El mayor robo cripto de la historia: cómo hackearon a Binance por más de US$6.300 millones

El jueves 29 de octubre, desde las 17:00 hora de Uruguay, fondos empezaron a salir de billeteras de Binance en diez blockchains. En pocos minutos, el mayor exchange del mundo perdió más de US$6.300 millones. Es el mayor robo cripto de la historia. El ataque se preparó al menos 36 horas antes. Según TRM Labs, el 28 de octubre una billetera operadora recibió tres retiros chicos desde Tornado Cash, un servicio que oculta el origen de los fondos. Al día siguiente probaron el código en dos billeteras y ensayaron la versión final en una tercera. Cuatro horas después, ese mismo código quedó instalado en una billetera caliente de Binance. El truco principal ocurrió en Ethereum. Desde 2025, una función llamada EIP-7702 permite que una billetera firme una autorización para ejecutar el código de un contrato. El atacante envió en una sola transacción 50 autorizaciones, todas firmadas por la billetera caliente de Binance, apuntando a un contrato barredor que solo obedecía al atacante. Preparó 50 porque esa billetera mueve retiros sin parar y su contador cambia constantemente: al menos una firma tenía que calzar. Calzó una. Tres minutos y 24 segundos después, ordenó enviar todo el saldo: 167.464 ETH y 63 tokens, entre ellos 1.615 millones de USDT. Luego siguió barriendo los fondos nuevos que llegaban. Pero no fue solo Ethereum. En esa misma media hora, billeteras de Binance en otras nueve redes, con distintos tipos de claves y firmas, también enviaron fondos al atacante mediante transferencias firmadas comunes. Para TRM, la explicación más probable es que el atacante logró que el sistema de firma de las billeteras calientes de Binance firmara lo que él pidiera. La batería de 50 firmas sugiere que el acceso pudo ser limitado en el tiempo o que había que solicitarlas a un sistema. Binance informó que su investigación inicial apunta a la laptop comprometida de un ingeniero de DevOps, que habría permitido acceder a un contenedor de servicio y enviar retiros no autorizados. La empresa no había publicado una causa raíz definitiva. Los especialistas destacan que no hackearon la blockchain: lo vulnerado fue el sistema con que la plataforma custodia y firma, no las redes en sí. El atacante tenía contra el reloj las stablecoins, que sus emisores pueden congelar. Para escapar, vendió unos US$325 millones en stablecoins a cambio de ETH con un fuerte descuento, y pidió ETH prestado en Aave dejando USDT como garantía. Aun así, los congelamientos empezaron esa misma noche: Tether congeló unos 1.770 millones de USDT; Circle, unos 825 millones de USDC; Ripple, 40,5 millones de RLUSD; World Liberty Financial, 27,8 millones de USD1; y el Consejo de Seguridad de Arbitrum, 8.426 ETH y 74,6 millones de ARB, unos US$30 millones. En total se congelaron unos US$2.700 millones según TRM, US$2.800 millones según Chainalysis y unos US$3.000 millones según Binance. Lo que no se puede congelar es Bitcoin y gran parte del Ether: TRM calcula que el atacante conserva más de 420.000 ETH y 18.270 BTC, unos US$2.400 millones. Chainalysis ve un lavado automatizado, con miles de transacciones que rebotan entre direcciones. El impacto en el mercado no se hizo esperar: el Bitcoin cayó hasta la zona de US$77.000–78.000, su nivel más bajo desde septiembre según Bloomberg Línea. Binance.US, la rama para residentes de Estados Unidos, informó que no fue comprometida. Según Bloomberg, la cofundadora Yi He dijo que los retiros se esperaban reanudar para el domingo 1 de noviembre. Todavía no se sabe la causa raíz, es decir, cómo obtuvo el atacante el acceso a la infraestructura de firma. El monto final robado varía según la fuente y el precio con que se valúe, entre US$6.300 y US$6.400 millones. Cuánto se recuperará es incierto: TRM espera que ahora los fondos pasen por puentes entre redes, servicios de intercambio y mesas OTC. Y si Binance podrá absorber la pérdida como promete: dijo tener reservados más de US$6.340 millones de fondos propios. Para el usuario uruguayo, según Binance, los fondos de los clientes están cubiertos, pero la lección es de riesgo de custodia: cuando se deja la plata en un exchange, se depende de su seguridad interna. Esto no es una recomendación financiera. Un punto a verificar: Binance tiene presencia comercial en Uruguay desde 2021 y el Banco Central la citó en 2022 por publicidad de cripto como ahorro; no se confirmó cuál es hoy el marco regulatorio ni si el BCU o la Superintendencia emitieron algún comunicado por este caso. Esto fue parte del resumen informativo de Código Público.