la brecha por sí sola. La lección práctica que se desprende de este relato es limitada: las herramientas internas y las vías de acceso formaron parte de la narración del ataque y merecen ser examinadas con atención.

Medidas de recuperación y preguntas sin resolver

Binance afirma que ha repuesto el 98 % de los activos afectados, reconstruido su sistema de billeteras, sustituido dispositivos y cancelado las credenciales vinculadas. Estas medidas indican una respuesta dirigida tanto a restaurar los activos afectados como a modificar o eliminar elementos asociados con el entorno comprometido. La fuente no explica cómo se calculó la reposición, no identifica el monto restante de los activos afectados ni ofrece un calendario para completar todas las tareas de recuperación.

La empresa también afirma que está colaborando con las fuerzas del orden y socios del sector para rastrear y congelar los fondos robados. Ese trabajo es distinto de reponer los activos: el rastreo y la congelación dependen de localizar los fondos y de posibles intervenciones, mientras que la reposición descrita corresponde a una medida de recuperación propia de Binance. El relato disponible no indica qué cantidad, si la hubiera, de las criptomonedas robadas se ha congelado o recuperado gracias a esos esfuerzos conjuntos.

La revisión independiente sigue siendo una parte clave de la historia aún sin resolver. Teng ha prometido realizarla, y sus conclusiones podrían aclarar si los atacantes vulneraron un sistema de firma o si un fallo del propio EIP-7702 contribuyó al incidente. Esas posibilidades apuntarían a fuentes de riesgo distintas, pero ninguna está confirmada aquí. Hasta que la revisión aporte más detalles, este relato aconseja cautela ante las conclusiones que atribuyan la culpa únicamente a la función de Ethereum o únicamente a la custodia del exchange.

Fuente: BeInCrypto