Binance repone el 90% de los 6.300 millones robados en el ciberataque

Binance asegura haber repuesto ya el 90% de los activos afectados por el enorme ciberataque que golpeó sus monederos calientes y provocó retiradas no autorizadas por unos 6.300 millones de dólares. La plataforma sostiene que asumirá íntegramente el impacto económico y que las pérdidas no recaerán sobre sus clientes.

Hay un matiz importante. Que Binance haya repuesto el 90% no significa que haya recuperado de los atacantes nueve de cada diez dólares robados. La compañía está reconstituyendo sus reservas mediante dinero propio, fondos de protección y compras de los tokens sustraídos en el mercado. Parte de los activos robados sí han podido ser congelados, pero el proceso de rastreo y eventual recuperación continúa abierto.

Binance tiene cubierto el 90% de las pérdidas

El ataque afectó a las llamadas hot wallets o monederos calientes de Binance alrededor de las 20.05 UTC del 29 de octubre. Estos monederos permanecen conectados a sistemas en línea para poder procesar operaciones con rapidez y, precisamente por eso, están más expuestos que las carteras mantenidas fuera de internet.

La estimación publicada por Binance sitúa el impacto total en aproximadamente 6.300 millones de dólares en diferentes criptoactivos, una cifra excepcional incluso para un sector acostumbrado a ataques multimillonarios. La empresa reservó más de 6.340 millones para responder al incidente y el 30 de octubre ya afirmaba haber repuesto aproximadamente un 80%. Un día después elevó esa cobertura al 90%.

La reposición incluye dinero procedente del Secure Asset Fund for Users, SAFU, parte del fondo de seguros de futuros de Binance y recursos de la propia tesorería corporativa. La compañía está adquiriendo los activos necesarios tanto en mercados convencionales como mediante operaciones extrabursátiles, conocidas como OTC.

Bitcoin, Ethereum y los principales tokens ya están respaldados

Según la última actualización de Binance, las posiciones correspondientes a BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD y ZEC cuentan ya con respaldo del 100%.

Es una diferencia relevante para los usuarios. Binance sostiene que mantiene para esos activos una cobertura mínima de uno a uno, es decir, un activo de reserva por cada unidad que figura en los saldos de sus clientes.

El 10% pendiente corresponde fundamentalmente a tokens con menor liquidez. Encontrar grandes cantidades de esos activos sin alterar excesivamente sus mercados puede resultar más complicado, de ahí que la reposición completa necesite más tiempo. Binance afirma que seguirá comprándolos hasta cubrir el 100% del agujero.

Los clientes no asumirán las pérdidas del ataque

El mensaje de Binance busca despejar precisamente el temor que suele acompañar a un ataque de estas dimensiones: que los usuarios terminen pagando la factura mediante saldos reducidos, quitas o pérdidas directas. La plataforma afirma de forma expresa que será Binance quien absorba el impacto financiero de los activos robados.

Es, de hecho, la cuestión más importante para quienes simplemente mantienen criptomonedas depositadas en el exchange y no participan en la investigación técnica del incidente. La capacidad de cumplir esa promesa dependerá de que la empresa termine de reconstruir todas las posiciones afectadas. De momento, Binance sostiene que dispone de los recursos necesarios y ha acompañado el anuncio con una nueva fotografía de sus reservas.

Una nueva prueba de reservas tras el ciberataque

Binance realizó una nueva instantánea para su sistema de Proof of Reserves o prueba de reservas a las 00.00 UTC del 31 de octubre. Este mecanismo pretende permitir que los usuarios comprueben criptográficamente que determinados activos depositados en la plataforma se encuentran respaldados.

Binance calcula que la generación completa de la prueba de conocimiento cero correspondiente a esa fotografía necesita entre 40 y 50 horas de procesamiento. La compañía prevé que pueda verificarse completamente el 3 de noviembre. En el caso de los diez principales activos afectados, la prueba debería permitir comprobar que están respaldados al menos en proporción uno a uno.

La prueba de reservas, con todo, no convierte en irrelevante el ataque. Una fotografía contable posterior sirve para comprobar que los fondos han sido repuestos; no borra cómo fue posible la salida de miles de millones de los sistemas de Binance en primer lugar.

Cómo consiguieron entrar los atacantes

La investigación continúa y Binance todavía no ha publicado su informe técnico definitivo. Sus primeras pesquisas apuntaron a un portátil comprometido de un ingeniero de DevOps, desde el que un atacante habría logrado acceder a un contenedor de servicios y enviar órdenes de retirada no autorizadas.

Posteriormente, la empresa señaló que habían aparecido otros puntos de intrusión, por lo que la secuencia completa del ataque todavía no está esclarecida. Hasta el momento, Binance dice no haber encontrado pruebas de que se filtraran las claves privadas de sus monederos.

Esto importa. El robo de una clave privada permitiría controlar directamente los fondos asociados a una cartera. Lo que describe Binance apunta, al menos provisionalmente, a un ataque sobre la infraestructura y los mecanismos internos de autorización, no necesariamente a una extracción masiva de las claves criptográficas.

La compañía asegura haber reforzado las comprobaciones de seguridad, revocado las autorizaciones relacionadas con las direcciones comprometidas y solicitado ayuda a autoridades, empresas de análisis de blockchain y emisores de activos, además de otras compañías del sector.

Cerca de 3.000 millones fueron congelados en blockchain

La respuesta no se limita a comprar activos para rellenar el agujero. Binance informó de que aproximadamente 3.000 millones de dólares vinculados al ataque habían sido congelados en cadena gracias a la cooperación con distintos participantes del ecosistema.

Congelar no equivale automáticamente a recuperar. Dependiendo del activo y de quién controle sus mecanismos, los fondos pueden quedar inmovilizados mientras continúan las investigaciones y los procedimientos necesarios para determinar qué ocurre con ellos.

La trazabilidad pública de muchas redes blockchain facilita seguir movimientos de dinero, aunque los atacantes suelen intentar fragmentar fondos e intercambiar tokens, utilizar puentes entre cadenas o recurrir a otras técnicas para dificultar ese seguimiento.

La firma de análisis TRM Labs ha atribuido el robo al grupo TraderTraitor, vinculado a Corea del Norte, con un elevado grado de confianza. Binance, por su parte, no ha identificado públicamente a los responsables y mantiene abierta su investigación.

Las retiradas, el siguiente examen para Binance

Tras detectar el ataque, Binance suspendió temporalmente las retiradas de fondos mientras revisaba su infraestructura. Los depósitos y otros servicios que no estaban directamente afectados continuaron operativos, según las actualizaciones posteriores de la empresa.

La plataforma ha situado la reapertura de las retiradas como su siguiente gran objetivo y mantiene la previsión de comenzar a restablecerlas el domingo 1 de noviembre, siempre que finalicen satisfactoriamente las comprobaciones de seguridad.

Ahí estará una de las pruebas más visibles después del ataque. Reponer activos sobre el balance es esencial, pero un exchange también vive de que sus clientes puedan sacar sus criptomonedas cuando quieran. En este negocio, la confianza puede desaparecer bastante más deprisa que cualquier campaña para recuperarla.

El 100% de las reservas, próximo objetivo

Binance ha logrado reconstruir en menos de dos días buena parte de las posiciones afectadas por un ataque que alcanza aproximadamente 6.300 millones de dólares, pero aún queda un 10% por cubrir y una investigación técnica que explicar.

Para los usuarios, el dato inmediato es más sencillo: la empresa afirma que los principales criptoactivos afectados están ya totalmente respaldados, que seguirá comprando los tokens pendientes y que asumirá las pérdidas con recursos propios y fondos de protección.

El siguiente paso será completar el 100% de la reposición y normalizar las retiradas. Después vendrá la parte incómoda pero imprescindible: esclarecer cómo pudo producirse uno de los mayores robos sufridos por una plataforma de criptomonedas y demostrar que la puerta utilizada por los atacantes está realmente cerrada.