Los atacantes que sustrajeron criptomonedas de Binance pagaron unos 15 dólares en comisiones de Ethereum para registrar un permiso sobre una billetera de la plataforma, informó Bloomberg. Poco después usaron esa autorización para mover activos valorados en aproximadamente 2,500 millones de dólares en una sola transacción, según la firma de seguridad Blockaid.
La transferencia representa cerca del 40 % de los 6,300 millones de dólares en activos afectados que Binance calculó inicialmente tras el ataque del 29 de octubre de 2026. La cifra de 15 dólares corresponde a un paso concreto de la operación: los intrusos ya habían conseguido acceso al sistema de firmas de la empresa.
Qué cubrió la comisión de 15 dólares
Según Bloomberg, la comisión se pagó para registrar en Ethereum la autorización que permitió a un programa controlado por los atacantes actuar en nombre de la billetera. Esa operación no trasladó dinero por sí misma; estableció el permiso que se utilizó después.
La cantidad no describe el costo de toda la campaña ni el precio de acceso a Binance. En su investigación inicial, la plataforma explicó que los intrusos comprometieron equipos de ingenieros y después obtuvieron acceso no autorizado a un servicio interno que firma transacciones. La investigación seguía sujeta a una revisión independiente.
El permiso aprovechó EIP-7702, una función incorporada a Ethereum en 2025 que permite a una cuenta autorizar la ejecución de código de un contrato inteligente. En este caso, la autorización se dirigió a código controlado por los atacantes. La función requiere una autorización firmada por la cuenta; el reporte de Binance sitúa su uso después de la intrusión en sus sistemas.
La billetera afectada, conocida como Binance 14, estaba conectada a internet y se usaba para procesar movimientos de la plataforma. Una billetera de este tipo mantiene activos disponibles para operaciones, a diferencia del almacenamiento desconectado.
Qué salió de la billetera en una transacción
Blockaid reconstruyó la secuencia a partir de la actividad registrada en la cadena de bloques. Según su análisis, la autorización se activó y, tres minutos y 24 segundos más tarde, los atacantes ejecutaron la transferencia principal desde Binance 14.
Esa operación movió unos 167,464 ether, aproximadamente 1,615 millones de USDT y alrededor de 60 tokens adicionales. Los USDT son una moneda estable diseñada para mantener un valor cercano al dólar. Blockaid estimó que el conjunto valía unos 2,500 millones de dólares a los precios de ese momento; las cantidades individuales forman parte de ese total.
El resto del ataque abarcó varias redes y billeteras. TRM Labs identificó también transferencias firmadas de forma ordinaria desde otras cuentas, por lo que la delegación de Ethereum no explica por sí sola cada salida incluida en el cálculo global.
La misma autorización sobre Binance 14 dio acceso a una cuenta separada de la plataforma. TRM rastreó después la salida de 823 millones de USDC desde esa cuenta e indicó que Circle, el emisor de la moneda estable, congeló esos fondos. Esa cifra corresponde a movimientos posteriores y no debe sumarse al monto total de 6,300 millones como si fuera un robo adicional.
El permiso siguió activo tras suspender los retiros
Binance explicó que pausar los retiros no anuló automáticamente la autorización, porque esta ya estaba registrada en Ethereum y funcionaba fuera de su sistema habitual de retiros. Mientras permaneció activa, los atacantes pudieron volver a mover activos que llegaban a la billetera.
La empresa afirmó que la configuración de firma distribuida de la cuenta exigió preparar un procedimiento específico para retirar el permiso. Binance señaló que lo revocó a las 00:10 UTC del 30 de octubre; una revisión de GCSA también identificó la revocación en Ethereum.
Patricia Rodriguez
Un portavoz de Binance dijo a Bloomberg que la empresa reconstruyó la infraestructura de las billeteras afectadas y actualizó sus controles de firma y monitoreo, incluidas medidas para revocar autorizaciones en una emergencia.
El 4 de noviembre, Binance afirmó que había repuesto aproximadamente el 98 % del monto afectado con recursos de la empresa y que seguía adquiriendo los activos restantes. Esa reposición cubre el faltante con otros recursos: no significa que se haya recuperado el mismo porcentaje de las criptomonedas sustraídas.
