El ataque informático contra Binance ocurrido el 29 de octubre de 2026 puso en evidencia los riesgos de seguridad que enfrentan los exchanges de criptomonedas. Los atacantes consiguieron comprometer sistemas internos relacionados con la autorización de transacciones y utilizaron mecanismos avanzados para transferir activos digitales desde billeteras calientes.
De acuerdo con el informe publicado por Binance el 3 de noviembre, el incidente afectó aproximadamente 6.340 millones de dólares en activos digitales.
Lo más importante de este acontecimiento es que no se trató simplemente de robar una contraseña o una clave privada. El ataque combinó ingeniería social, malware, robo de credenciales, acceso a herramientas internas y manipulación de autorizaciones mediante una función de Ethereum conocida como EIP-7702.
A continuación, explicamos cómo funcionó esta técnica y por qué consiguió superar varios mecanismos de seguridad.
1. Ingeniería social: el primer paso del ataque
Una de las técnicas utilizadas fue la ingeniería social, un método mediante el cual los atacantes engañan a las personas para conseguir información confidencial o acceso a sus dispositivos.
En este caso, según la investigación de Binance, se utilizaron falsas entrevistas laborales para establecer contacto con empleados de la compañía.
Durante una de estas interacciones, un trabajador recibió una supuesta prueba técnica que contenía código malicioso. Al descargar y ejecutar el proyecto en su computadora de trabajo, se inició el proceso de infección.
Este procedimiento permitió introducir malware en un dispositivo utilizado para actividades de desarrollo de software.
2. Malware y robo de credenciales
El siguiente paso consistió en aprovechar el dispositivo comprometido para obtener acceso a recursos internos.
El programa malicioso utilizó técnicas de ocultación para dificultar su detección por las herramientas de seguridad. Entre sus acciones se encontraba la sustitución de componentes legítimos de herramientas de desarrollo por versiones modificadas.
De esta manera, los atacantes consiguieron ejecutar instrucciones y establecer comunicación con servidores externos.
Posteriormente, aprovecharon las credenciales y los permisos disponibles para acceder a otros sistemas relacionados con la infraestructura de billeteras de Binance.
3. Compromiso del servicio de firma de transacciones
Este fue uno de los puntos más importantes del ataque.
Los exchanges utilizan sistemas especializados para autorizar las transferencias de criptomonedas desde sus billeteras calientes. Estos mecanismos verifican las operaciones y generan las firmas criptográficas necesarias para transmitirlas a las redes blockchain.
En el incidente de Binance, los atacantes consiguieron acceder de manera no autorizada a un servicio interno de firma.
Esto les permitió conseguir autorizaciones para realizar transferencias que no correspondían al procedimiento normal de retiros solicitado por los usuarios.
Es importante destacar que Binance no informó de una filtración directa de todas las claves privadas de sus billeteras. El problema estuvo relacionado con la manipulación de su infraestructura de autorización.
4. EIP-7702: la función de Ethereum utilizada para ejecutar el ataque
Uno de los elementos técnicos más importantes fue la utilización de EIP-7702, una propuesta de mejora de Ethereum incorporada con la actualización Pectra en mayo de 2025.
Esta función permite que una cuenta tradicional de Ethereum (EOA) delegue determinadas capacidades de ejecución a un contrato inteligente sin dejar de ser una cuenta convencional.
Su objetivo es mejorar la flexibilidad de las billeteras y permitir operaciones más avanzadas, como agrupar varias acciones en una misma transacción.
Sin embargo, durante el ataque a Binance, esta funcionalidad fue aprovechada de manera maliciosa.
El procedimiento consistió en:
- Preparar autorizaciones criptográficas que permitieran modificar las capacidades de ejecución de una billetera caliente.
- Utilizar esas autorizaciones para vincular la billetera con un contrato inteligente controlado por los atacantes.
- Conseguir que el contrato ejecutara operaciones sobre los activos disponibles.
- Transferir las criptomonedas hacia direcciones externas sin seguir el procedimiento habitual de retiros del exchange.
Según el informe de Binance, se utilizaron 50 autorizaciones firmadas previamente para manipular el mecanismo de delegación.
En consecuencia, una billetera que normalmente estaba protegida por los controles internos de la plataforma terminó permitiendo ejecuciones no autorizadas.
5. ¿Por qué fue difícil detener el ataque?
Uno de los mayores problemas fue que las autorizaciones maliciosas quedaron registradas directamente en la blockchain.
Esto significa que suspender los retiros desde la plataforma no era suficiente para detener todas las operaciones.
Binance utilizaba tecnología MPC (Multi-Party Computation), un sistema que distribuye el proceso de firma criptográfica entre diferentes participantes para evitar que una única entidad tenga acceso a una clave privada completa.
Aunque esta tecnología ofrece importantes ventajas de seguridad, también complicó la revocación inmediata de las autorizaciones maliciosas.
La compañía tuvo que desarrollar un procedimiento específico para eliminar los permisos introducidos mediante EIP-7702.
6. ¿Qué medidas de seguridad se pueden aprender de este ataque?
El incidente demuestra que proteger las criptomonedas requiere mucho más que almacenar las claves privadas de forma segura.
Entre las principales medidas que pueden ayudar a prevenir ataques similares destacan:
- Protección de dispositivos: implementar sistemas avanzados para detectar programas maliciosos.
- Verificación de identidad: reforzar los controles durante entrevistas y procesos de contratación.
- Control de permisos: limitar el acceso de los empleados a los sistemas críticos.
- Supervisión de transacciones: detectar operaciones inusuales antes de que sean ejecutadas.
- Auditorías de contratos inteligentes: revisar periódicamente las autorizaciones y delegaciones existentes.
- Seguridad en herramientas de inteligencia artificial: proteger las plataformas internas que utilizan los desarrolladores.
Conclusión: el hackeo a Binance demuestra los riesgos de EIP-7702 y los sistemas de autorización
El ataque a Binance fue una operación informática de varias etapas que combinó ingeniería social, malware, robo de credenciales y manipulación de autorizaciones criptográficas.
La utilización de EIP-7702 permitió ejecutar transferencias no autorizadas desde una billetera caliente, demostrando que incluso las funciones diseñadas para mejorar la experiencia de los usuarios pueden convertirse en herramientas peligrosas cuando los sistemas que las controlan son comprometidos.
La principal enseñanza es que la seguridad de las criptomonedas no depende únicamente de proteger las claves privadas. También es indispensable proteger los dispositivos, las credenciales, los servicios de firma y los permisos que permiten ejecutar operaciones en las redes blockchain.
Fuentes de información
- Binance: Informe oficial del incidente de seguridad.
- TRM Labs: Investigación técnica del robo de criptomonedas a Binance.
- Ethereum Improvement Proposals: EIP-7702: Set EOA account code.
- CoinDesk: Investigación sobre el ataque informático a Binance.
