Los hackers toman el control de la billetera de Binance por una tarifa de $15 y retiran $2.5 mil millones

Bloomberg, citando una investigación de la firma de ciberseguridad Blockaid, informó que el ataque a la billetera caliente Binance 14 costó a los hackers aproximadamente $15 en tarifas de la red Ethereum. Esta cantidad fue suficiente para obtener el control sobre la billetera y retirar activos por valor de $2.5 mil millones. Binance 14 se utilizaba para retiros de clientes.

Los atacantes utilizaron EIP-7702, un mecanismo introducido en Ethereum con la actualización Pectra en mayo de 2025. Permite a las billeteras regulares delegar el derecho de ejecutar operaciones a contratos inteligentes, de modo que el usuario no tenga que firmar cada acción. Si el sistema de gestión de almacenamiento se ve comprometido, el mecanismo permite múltiples transferencias sin confirmaciones adicionales.

El 29 de octubre, alrededor de las 20:20 UTC, los atacantes enviaron una transacción con 50 permisos EIP-7702, firmados por la infraestructura comprometida de Binance. Cada permiso correspondía a un número de secuencia de operación de billetera específico. La dirección estaba constantemente activa, por lo que los atacantes no sabían qué firma funcionaría; una resultó ser válida. El control de la billetera fue transferido al contrato inteligente malicioso, y los hackers pagaron alrededor de $15 por configurar la delegación. La operación en sí no implicó la transferencia de fondos, pero otorgó acceso a los activos de Binance 14.

Tres minutos y 24 segundos después, a las 20:24 UTC, los atacantes activaron el contrato y en una sola transacción retiraron 167,464 ETH, alrededor de 1.615 mil millones de USDT y aproximadamente 60 otros tokens. El valor total de los activos robados fue de alrededor de $2.5 mil millones. Dan Caspi, CTO de Hypernative, explicó a Bloomberg que EIP-7702 permitió una rápida retirada y mantuvo el control sobre la billetera incluso después de que se detectara el ataque.

El permiso era válido en la red Ethereum independientemente de los sistemas internos del intercambio. A medida que se enviaban nuevos fondos a la dirección de Binance 14, los atacantes podían retirarlos sin recuperar el acceso al sistema de firmas. Según la firma de análisis Elliptic, utilizando este mecanismo, los hackers movieron alrededor de $3.6 mil millones, incluyendo los $2.5 mil millones iniciales; otros $823 millones fueron retirados de otra billetera de Binance. La última transferencia no autorizada ocurrió a las 23:56 UTC del 29 de octubre, y la delegación fue eliminada a las 00:10 UTC del día siguiente.

Un representante de Binance confirmó a Bloomberg que EIP-7702 jugó un papel significativo. Según él, el intercambio revocó los permisos maliciosos, reestructuró la infraestructura afectada, fortaleció el control sobre la firma de transacciones e implementó herramientas de monitoreo y revocación de emergencia. El ataque no estuvo relacionado con una violación de la criptografía de Ethereum: se utilizaron permisos válidos obtenidos debido al compromiso de los sistemas internos de Binance. Aproximadamente $2.85 mil millones fueron congelados o interceptados con la ayuda de emisores de tokens y otros participantes de la industria; Binance asumió las consecuencias financieras.

El Buró Federal de Investigaciones (FBI) culpó al grupo norcoreano TraderTraitor, vinculado a Lazarus. Las autoridades norcoreanas negaron las acusaciones. Después de la reanudación de los intercambios en THORChain, las billeteras asociadas con el hackeo continuaron convirtiendo los fondos robados en Bitcoin.