Hackeo del hot wallet de Binance mediante delegación EIP-7702

El 29 de octubre de 2026, Binance sufrió lo que los analistas califican como el mayor robo de la historia cripto: un atacante secuestró uno de sus principales hot wallets de Ethereum mediante una delegación EIP-7702 y vació unos 6.300 millones de dólares en varias cadenas.

Qué ocurrió

A las 20:20:59 UTC el atacante envió una única transacción EIP-7702 (tipo 4) con 50 autorizaciones firmadas con la clave de «Binance 14» (0x28C6…1d60), una por cada nonce del 18.914.775 al 18.914.824. Cuarenta y nueve fueron inválidas y una surtió efecto, delegando el wallet a un contrato sweeper desplegado por el atacante (0x63e8…6fAe) horas antes. A las 20:24 UTC el sweeper movió unos 2.500 millones de dólares desde Binance 14 — 167.464 ETH, 1.615 millones de USDT y unos 60 tokens más — dejando 1 ETH para gas. En minutos, otros diez hot wallets de Binance en Ethereum, Arbitrum, Avalanche, Optimism, Tron y Bitcoin reenviaron fondos a la misma dirección recolectora. La dirección operadora se había financiado el día anterior mediante tres retiros de Tornado Cash. Binance cifró la exposición total en unos 6.300 millones de dólares; Blockaid y otros recuentos públicos la sitúan cerca de 5.500 millones.

Consecuencias

Binance suspendió temporalmente los retiros, afirmó que los depósitos no se vieron afectados y se comprometió a cubrir todas las pérdidas de los usuarios con su fondo SAFU y las reservas de la empresa. Los emisores de stablecoins reaccionaron rápido: Tether congeló más de 1.500 millones de USDT y Circle más de 800 millones de USDC, con Binance estimando unos 3.000 millones de dólares congelados en total — aunque ETH, AVAX, OP y ARB no pudieron congelarse. Una actualización preliminar de Binance apuntó al portátil posiblemente comprometido de un ingeniero DevOps como punto de entrada; Binance dijo no haber hallado pruebas de una filtración de clave privada del wallet, y se planea un análisis completo. No se ha confirmado públicamente ningún atacante.

Por qué importa

Es la primera entrada del catálogo en la que la delegación de cuentas EIP-7702 se utilizó como arma a gran escala: en lugar de explotar un fallo de protocolo, el atacante convirtió el nuevo primitivo de abstracción de cuentas de Ethereum en una toma de control del wallet con una sola firma. Replantea el modelo de amenaza de los hot wallets de exchange y confirma una vez más que la comprometida de claves y accesos operativos — no los fallos de smart contract — impulsa las mayores pérdidas de custodia, como se vio con Bitget y Duelbits. También muestra la creciente importancia de los congelamientos a nivel de emisor como última línea de defensa una vez que los fondos salen de la custodia.