Binance reanudará retiros y anuncia plan tras hackeo de $6,3 mil millones

Los retiros se someterán a controles de seguridad antes de la reanudación por fases

Binance esbozó un plan de recuperación tras el ataque informático dividido en cuatro fases el 30 de octubre en su segunda «Actualización sobre el incidente de seguridad», con el objetivo de iniciar el restablecimiento de los retiros en un plazo aproximado de 34 horas tras la actualización. La reanudación gradual de los retiros seguía estando supeditada a la finalización de las comprobaciones de seguridad, las medidas correctivas y la validación de los sistemas afectados. Los depósitos y otros servicios no afectados siguieron operativos, según el comunicado.

Los codirectores ejecutivos, Yi He y Richard Teng, firmaron la actualización, en la que se situaba el momento del ataque a la cartera caliente aproximadamente a las 20:05 h UTC del 29 de octubre. Al referirse a la pérdida estimada de 6.3 mil millones de dólares, la declaración subrayaba:

«Binance absorberá el impacto financiero de estos fondos robados, no nuestros usuarios».

La plataforma se comprometió a cubrir las pérdidas a través de su Fondo de Activos Seguros para Usuarios (SAFU) y la tesorería corporativa, es decir, las reservas financieras de la empresa.

Las compras de tokens y la congelación de activos impulsan la recuperación

De los más de 6.340 millones de dólares en fondos de la empresa reservados para cubrir las pérdidas, 5.000 millones ya se encontraban en los activos de tokens afectados, según indicó Binance. Esas tenencias cubrían aproximadamente el 80 % de las pérdidas relacionadas con activos como USDC, USDT, BTC, ETH y BNB. Se estaban llevando a cabo compras a través del mercado y de canales extrabursátiles para obtener los tokens restantes necesarios para cubrir las pérdidas. Según informó Binance, se habían congelado aproximadamente 3.000 millones de dólares en la cadena de bloques, mientras continuaban los esfuerzos de recuperación en colaboración con las fuerzas del orden, los emisores de tokens, las empresas de inteligencia y otras plataformas de intercambio. El análisis independiente realizado por la empresa de análisis de blockchain Elliptic sobre el rastreo y la congelación de activos robados situaba las congelaciones verificadas en 2.84 mil millones de dólares a fecha de su actualización de las 8:00 a. m. UTC del 30 de octubre, principalmente en USDT y USDC. Los fondos congelados seguían siendo objeto de esfuerzos de recuperación.

Los investigadores que rastrean los activos robados pueden examinar los saldos de las carteras y las transferencias a través de los registros públicos de transacciones de la cadena de bloques. Por otra parte, Binance tenía previsto realizar una instantánea inicial de prueba de reservas en las 12 horas siguientes a su anuncio. Se esperaban los resultados para el lunes 2 de noviembre, en los que se mostrarían los activos de la plataforma frente a los saldos de los clientes.

La investigación ampliada examina el acceso a la firma

Las conclusiones iniciales sobre el ataque al ordenador portátil sugerían que el ordenador de un ingeniero de DevOps, que había sido comprometido, permitió la realización de solicitudes de retirada no autorizadas. Los ingenieros de DevOps se encargan del despliegue de software y de la infraestructura que lo sustenta. Binance afirmó que no había encontrado pruebas de que se hubieran filtrado claves privadas de carteras.

En otro vídeo publicado el 30 de octubre, Teng describió puntos de vulnerabilidad adicionales, controles de aprobación eludidos y un mecanismo de autodestrucción que eliminó herramientas y rastros. Binance afirmó que había aislado la infraestructura comprometida, revocado las autorizaciones afectadas e introducido controles adicionales contra actividades no autorizadas. Especialistas internos y externos trabajaban para reconstruir la secuencia completa del ataque.

El análisis de la empresa de seguridad de blockchain Hypernative identificó un acceso de firma comprometido y firmas válidas procedentes de claves controladas por Binance. Describió el uso de EIP-7702, una característica de Ethereum que permite a una cartera normal ejecutar código de contrato inteligente, para ejecutar código controlado por el atacante a través de una cartera de Binance. Binance esperaba disponer de más conclusiones técnicas verificadas en un plazo aproximado de 48 horas tras su anuncio, sujeto a consideraciones de la investigación, seguido de un análisis detallado a posteriori que abarcara el ataque y las medidas de seguridad.