Binance anunció que ha reservado más de 6340 millones de dólares para cubrir las pérdidas derivadas del robo de criptomonedas por un valor aproximado de 6300 millones de dólares, mientras que los investigadores y las plataformas de intercambio rivales centraron su atención el viernes en los sistemas que autorizan las transacciones. En su última actualización, la plataforma indica que está adquiriendo tokens de reemplazo, manteniendo los retiros suspendidos durante las revisiones de seguridad y preparando nuevas divulgaciones de reservas.
Según la actualización oficial de la compañía , ya se han recuperado más de 5 mil millones de dólares en tokens, lo que representa aproximadamente el 80 % de los fondos robados. Estas son declaraciones de la compañía, no una verificación independiente de la restitución. Binance afirma que los retiros se reanudarán por fases y planea publicar los resultados iniciales de la prueba de reservas el lunes 2 de noviembre.
Las nuevas evidencias apuntan a un problema más amplio que el robo de una contraseña o la vulneración de un solo ordenador portátil. Los analistas afirman que los atacantes parecen haber obtenido acceso a la infraestructura capaz de aprobar transferencias entre múltiples cadenas de bloques. Binance ha reconocido la existencia de otros puntos de intrusión, pero asegura no haber encontrado pruebas de que las claves privadas de las carteras se hayan visto comprometidas.
El sistema de autorización se convierte en el objetivo
firma de investigación de blockchain TRM Labs rastreó aproximadamente 6360 millones de dólares que salieron de las billeteras de Binance, la mayoría de ellos moviéndose en unos 20 minutos a partir de las 20:05 UTC del 29 de octubre. Su análisis valoró las transferencias según el precio de los activos en el momento de su recepción. La firma identificó movimientos coordinados a través de diferentes redes y determinó que la infraestructura de firma de billeteras en caliente de la plataforma había sido comprometida.
Una billetera en caliente se utiliza para transacciones activas, a diferencia de un almacenamiento de claves fuera de línea. Según la interpretación de TRM, el atacante obtuvo la capacidad de hacer que los sistemas de Binance firmaran transferencias de su elección. Esto es importante porque una firma válida en la cadena de bloques puede autorizar una transferencia incluso cuando la instrucción comercial subyacente es fraudulenta. El registro de la cadena de bloques puede demostrar que la autorización se produjo sin necesidad de establecer que los controles humanos y de software habituales de la plataforma funcionaran correctamente.
Un análisis independiente de Elliptic llegó a una conclusión similar, estimando pérdidas de 6430 millones de dólares en 11 cadenas de bloques. Según este análisis, las transferencias firmadas ordinarias en múltiples redes sugieren un acceso a la infraestructura de firma, en lugar de un fallo de la criptografía en sí. Los diferentes totales reflejan investigaciones independientes y no deben considerarse como un único cálculo definitivo de las pérdidas.
Congelar activos es diferente a recuperarlos
Elliptic informó haber verificado 2840 millones de dólares en activos congelados, mientras que Binance cifró la cantidad congelada en aproximadamente 3000 millones de dólares. Estas cifras se publicaron en diferentes etapas de una respuesta rápida. Ninguna de las dos versiones implica que los fondos ya se hubieran devuelto a Binance o estuvieran disponibles para retiros de los clientes.
El rastreo de Elliptic también explica por qué la recuperación es desigual. Algunos emisores de tokens pueden restringir las transferencias que involucran sus activos, mientras que los activos nativos como bitcoin y ether no tienen un único emisor con autoridad equivalente para congelarlos. Los investigadores observaron movimientos hacia activos que no podían congelarse directamente. Los registros de transacciones visibles pueden ayudar al rastreo, pero la visibilidad y el control son capacidades diferentes.
Las plataformas conectadas buscan contener la exposición
La respuesta se extendió más allá de la plataforma de intercambio. En un informe de gobernanza, el proveedor de servicios de gestión de riesgos LlamaRisk declaró que se unió a Aave Labs y otros proveedores en una respuesta de emergencia después de que una billetera vinculada a un atacante depositara stablecoins robadas y solicitara préstamos con ellas como garantía. Informó de congelamientos coordinados en los mercados de préstamos de Aave para evitar la emisión y el endeudamiento adicionales.
El informe diferenció esta acción de un cierre total: los reembolsos, retiros y liquidaciones seguían disponibles. También indicó que la posición identificada del atacante estaba sobregarantizada y, en ese momento, no ponía en riesgo a los proveedores de Aave. Estas son las evaluaciones del equipo de respuesta sobre una posición específica, y no constituyen prueba de que todas las plataformas conectadas a los fondos robados estén libres de riesgos.
Las bolsas se enfrentan a un problema de confianza operativa
Según Reuters , Coinbase realizó ajustes preventivos en sus sistemas de almacenamiento de claves sin conexión y Kraken analizó las lecciones aprendidas de incidentes en el sector. Los ejecutivos también solicitaron un intercambio de información más rápido y una detección coordinada. Estas reacciones reflejan la preocupación generalizada en el sector, pero no confirman que ninguna de las dos empresas rivales haya sufrido la misma brecha de seguridad.
El escrutinio independiente también complica la distinción que hace Binance entre su propia billetera digital y el dinero de sus clientes. CoinDesk informó que se habían detectado billeteras comprometidas en los listados de datos de reserva que respaldan los saldos de los clientes. La promesa de Binance de absorber la pérdida no aclara quién paga en última instancia; por sí sola, no explica los acuerdos de custodia ni demuestra que todas las responsabilidades estén totalmente cubiertas.
Los hallazgos técnicos siguen siendo preliminares. TRM atribuye el ataque a TraderTraitor, vinculado a Corea del Norte, con un alto grado de certeza, mientras que Elliptic afirma que es probable la participación de entidades vinculadas a Corea del Norte. Estas son las conclusiones de atribución de investigadores privados. El registro público revisado para este artículo no incluye una atribución gubernamental completa ni un análisis técnico final de Binance.
Las siguientes pruebas son verificables
Los hitos inmediatos son la restauración de los retiros, la publicación de las reservas actualizadas y un informe técnico que explique cómo las instrucciones no autorizadas eludieron los controles de transacciones. Binance afirma que está reforzando la infraestructura afectada y que publicará más información una vez verificada. La reapertura prevista es un objetivo, no una prueba de que la solución haya sido exitosa.
Las pruebas recabadas hasta el momento demuestran un robo de gran magnitud y una respuesta que incluyó la reposición de activos, la congelación de emisores y restricciones en los mercados de crédito conectados. Sin embargo, aún no se ha determinado la secuencia completa de la intrusión, el monto que finalmente se recuperará ni la durabilidad de los controles reparados. Estas distinciones determinarán si las garantías de la bolsa se materializan en resultados demostrables.
