La primera lectura de Binance, en un aviso de seguridad actualizado, sugiere que la laptop de un ingeniero de DevOps puede haber sido comprometida y usada para llegar a un contenedor de servicio, desde donde un atacante puede haber enviado transacciones de retiro que el personal no había aprobado. Binance sitúa el daño estimado del incidente en sus hot wallets, las billeteras calientes con las que paga los retiros, en unos 6.300 millones de dólares. Dice que no ha visto señales de que saliera una clave privada. El reporte anterior siguió el primer conteo público de congelamientos. En este aviso el monto detenido en cadena es más alto, cerca de 3.000 millones de dólares. Esa cifra cuenta las monedas que los socios lograron congelar. Los 6.300 millones son la estimación del exchange sobre el impacto completo.

La BBC reportó una declaración de Richard Teng, codirector ejecutivo, en la que el recorrido puede haber ido de una laptop a un contenedor. Dijo que la intrusión «no fue una acción simple de un solo clic» y que el proceso fue más enredado. Coberturas posteriores que citan a Teng dijeron que la indagación también halló otros puntos de brecha y que no había cargado el incidente a una sola persona. La BBC dice que los retiros siguen suspendidos, que Binance todavía espera reactivar los retiros en unas 45 horas y que todavía no se sabe quién ejecutó el ataque, aunque algunas empresas de analítica han apuntado hacia Corea del Norte y ese vínculo no está confirmado.

El aviso dice que Binance pagará cada pérdida con el SAFU, la reserva de emergencia que guarda para estos casos, y con el efectivo de la propia empresa, y que el dinero de los clientes está a salvo. Cuando termine la limpieza, dice, el exchange publicará una nueva prueba de reservas. Los retiros siguen apagados mientras continúan las revisiones. Una corrección del aviso dejó claro que los depósitos siguieron operando y que así continúan. También dice que canceló el permiso de la dirección ligada al incidente, y que las autoridades y las empresas que rastrean monedas trabajan para seguir lo que se movió e intentar recuperar fondos. Un texto técnico más largo tendrá que esperar hasta que la investigación termine y los hechos estén revisados.

Chainalysis publicó una evaluación propia. Binance no la ha confirmado. Chainalysis cuenta las transferencias no autorizadas en unos 6.400 millones de dólares, un poco por encima de la estimación del exchange, y cuenta cerca de 2.800 millones como congelados. Sus investigadores evalúan que el robo lo hizo TraderTraitor, un grupo que describen como ciberdelincuentes de Corea del Norte. Dicen que el juicio sale de la actividad en cadena en las horas posteriores a las salidas. El vínculo más fuerte que describen son monedas de este incidente que se mezclaron con monedas tomadas en el exploit de Bitget un mes antes, un cruce que el equipo dice haber visto mientras ocurría. Ese caso de Bitget ya se había atribuido a actores de Corea del Norte.

Chainalysis también dice que las monedas robadas siguen moviéndose, y espera más transferencias en los días que vienen. El patrón le resulta nuevo a sus investigadores. Describen miles de transacciones apretadas en un tramo corto, y leen ese ritmo como automatización. Un paso que siguen viendo es una dirección que recibe exactamente 1 TRX, luego un monto mayor, y después envía las monedas. Parte del dinero vuelve a direcciones que ya habían aparecido. Dice que los congelamientos empezaron mientras el atacante todavía pasaba monedas que un emisor puede bloquear, como una stablecoin, a monedas que no se pueden bloquear.

En Ethereum, según CoinDesk, el atacante usó EIP-7702, una función que puede permitir que una billetera normal ejecute código de contrato, y sacó unos 2.500 millones de dólares de una billetera de Binance en menos de cuatro minutos. CoinDesk trata esa suma como una pieza de una pérdida que corrió por varias cadenas.

Este artículo no es consejo de inversión.