Análisis editorial · Fuentes primarias

Binance detalla el compromiso del servicio de firma y una brecha de contención en cadena

Los hallazgos iniciales de Binance del 3 de noviembre vinculan el robo del 29 de octubre con endpoints de desarrollo comprometidos, herramientas internas de IA y un servicio de firma de monederos. La empresa afirma que el 98% de los criptoactivos afectados estaba repuesto el 31 de octubre; el FBI atribuye por separado la operación a TraderTraitor.

Incidente: 2026-10-29 · Divulgación: 2026-10-30
Actualizado: 2026-11-04T07:35:00.000Z · Confianza: high

Incidente, divulgación y actualización

El incidente ocurrió el 29 de octubre de 2026 y Binance lo divulgó el día 30.[1] Sus hallazgos iniciales, publicados el 3 de noviembre, describen una campaña iniciada con una instalación manipulada de una herramienta de desarrollo en junio y una prueba de selección maliciosa en septiembre. Binance afirma que los atacantes usaron después endpoints comprometidos, herramientas internas de IA y un token de despliegue para alcanzar las operaciones de firma de monederos.[3] Es una actualización material del informe de recuperación anterior, no un incidente nuevo.

Ruta de transacción y contención

Binance afirma que el acceso no autorizado a un servicio interno de firma eludió el proceso normal de retirada. El atacante estableció autorizaciones de delegación EIP-7702 de Ethereum, por lo que suspender las retiradas no revocó permisos ya registrados en cadena. Como el monedero caliente afectado utilizaba computación multipartita, ninguna clave privada individual podía eliminarlos de inmediato. Binance informa de que la última transferencia no autorizada se liquidó a las 23:56 UTC y la delegación se anuló a las 00:10 UTC del 30 de octubre.[3]

Recuperación, atribución e incertidumbre

Binance cifra los activos afectados en unos 6.340 millones de dólares y afirma que unos 2.850 millones habían sido congelados o interceptados, sujetos a conciliación y volatilidad del mercado. Indica que el 98% de los criptoactivos afectados estaba repuesto el 31 de octubre y que seguía comprando los activos ilíquidos restantes.[3] El FBI atribuye por separado el robo a la actividad TraderTraitor de Corea del Norte y afirma que los activos robados se convertían principalmente en Ether antes de su posterior blanqueo.[4] Esa atribución es la valoración del FBI; la revisión independiente de Binance sigue pendiente.

Prioridades para el CISO

Para organizaciones con servicios de firma, pago o despliegue, el riesgo para la misión abarca estaciones de desarrollo, asistentes de IA, tokens de CI/CD y autorización de transacciones como una sola cadena de confianza. Hay que validar que el apagado de emergencia revoque autoridades externas y en cadena, no solo flujos de aplicación. Deben inventariarse las credenciales desplegables en endpoints, exigirse tokens breves y limitados y aprobación independiente para cambios de política de firma, además de probar la recuperación frente a transacciones pendientes y permisos delegados.

Fuentes

Francisco Javier Jurado Alonso