El hackeo de Binance ha expuesto cómo un atacante utilizó una única autorización exitosa de una billetera Ethereum para tomar el control de una billetera importante del exchange, ya que Binance estima que la brecha de seguridad del 29 de octubre afectó aproximadamente $6.3 mil millones en criptomonedas.
Resumen
- Binance estima que el incidente de seguridad del 29 de octubre afectó aproximadamente $6.3 mil millones en criptomonedas.
- Blockaid rastreó el ataque hasta 50 autorizaciones EIP-7702, con una dirigida exitosamente a la billetera caliente Binance 14.
- La investigación inicial de Binance apunta a la laptop de un ingeniero de DevOps comprometida, pero el exchange no encontró evidencia de una clave privada filtrada.
- Tether y Circle congelaron más de $2.3 mil millones en stablecoins vinculadas al ataque, mientras que Binance reportó aproximadamente $3 mil millones congelados en diversos activos.
- Binance suspendió los depósitos y retiros durante las verificaciones de seguridad y se comprometió a cubrir las pérdidas a través de su fondo SAFU y las reservas de la empresa.
Según la firma de seguridad blockchain Blockaid, el atacante explotó el mecanismo de autorización EIP-7702 de Ethereum para redirigir la billetera caliente Binance 14, ampliamente utilizada, a un contrato inteligente malicioso. El atacante envió 50 autorizaciones en una transacción, pero solo una coincidió con el contador de transacciones de la billetera y activó exitosamente el contrato.
La actualización de seguridad de Binance del 30 de octubre identificó la laptop de un ingeniero de DevOps potencialmente comprometida como el punto de entrada inicial. El exchange dijo que aproximadamente $3 mil millones en activos afectados habían sido congelados y se comprometió a cubrir las pérdidas de los clientes.
El hackeo de Binance utilizó 50 autorizaciones para tomar el control de la billetera caliente
La investigación de Blockaid identificó una transacción de Ethereum enviada a las 20:20:59 UTC del 29 de octubre, que contenía 50 autorizaciones EIP-7702 dirigidas a Binance 14.
EIP-7702 permite que una billetera Ethereum ordinaria delegue la ejecución de transacciones a código de contrato inteligente. Cada autorización debe coincidir con el nonce actual de la billetera, un contador de transacciones que cambia a medida que la cuenta procesa transacciones.
Debido a que Binance 14 estaba manejando retiros activamente, el atacante no podía predecir de manera confiable su nonce. Las autorizaciones enviadas cubrieron valores consecutivos entre 18,914,775 y 18,914,824, aumentando la probabilidad de que una coincidiera cuando Ethereum procesara la transacción.
Solo una autorización tuvo éxito. Dirigió la billetera a un contrato no verificado que permitía a una dirección controlada por el atacante ejecutar una función llamada sweep(), transfiriendo ETH y tokens ERC-20 mientras retenía 1 ETH para tarifas de transacción.
La delegación maliciosa podría haber expuesto depósitos posteriores hasta que Binance la eliminara. El exchange confirmó posteriormente que había revocado la autorización afectada.
Ataques previos a billeteras EIP-7702 habían demostrado riesgos similares, incluido un incidente del 14 de octubre en el que una cuenta Ethereum comprometida perdió aproximadamente $22,770 en ETH.
Binance afirma que un portátil comprometido podría haber permitido retiros no autorizados
La investigación preliminar de Binance identificó un posible compromiso del portátil de un ingeniero de DevOps, lo que podría haber dado al atacante acceso a un contenedor de servicio interno utilizado para enviar transacciones de retiro.
El exchange dijo que los investigadores no habían encontrado evidencia de que se hubiera filtrado ninguna clave privada de billetera, aunque no habían establecido con precisión cómo el atacante obtuvo las autorizaciones necesarias para redirigir Binance 14.
Los registros de blockchain examinados por Blockaid mostraron preparativos que comenzaron antes del robo principal. El atacante financió una dirección operativa mediante tres retiros de Tornado Cash y desplegó el contrato malicioso varias horas antes de usarlo contra Binance.
A aproximadamente las 20:24 UTC, el atacante vació Binance 14 de criptomonedas por un valor de aproximadamente 2.500 millones de dólares. Las transferencias incluyeron 167.464 ETH, más de 1.600 millones de USDT y docenas de otros tokens.
Transferencias adicionales involucraron Binance 16 y otra billetera caliente de Ethereum que contenía USDC. La operación se extendió por varias redes blockchain, incluidas Bitcoin, Tron, Arbitrum y Avalanche.
Investigaciones anteriores sobre delegaciones maliciosas de billeteras habían identificado contratos automatizados diseñados para transferir activos desde cuentas comprometidas tras la actualización Pectra de Ethereum.
Tether y Circle congelan miles de millones vinculados al hackeo de Binance
Tras el ataque, los emisores de criptomonedas comenzaron a restringir el acceso a activos asociados con direcciones sospechosas.
El CEO de Tether, Paolo Ardoino, confirmó que el emisor de stablecoins había congelado más de 1.567 millones de USDT conectados a la presunta brecha. El CEO de Circle, Jeremy Allaire, informó por separado la congelación de más de 800 millones de USDC mientras coordinaba con las autoridades.
El ejecutivo de stablecoins de Ripple, Jack McDonald, dijo que la compañía estaba trabajando con las partes relevantes para congelar las tenencias de RLUSD afectadas.
Mientras tanto, el Consejo de Seguridad de Arbitrum informó la transferencia de 74.559.805 ARB y 8.425 ETH desde una dirección vinculada al ataque a una billetera intermediaria restringida. La organización dijo que los activos solo podrían moverse tras una acción adicional del consejo o una decisión de gobernanza del Arbitrum DAO.
La respuesta coordinada dejó aproximadamente 3.000 millones de dólares congelados entre los activos afectados, según la última estimación de Binance.
Binance promete cubrir las pérdidas mientras continúa la investigación
Binance suspendió temporalmente los depósitos y retiros mientras realizaba controles de seguridad y trabajaba con empresas de inteligencia blockchain y las autoridades.
El exchange dijo que utilizaría su Fondo de Activos Seguros para Usuarios (SAFU) y fondos de la compañía para cubrir las pérdidas. Se publicará una Prueba de Reservas actualizada una vez completada la remediación.
El fundador de Binance, Changpeng Zhao, reconoció públicamente la presunta brecha y dijo: «¡Los fondos de los usuarios están seguros!». Añadió que ya no gestionaba el exchange pero esperaba que los clientes quedaran totalmente cubiertos.
La filial estadounidense del exchange declaró por separado que sus operaciones no se vieron afectadas por el incidente.
Binance dijo que los investigadores continuaban estableciendo cómo el atacante accedió a sus sistemas internos y obtuvo las autorizaciones de la billetera. La compañía planea publicar un análisis técnico detallado posterior al incidente tras completar su investigación.
