Binance, hackeada: el robo que puede ser el más grande de la historia cripto

Binance, el exchange cripto más grande del mundo, pasó este jueves 29 de octubre por algo que hasta ahora le tocaba a otros: un hackeo multimillonario. Al cierre de esta nota, la empresa todavía no había confirmado cuánto se llevaron. Lo que sí está confirmado es que hay US$ 2.540 millones congelados, que suspendió depósitos y retiros y que su fundador, Changpeng Zhao (CZ), lo dijo sin vueltas: "parece un hackeo a Binance".

Qué pasó

Las primeras alertas salieron de la comunidad on-chain. El investigador Spreek avisó en X que una wallet de Ethereum vinculada a Binance había mandado fondos a una dirección recién creada, mediante un contrato que, según él, se había financiado con Tornado Cash. Según el análisis que levantó BleepingComputer, la hot wallet conocida como "Binance 14" movió unos US$ 2.530 millones en 64 tokens. Veinticuatro segundos después salieron otros US$ 174,4 millones de una segunda wallet.

Según CoinDesk, el atacante usó EIP-7702, una función de Ethereum que permite delegar el control de una wallet a un programa. Consiguió que la clave de Binance 14 firmara ese permiso y convirtió la wallet en una aspiradora que reenviaba a su dirección todo lo que entraba. Etherscan registra 167.464 ETH saliendo de Binance 14 a las 17:24 (hora argentina) y otros 28.005,6 ETH desde Binance 16.

¿Cuánta plata es?

Acá hay que tener cuidado con los números. Arkham Intelligence agrupó 55 direcciones bajo la etiqueta "binance-hacker-1029", con unos US$ 5.800 millones en activos. Entre ellos hay aproximadamente US$ 1.770 millones en USDT, US$ 1.440 millones en bitcoin, US$ 876 millones en ether y US$ 823 millones en USDC. Pero esa cifra mide lo que tienen las wallets, no un monto robado confirmado. Si se confirma algo de ese tamaño, dejaría muy atrás los US$ 1.500 millones que hackers norcoreanos le sacaron a Bybit en febrero de 2025, el récord hasta ahora.

El dato oficial de Binance, según Cointelegraph, es que hay US$ 2.540 millones congelados verificados y que el número puede crecer. Paolo Ardoino, de Tether, habló de más de US$ 1.570 millones en USDT congelados, y Jeremy Allaire, de Circle, de más de US$ 800 millones en USDC. Ripple y World Liberty Financial también colaboraron con los congelamientos.

¿Y la plata de los usuarios?

"Los fondos de los usuarios están completamente a salvo", repitió Binance, según AP. CZ, que ya no maneja la empresa, dijo que como accionista espera que todos los fondos de los usuarios queden "totalmente cubiertos". En la práctica, eso significa que Binance va a respetar los saldos aunque los activos que los respaldaban hayan volado.

El colchón, sin embargo, era finito. Según CoinDesk, al 1 de octubre Binance tenía exactamente el ETH necesario para cubrir los saldos de sus clientes, un 100% de reserva. Los aproximadamente 204.500 ETH que se llevaron son alrededor del 5,6% de esas reservas, así que el respaldo en ETH quedó cerca del 94%. Binance.US no fue afectado.

¿Cómo entraron?

Todavía no hay informe oficial. Ido Ben-Natan, CEO de Blockaid, dijo a Cointelegraph que su evaluación preliminar apunta a un "mal uso de la clave": alguien habría comprometido la infraestructura de firma para autorizar transacciones maliciosas, sin robar la clave privada. "No creemos que se haya filtrado una clave", dijo. Mientras tanto, el atacante no se quedó quieto: tomó prestados unos 20.000 WETH en Aave usando USDT robados como garantía.

Binance prometió publicar un post-mortem. Hasta entonces, la moraleja de siempre sigue vigente: si no son tus claves, no son tus criptos. Aunque, por lo visto, a veces ni siquiera las claves alcanzan.