{"id":373,"date":"2026-11-02T09:25:25","date_gmt":"2026-11-02T13:25:25","guid":{"rendered":"https:\/\/juredev.com\/blog\/?p=373"},"modified":"2026-11-03T13:47:00","modified_gmt":"2026-11-03T17:47:00","slug":"lo-que-sabemos-del-hackeo-a-binance-y-por-que-la-blockchain-no-se-rompio","status":"publish","type":"post","link":"https:\/\/juredev.com\/blog\/2026\/11\/lo-que-sabemos-del-hackeo-a-binance-y-por-que-la-blockchain-no-se-rompio\/","title":{"rendered":"Anatom\u00eda de un colapso perimetral: lo que sabemos del hackeo a Binance y por qu\u00e9 la blockchain no se rompi\u00f3"},"content":{"rendered":"\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>Actualizaci\u00f3n (3 de noviembre de 2026)<\/strong>: Binance public\u00f3 su informe inicial y aclara varios puntos de este art\u00edculo. El ataque no empez\u00f3 con un solo port\u00e1til. Fue una campa\u00f1a de meses que combin\u00f3 un instalador manipulado (junio), una falsa entrevista de trabajo con malware (septiembre), el uso de una herramienta interna de IA como trampol\u00edn (20 de octubre) y un token de despliegue de contenedores robado, hasta llegar al servicio de firma de billeteras. El impacto es de unos 6.340 millones de d\u00f3lares, de los que se congelaron o interceptaron unos 2.850 millones, y Binance dice haber repuesto el 98 % de los activos afectados. Adem\u00e1s, afirma que la informaci\u00f3n m\u00e1s reciente del FBI se\u00f1ala a Corea del Norte. La investigaci\u00f3n sigue abierta y el informe es el relato de la propia empresa. El texto de abajo es la versi\u00f3n original del 2 de noviembre.<\/p>\n<\/blockquote>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>Nota<\/strong>: la investigaci\u00f3n sigue abierta y Binance todav\u00eda no ha publicado un an\u00e1lisis de causa ra\u00edz. Este texto se basa en lo que ha comunicado la propia empresa y en los an\u00e1lisis de TRM Labs y Elliptic hasta la fecha. Algunas cifras y detalles t\u00e9cnicos pueden cambiar.<\/p>\n<\/blockquote>\n\n\n\n<p class=\"wp-block-paragraph\">La mayor parte de la cobertura medi\u00e1tica del robo de 6.300 millones de d\u00f3lares a Binance se ha centrado en las cifras y en el impacto financiero. Para quienes miramos la infraestructura, lo realmente interesante est\u00e1 en la ingenier\u00eda. Seg\u00fan lo que se ha divulgado hasta ahora, no hubo una falla en los algoritmos criptogr\u00e1ficos ni en la blockchain. Fue una falla cl\u00e1sica de arquitectura de seguridad: gesti\u00f3n de privilegios, segmentaci\u00f3n de entornos y dise\u00f1o del flujo que termina en una firma de retiro.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El monto es unas cuatro veces mayor que el del hackeo a Bybit (1.500 millones, febrero de 2025), que hasta ahora era el m\u00e1s grande registrado. TRM Labs atribuye el ataque, con alta confianza, a TraderTraitor, el grupo norcoreano que el FBI vincul\u00f3 con el caso Bybit.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">El vector de ataque: del port\u00e1til de un ingeniero a la firma de retiros<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Binance indica que la investigaci\u00f3n inicial apunta al <strong>port\u00e1til comprometido de un ingeniero DevOps<\/strong>. Ese equipo habr\u00eda dado acceso a un contenedor de servicio interno desde el cual se enviaron retiros no autorizados. M\u00e1s adelante la empresa habl\u00f3 de un \u00abataque complejo\u00bb y de puntos de brecha adicionales que todav\u00eda est\u00e1n en an\u00e1lisis. A\u00fan no se sabe c\u00f3mo se comprometi\u00f3 el port\u00e1til ni cu\u00e1l fue el camino exacto hasta el sistema que firma.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo que s\u00ed documentan TRM Labs y Elliptic es el mecanismo en cadena. En Ethereum, el atacante envi\u00f3 una transacci\u00f3n con <strong>50 autorizaciones EIP-7702 pre-firmadas<\/strong>, una por cada nonce consecutivo, para asegurarse de que alguna fuera v\u00e1lida. Cada autorizaci\u00f3n delegaba una hot wallet de Binance en un contrato \u201csweeper\u201d controlado por el atacante, que se encargaba de vaciar los fondos. Seg\u00fan TRM, el dinero sali\u00f3 de las billeteras de Binance en diez blockchains.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Hay dos matices importantes:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li><strong>No se rob\u00f3 una clave privada<\/strong>. Binance afirma no tener evidencia de filtraci\u00f3n de claves. El atacante consigui\u00f3 que la propia infraestructura de firma de Binance aprobara las transacciones. Es el mismo patr\u00f3n que en Bybit: no hace falta robar la llave si se puede lograr que el sistema firme por ti.<\/li>\n\n\n\n<li><strong>EIP-7702 no es un bug del protocolo<\/strong>. Es una funci\u00f3n leg\u00edtima de Ethereum que el atacante aprovech\u00f3. La lecci\u00f3n es que el riesgo se concentra en la capa que decide qu\u00e9 se firma.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">Sobre la causa ra\u00edz solo podemos especular con cautela. Si el port\u00e1til ten\u00eda una ruta confiable hasta un servicio capaz de pedir firmas, el per\u00edmetro real de producci\u00f3n era ese port\u00e1til. Y si la plataforma no valid\u00f3 el contexto de esas solicitudes (origen, volumen inusual, patr\u00f3n de nonces), la ausencia de controles conductuales fue el eslab\u00f3n siguiente. Insisto en que esto es una hip\u00f3tesis, no un hallazgo confirmado.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>&#91;Port\u00e1til de un ingeniero DevOps comprometido]\n        \u2502\n        \u25bc\n&#91;Contenedor de servicio con acceso a retiros]\n        \u2502\n        \u25bc\n&#91;Infraestructura de firma emite 50 autorizaciones EIP-7702]\n        \u2502\n        \u25bc\n&#91;Hot wallets delegadas a un contrato \"sweeper\"] \u2500\u2500\u25ba &#91;Fondos en 10 blockchains]\n                                                          \u2502\n                                                          \u25bc\n                              &#91;Emisores de stablecoins congelan fondos]<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">En resumen: no rompieron la caja fuerte. Consiguieron que el sistema de apertura programada abriera la puerta por ellos.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">La paradoja de la remediaci\u00f3n: centralizaci\u00f3n como mecanismo de seguridad<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Tras el drenaje, el problema pas\u00f3 de ser una vulnerabilidad de infraestructura a una carrera contra el tiempo. En una red descentralizada pura, el rastreo habr\u00eda sido puramente forense y el dinero, irrecuperable.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero buena parte del bot\u00edn estaba en stablecoins centralizadas. Tether congel\u00f3 cerca de 1.570 millones de d\u00f3lares en USDT y Circle m\u00e1s de 800 millones en USDC. Binance habl\u00f3 de unos 3.000 millones congelados en cadena con ayuda de socios (otros medios sit\u00faan la cifra entre 2.500 y 2.700 millones). Desde la ingenier\u00eda de software, la funci\u00f3n de congelamiento y las listas negras de esos contratos funcionaron como un mecanismo de revocaci\u00f3n a escala global. Para los puristas cripto es una contradicci\u00f3n filos\u00f3fica; para la mitigaci\u00f3n de riesgos fue un cortafuegos indispensable.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n conviene decir lo inc\u00f3modo: <strong>cerca de la mitad del monto no se congel\u00f3<\/strong>, y esa parte depende de que Binance la reponga.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Por qu\u00e9 no hubo un apocalipsis cripto<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>El libro mayor p\u00fablico funcion\u00f3<\/strong>. A diferencia de FTX, donde los balances internos estaban adulterados, aqu\u00ed cada movimiento fue visible en cadena. Firmas como TRM Labs y Elliptic pudieron seguir los flujos casi en tiempo real. No hubo asimetr\u00eda de informaci\u00f3n sobre qu\u00e9 hab\u00eda pasado.<\/li>\n\n\n\n<li><strong>Binance absorbi\u00f3 la p\u00e9rdida con recursos propios<\/strong>. La empresa anunci\u00f3 que cubrir\u00eda todas las p\u00e9rdidas con fondos propios y con su fondo SAFU, y empez\u00f3 a reponer saldos. Que el incidente no obligara a congelar la red ni a un hard fork muestra que la capa operativa de la plataforma y la capa del protocolo est\u00e1n bien desacopladas.<\/li>\n\n\n\n<li><strong>El mercado reaccion\u00f3, pero sin colapsar<\/strong>. Las principales criptomonedas cayeron en las primeras horas, con bitcoin tocando los 77.500 d\u00f3lares, sin una cascada sist\u00e9mica.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">Lecciones de arquitectura<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Estas lecciones valen para cualquier sistema que automatice acciones financieras, y no son un diagn\u00f3stico de lo que Binance hizo mal (eso solo lo dir\u00e1 su post-mortem):<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Separar qui\u00e9n solicita de qui\u00e9n autoriza<\/strong>. El servicio que env\u00eda un retiro no deber\u00eda poder obtener por s\u00ed solo una firma v\u00e1lida. Las pol\u00edticas de firma (l\u00edmites por transacci\u00f3n, por hora y por destino, listas de destinos permitidos) deben vivir en un sistema independiente, idealmente respaldado por HSM o enclaves seguros, con aprobaci\u00f3n humana o multi-parte para montos altos.<\/li>\n\n\n\n<li><strong>Credenciales y autorizaciones de vida corta<\/strong>. Cualquier pre-autorizaci\u00f3n utilizable en bloque (tokens, firmas, delegaciones) deber\u00eda caducar en minutos y estar atada a contexto, no ser reutilizable ni transferible.<\/li>\n\n\n\n<li><strong>Aislar los pipelines y las m\u00e1quinas de desarrollo de la producci\u00f3n financiera<\/strong>. Un port\u00e1til de uso diario no deber\u00eda tener una ruta hasta servicios que puedan mover fondos. Si la tiene, ese port\u00e1til es producci\u00f3n.<\/li>\n\n\n\n<li><strong>Detecci\u00f3n conductual<\/strong>. Una firma criptogr\u00e1ficamente v\u00e1lida ya no basta. Un sistema financiero moderno deber\u00eda frenar de forma aut\u00f3noma r\u00e1fagas an\u00f3malas de solicitudes, como 50 autorizaciones consecutivas para vaciar una billetera.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">\u00bfQu\u00e9 nos dej\u00f3 el hackeo?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La blockchain resisti\u00f3 porque nada de lo que fall\u00f3 estaba en ella. Lo que cedi\u00f3 fue una pieza centralizada y humana: el entorno de un ingeniero y el camino de confianza hacia la firma de retiros. Y eso matiza el mensaje: este incidente no habla tanto de la \u00abresiliencia de la Web3\u00bb como de lo que ocurre cuando un intermediario centralizado concentra el riesgo operativo. Los intermediarios tendr\u00e1n que evolucionar hacia modelos de seguridad mucho m\u00e1s estrictos, porque un error en una laptop de desarrollo ya cost\u00f3 miles de millones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Actualizaci\u00f3n (3 de noviembre de 2026): Binance public\u00f3 su informe inicial y aclara varios puntos de este art\u00edculo. El ataque no empez\u00f3 con un solo port\u00e1til. Fue una campa\u00f1a de meses que combin\u00f3 un instalador manipulado (junio), una falsa entrevista de trabajo con malware (septiembre), el uso de una herramienta interna de IA como trampol\u00edn [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_piko_noindex":"","footnotes":""},"categories":[5],"tags":[135,28],"class_list":["post-373","post","type-post","status-publish","format-standard","hentry","category-nota","tag-opinion","tag-seguridad"],"_links":{"self":[{"href":"https:\/\/juredev.com\/blog\/wp-json\/wp\/v2\/posts\/373","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/juredev.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/juredev.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/juredev.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/juredev.com\/blog\/wp-json\/wp\/v2\/comments?post=373"}],"version-history":[{"count":0,"href":"https:\/\/juredev.com\/blog\/wp-json\/wp\/v2\/posts\/373\/revisions"}],"wp:attachment":[{"href":"https:\/\/juredev.com\/blog\/wp-json\/wp\/v2\/media?parent=373"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/juredev.com\/blog\/wp-json\/wp\/v2\/categories?post=373"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/juredev.com\/blog\/wp-json\/wp\/v2\/tags?post=373"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}