Robo de $6.300 millones en Binance por delegación EIP-7702 – 2026-10-30

Introducción: 6300 millones de dólares robados, el robo más grande en la historia de los exchanges de criptomonedas, ejecutado mediante un vector de ataque nunca visto antes

Entre las 20:20 y las 23:36 UTC del 29 de octubre de 2026, la hot wallet global de Binance fue vaciada sistemáticamente: se transfirieron activos por un valor total estimado de 6280–6300 millones de dólares estadounidenses en 8 blockchains. Este es el robo individual más grande jamás registrado en un exchange de criptomonedas (el récord anterior era el robo de 7000 BTC de Binance en 2019, equivalente a unos 41 millones de dólares estadounidenses; este nuevo incidente representa un aumento de 153 veces). Lo que resulta aún más impactante es la técnica empleada: los atacantes no descifraron ninguna clave privada mediante métodos matemáticos, sino que obtuvieron acceso al servicio de firmas al comprometer la computadora portátil de un ingeniero DevOps. Luego, aprovecharon el mecanismo de autorización delegada EIP-7702 para que la principal hot wallet de Ethereum de Binance —«Binance 14»— firmara 50 transacciones de tipo 4, cediendo de forma permanente al contrato «sweep» desplegado por los atacantes el control total sobre la ejecución de código de dicha billetera. Desde la firma de la autorización delegada hasta la transferencia masiva de 250 millones de dólares en ETH y USDT en una sola operación, todo el ataque tardó tan solo 3 minutos y 24 segundos. El sistema de detección AI de Blockaid emitió una alerta en menos de 2 minutos tras la ejecución del «sweep», identificó con certeza, en 11 minutos, tanto la usurpación de los permisos de firma como el uso del mecanismo EIP-7702, y en una hora marcó como maliciosas todas las direcciones controladas por los atacantes. Según el comunicado oficial de Binance, el impacto total asciende a aproximadamente 6300 millones de dólares; ya se han congelado unos 3000 millones de dólares en colaboración con socios on-chain (Tether: 1567 millones de dólares en USDT + Circle: 822 millones de dólares en USDC + RLUSD de Ripple + Paxos + World Liberty, entre otros), pero aún quedan unos 3270 millones de dólares en BTC/ETH/XRP/SOL y otras criptomonedas no stablecoin que pueden transferirse libremente. Binance ha suspendido por completo los depósitos y retiros, y ha declarado que asumirá todas las pérdidas mediante el fondo SAFU y fondos corporativos, asegurando que «los fondos de los usuarios están seguros».

Línea temporal del ataque: 3 minutos y 24 segundos, desde la autorización EIP-7702 hasta la transferencia masiva de 250 millones de dólares

Ruta técnica utilizada por los atacantes (verificada mediante múltiples fuentes independientes: análisis técnico de Blockaid publicado el 30 de octubre de 2026 a las 02:30 UTC; informe de ChainCatcher por Dickson Wu, 30 de octubre de 2026 a las 08:00 UTC; comunicado de avance de Binance, 30 de octubre de 2026 a las 10:00 UTC):

1. Noche del 28 de octubre UTC — Preparación: la billetera principal del atacante extrajo 0,1 ETH en tres ocasiones desde Tornado Cash (solo suficiente para cubrir las tarifas de gas);
2. 29 de octubre UTC, de 13:51 a 16:47 — Simulacro: el atacante realizó íntegramente la secuencia «delegate-and-sweep» en tres billeteras de prueba bajo su control, moviendo cada vez entre 2 y 6 dólares para probar tanto el mecanismo de autorización EIP-7702 como la función «sweep»;
3. 29 de octubre UTC, a las 15:59 — Despliegue del contrato «sweeper»: dirección del contrato 0x63e8…6fAe, código fuente no verificado; la dirección del operador coincide con la del atacante; incluye la función sweep() (que lista todos los tokens y ETH para transferirlos de forma instantánea, además de funciones de reenvío que permiten que la billetera autorizada ejecute llamadas a otros contratos);
4. 29 de octubre UTC, a las 20:20:59 — Transacción crítica: el atacante envió una transacción de tipo 4 a «Binance 14», que firmó 50 autorizaciones EIP-7702 consecutivas (nonces 18914775–18914824). Cuarenta y nueve expiraron por desfase de nonce, pero una coincidió exactamente con el nonce actual, activando así la autorización. En ese momento, «Binance 14» seguía procesando normalmente retiros, y su sistema de firmas ni siquiera detectó que acababa de ceder el control sobre su ejecución de código a los atacantes;
5. 29 de octubre UTC, a las 20:24:23 — Transferencia única de 250 millones de dólares: el operador invocó sweep(), y «Binance 14» transfirió 167 464 ETH + 161,5 millones de USDT + 61 tipos distintos de token = 250 millones de dólares en una sola transacción. Solo quedó 1 ETH en «Binance 14»;
6. 29 de octubre UTC, de 20:24:47 a 21:00 — Vaciamiento simultáneo en múltiples blockchains: 24 segundos después, «Binance 16» firmó 9 transferencias por un total de 174 millones de dólares (28 006 ETH + 55,7 millones de USDT + RLUSD, entre otros); cuatro hot wallets de Arbitrum transfirieron 74,6 millones de ARB + 8426 ETH; Avalanche transfirió 1,81 millones de AVAX + 841 000 USDT; «Binance 55» en Optimism transfirió 44,2 millones de OP; en la cadena BTC, 11 transacciones dentro del mismo bloque dividieron 18 270 BTC entre 19 nuevas direcciones (1000 BTC por dirección); TRON transfirió 612,7 millones de USDT + 46,4 millones de TRX; el XRP Ledger transfirió 233,5 millones de XRP; Solana transfirió 970 522 SOL;
7. 29 de octubre UTC, de 21:01:35 a 23:36 — Batalla por la congelación de stablecoins + último intento fallido de «sweep»: Tether incluyó por primera vez en su lista negra la dirección 0x5227 a las 21:01 (conteniendo 971 millones de USDT); Circle congeló 822,6 millones de dólares en USDC a las 21:04; Tether congeló 378,7 millones de USDT en la cadena TRON a las 21:09; tres minutos antes de esa congelación, los atacantes dividieron y vendieron 435 millones de USDT para obtener ETH; Ripple congeló 40,5 millones de dólares en RLUSD a las 22:00; el último intento de sweep() fracasó a las 23:36, tras haber revocado Binance ya la autorización EIP-7702.

Línea temporal de detección de Blockaid: alerta emitida en menos de 2 minutos tras la ejecución del «sweep» (antes de cualquier reporte público); confirmación, en 11 minutos, de la «usurpación de permisos de firma + mecanismo de autorización EIP-7702»; y en una hora, todas las direcciones de los atacantes fueron marcadas como maliciosas y notificadas a todos los clientes mediante el feed «Ecosystem Incidents».

Desglose detallado de los activos robados (revisión completa en 8 blockchains por Dickson Wu, 30 de octubre de 2026 a las 08:00 UTC)

La revisión en cadena realizada por Dickson Wu, ingeniero de CertiK, fue publicada íntegramente por ChainCatcher y constituye actualmente la fuente más precisa de los montos robados:

La batalla por los activos congelados: ya se han congelado 2 800 millones de dólares estadounidenses, pero aún quedan 3 270 millones de dólares estadounidenses libres para transferir

Los emisores de stablecoin y Binance congelaron todo lo que pudieron, pero no tienen ningún control sobre los activos que no son stablecoins:

La contraofensiva de Tether para deshacer el congelamiento: antes de que Tether aplicara su primera lista negra (a las 21:01, dirigida a la dirección 0x5227, que contenía 971 millones de USDT), el atacante ya había dividido 200 millones de USDT a las 20:33 entre varias direcciones, incluida 0x0ddf…697e. De esa cantidad, aproximadamente 10 millones se vendieron en un DEX, y otros 190 millones fueron enviados a 0x8d53…639a y depositados en Aave para pedir préstamos en ETH. Circle congeló 822,6 millones de dólares estadounidenses en USDC a las 21:04:59, pero el atacante ya había transferido 40,5 millones de RLUSD a 0xe702…958d y los había vendido por ETH (48 millones) antes de que Ripple congelara los RLUSD a las 22:00; la última operación de venta coincidió exactamente con el bloque en el que Ripple ejecutó el congelamiento.

Reacción del mercado: BNB cayó un 10 % en un día; Binance aportó $345 millones en liquidaciones

¿Están seguros los fondos de los usuarios? Binance afirma que SAFU + fondos corporativos cubren íntegramente las pérdidas; la pérdida neta representa aproximadamente el 0,69 % de los activos bajo custodia

Lo robado corresponde a las hot wallets de Binance —billeteras conectadas a internet y usadas para procesar rápidamente los retiros de los usuarios—, no a billeteras frías ni a cuentas personales de los usuarios. Las garantías clave son:

• Declaración oficial de Binance: «No hemos encontrado evidencia alguna de filtración de claves privadas de las billeteras» (la clave privada no fue comprometida matemáticamente; el ataque se produjo a nivel de permisos del servicio de firmas);
• Declaración de CZ (UTC 21:15, anterior a la oficial): «Como accionista, espero que todos los fondos de los usuarios queden totalmente cubiertos»;
• Declaración de He Yi (cofundador): confirmó que Ripple ha congelado 40,5 millones de RLUSD y que Binance está investigando activamente;
• Estado actual del fondo SAFU: creado en julio de 2018; su última compra de tokens tuvo lugar en febrero de 2026, tras lo cual todo el fondo se convirtió en 15 000 BTC (aproximadamente $1200 millones, según el precio del 30 de octubre de 2026);
• Estimación de la pérdida neta (por 0xngmi, fundador de DefiLlama): $6280 millones de pérdida total − $2800 millones ya congelados = ≈ $3480 millones sin congelar; sin embargo, considerando que parte de los activos del atacante podrían recuperarse posteriormente, la pérdida neta total de Binance asciende a aproximadamente $1000 millones (el 0,69 % de sus activos bajo custodia, valorados entre $144 000 y $165 000 millones), «el balance general de Binance puede cubrir fácilmente esta cantidad»;
• Suspensión de retiros: Binance suspendió por completo depósitos y retiros a partir de las 00:30 UTC del 30 de octubre, indicando que «se reanudarán tan pronto como se resuelva por completo el problema de seguridad», sin ofrecer una fecha concreta.

Advertencia de riesgo: La suspensión de retiros por sí sola podría intensificar el pánico (cuando Bybit sufrió un robo de $1500 millones en 2025, mantuvo abiertos los retiros; ambas opciones generan debate sobre sus ventajas y desventajas). Hasta ahora no se han reportado casos individuales de cuentas de usuarios congeladas o fondos perdidos a gran escala, aunque Binance sigue llevando a cabo una investigación exhaustiva.

Comparación histórica: los tres robos sufridos por Binance muestran un aumento de 153 veces en el monto robado; las tácticas evolucionaron desde el phishing hasta ataques a la cadena de suministro

Tendencia de crecimiento: Los tres robos sufridos por Binance: 2019 ($41 millones) → 2023 (BNB Chain, $566 millones) → 2026 ($6300 millones), un aumento de 153 veces. Evolución de las tácticas: robo de credenciales mediante phishing → manipulación de la interfaz de firmas múltiples → ataques a la cadena de suministro o a credenciales internas → secuestro de la autoridad de ejecución del código de la clave de firma mediante autorización delegada EIP-7702. El informe de Blockaid señala que este es un ataque dirigido al «sistema o persona que le dice a la clave qué hacer», no a la propia clave desde el punto de vista matemático —que sigue siendo segura hasta la fecha.

Respuesta regulatoria: silencio total, solo el CEO de Circle sugirió discretamente que las autoridades ya están interviniendo

Tras el robo masivo sufrido por Binance, las principales autoridades reguladoras globales han respondido con una sorprendente ausencia de declaraciones:

Fuentes clave de datos y aspectos marcados como UNCONFIRMED

Fuentes de datos:

• Análisis técnico de Blockaid (mecanismo de delegación EIP-7702, cronología y línea temporal de detección);
• Revisión integral de Dickson Wu en ChainCatcher de las 8 cadenas (los números más precisos sobre el monto robado);
• Noticia en vivo de France24/AFP (Binance suspendió por completo los retiros; declaraciones de congelamiento de los CEOs de Tether y Circle);
• Cuenta X de Binance (borrador inicial a las 21:16 → eliminación de redacción a las 21:24 → versión final a las 21:29: «Los fondos de los usuarios están completamente seguros» → anuncios posteriores a las 22:15, 23:06 y ~00:30 UTC);
• Cuenta X de CZ (primera declaración a las 21:15 UTC, anterior al anuncio oficial);
• Cuenta X del CEO de Tether (declaración de congelamiento por $1 567 millones);
• Cuenta X del CEO de Circle (declaración de congelamiento de $823 millones en USDC + «en coordinación con las fuerzas del orden»);
• Análisis técnico de EIP-7702 de 808bits.

Aspectos marcados como UNCONFIRMED (sin especulaciones de ningún tipo):

1. Identidad del atacante: ZachXBT especula que podría tratarse del grupo Lazarus (por similitud con el ataque a Bybit en 2025), pero las autoridades competentes (FBI, Interpol, etc.) aún no han atribuido formalmente el ataque; no se realiza ninguna atribución a país u organización;
2. Método exacto mediante el cual se comprometió la computadora portátil del ingeniero DevOps: Binance solo indica que «la computadora portátil de un ingeniero DevOps fue comprometida», sin especificar si fue mediante correo de phishing, malware, inserción de USB u otro medio;
3. Monto final robado: La estimación oficial de Binance es de $6 300 millones; analistas on-chain calculan entre $5 780 y $6 280 millones; estos valores siguen evolucionando;
4. Alcance del impacto para los usuarios: Hasta ahora no se ha reportado ningún caso documentado de cuentas de usuarios congeladas o fondos perdidos a gran escala, aunque la suspensión de retiros continúa;
5. Acciones regulatorias posteriores: SEC, CFTC, DOJ y otras entidades aún no han emitido declaraciones públicas; no se sabe si iniciarán investigaciones;
6. Veracidad de la participación de IA en el ataque: Algunos medios (como NBC) sugirieron que «la IA pudo haber participado», pero no hay evidencia técnica que lo respalde; Forkast califica explícitamente esta afirmación como «sin sustento ni fuentes verificables»;
7. Si los ataques contra Polymarket, Bitget y Binance 2026 fueron obra del mismo atacante: Aunque los métodos son similares, no existe evidencia concluyente;
8. Fecha de reanudación de los retiros en Binance: Solo se indica que será «tan pronto como se resuelva por completo el problema de seguridad», sin horario específico.

Hora de corte de los datos: Aproximadamente 10:30 UTC del 30 de octubre de 2026 (18:30 hora de Pekín). La investigación exhaustiva de Binance sigue en curso, y se prevé la publicación de un informe técnico post-mortem.

Advertencia de riesgo y divulgación promocional: Binance mantiene suspendidos de forma total los depósitos y retiros, sin anunciar fecha de restablecimiento. Durante esta suspensión pueden surgir riesgos de liquidez y afectarse la confianza de los usuarios. Esta información está actualizada al 30 de octubre de 2026; algunos datos (monto congelado, detalle de lo robado, pérdida neta) siguen actualizándose. Los aspectos marcados como UNCONFIRMED no generan ninguna especulación ni suposición. Este artículo contiene enlaces promocionales: si te registras mediante ellos, podríamos recibir una comisión, sin que esto incremente tus costos ni afecte nuestro análisis.