El hackeo de Binance podría implicar un «uso indebido» de claves, no un robo: CEO de Blockaid

El presunto hackeo de Binance, valorado en miles de millones de dólares, pudo haber implicado que los atacantes manipularan la firma utilizada por el exchange para firmar transacciones, en lugar de robar claves privadas, según Ido Ben-Natan, cofundador y director ejecutivo de Blockaid.

En declaraciones a Cointelegraph, Ben-Natan dijo que la evaluación preliminar de Blockaid apuntaba a un «uso indebido de la clave», en el que los atacantes engañan o comprometen un sistema de firma para autorizar transacciones maliciosas sin extraer la clave privada subyacente.

«Parece ser… un compromiso de la infraestructura de firma. No creemos que se haya filtrado una clave», dijo.

Ben-Natan dijo que se trataba de una evaluación preliminar, basada en su experiencia con ataques similares y en sus observaciones de la actividad onchain.

Binance no ha confirmado el método preciso que permitió a los hackers robar más de 2.500 millones de dólares en criptomonedas del exchange —el mayor hackeo de criptomonedas de la historia—.

Miguel Morel, director ejecutivo de Arkham, dijo a Cointelegraph que en este momento no hay información suficiente para confirmar si el ataque implicó claves robadas o una infraestructura comprometida.

«Por lo que podemos determinar, parece que el hackeo sigue en curso», dijo.

Blockaid identifica una delegación maliciosa de billetera

En su análisis onchain publicado en X, Blockaid dijo que el atacante agrupó 50 autorizaciones EIP-7702 en una sola transacción dirigida a Binance 14. Según los informes, una autorización coincidía con el nonce requerido de la cuenta, lo que permitió aceptarla.

EIP-7702 permite que una cuenta delegue la ejecución a código de contrato inteligente. Blockaid dijo que la cuenta afectada había sido delegada a un contrato drenador no verificado que permitía a un operador designado retirar tokens y Ether.

Ben-Natan dijo a Cointelegraph que la operación pudo haber implicado varios dispositivos comprometidos y movimiento a través de la red del exchange, aunque esto sigue sin confirmarse.

Corea del Norte y la comparación con Bybit

Al preguntarle si la presunta manipulación de la firma se parecía al ataque contra Bybit de febrero de 2025, Ben-Natan describió los incidentes como «muy, muy similares».

En ese caso, la actualización forense publicada por Bybit dijo que los atacantes comprometieron las credenciales de un desarrollador de Safe, accedieron a la infraestructura del proveedor de billeteras y engañaron a los firmantes para que aprobaran una transacción maliciosa.

Al igual que en Bybit, Ben-Natan dijo que la actividad se parecía a operaciones vinculadas a atacantes cibernéticos norcoreanos, basándose en la sofisticación de los preparativos onchain.