El hackeo de Binance se paga con 6.340 millones propios

Un día después del hackeo de Binance, el exchange dijo de dónde saldrá el dinero para cubrirlo. Reservó más de 6.340 millones de dólares de fondos propios, de los cuales 5.000 millones ya estaban en los mismos tokens que se llevó el atacante, y está comprando el resto en el mercado y por canales OTC. La cifra supera los 6.300 millones en que la empresa estima el impacto y responde la duda que quedó abierta el jueves, cuando el fondo SAFU no llegaba ni a la quinta parte de la pérdida.

Los 6.340 millones funcionan como techo más que como costo, porque excluyen los 3.000 millones que Tether, Circle y otros socios congelaron en direcciones del atacante y que siguen sujetos a recuperación. Si ese dinero vuelve, la cuenta real del hackeo de Binance se acerca a los 3.300 millones restantes, buena parte en bitcoin y ether, dos activos que nadie puede congelar. Reservar el total como si nada fuera a volver es lo prudente para calmar a los usuarios, y también la forma de anunciar el número más grande posible.

Las estimaciones del robo van de los 5.900 millones que calculó Chainalysis el jueves a los 6.430 millones de Elliptic, con TRM Labs en 6.360 millones repartidos en diez blockchains. Elliptic incluso excluyó 169 millones que salieron después de la pausa porque cree que fueron movimientos de la propia Binance. Si su cifra es la correcta, la reserva anunciada se queda corta por unos 90 millones.

Que la tesorería corporativa tuviera 5.000 millones en los mismos activos robados dice más sobre Binance que cualquier promesa. Es un inventario propio que supera el patrimonio de casi cualquier broker de la región y que explica cómo la cobertura pudo anunciarse en menos de 24 horas, aunque el comunicado no aclara dónde estaban custodiados esos fondos ni si compartían infraestructura con los de los clientes.

Para los 1.340 millones restantes, Binance admite que la compra tardará porque algunos tokens tienen poca liquidez y la liquidación OTC lleva tiempo. Comprar altcoins poco líquidas cuando todo el mercado sabe que hay un comprador obligado es la clase de ejecución que encarece la factura final.

Tether informó que bloqueó más de 1.570 millones en USDT y Circle más de 800 millones en USDC, casi el 80% de todo lo congelado. Circle llega a este rescate con las críticas de abril por no frenar a tiempo los fondos del hackeo a Drift, y pocas semanas después de que Binance comprara 100 millones de dólares en acciones de Circle para promover USDC, una inversión que rindió antes de lo previsto. La recuperación del mayor robo de criptomonedas registrado depende así de dos emisores centralizados con un botón que bitcoin y ether no tienen.

Richard Teng, codirector ejecutivo, sostuvo que el hackeo de Binance habría empezado en la laptop comprometida de un ingeniero de DevOps, desde la que el atacante llegó a un contenedor de servicio y envió órdenes de retiro no autorizadas. Binance asegura que no hay evidencia de filtración de claves privadas, aunque la investigación encontró después más puntos de ingreso. Si las claves no se filtraron, el sistema firmó lo que un servicio interno le pidió, y el problema queda en quién puede ordenar un retiro, el mismo punto débil de cualquier back office con permisos mal repartidos.

Los retiros siguen pausados desde la noche del jueves, con reapertura prevista en unas 48 horas y los depósitos operando con normalidad. En Argentina, donde la pausa revivió el recuerdo del corralito, fuentes de Binance le dijeron a Infobae que "ya se cubrió el faltante con fondos de la empresa", una versión que va más rápido que el comunicado global, según el cual la compra de los tokens restantes sigue en curso.

En Brasil, el plazo del Banco Central para que las prestadoras de servicios de activos virtuales (PSAV) que ya operaban pidan autorización vence hoy, y Binance presentó la suya el 23 de octubre a través de BBrasil. El régimen exige segregación patrimonial, custodia en una entidad reconocida y un capital mínimo de hasta 37,2 millones de reales, unos 6,7 millones de dólares, de modo que la reserva anunciada equivale a casi mil veces el requisito más alto. Ninguna de esas reglas habría frenado una laptop comprometida, y lo que protegió esta semana a los usuarios brasileños fue la tesorería de la matriz.

Binance promete verificar todos los saldos con su prueba de reservas, que compara lo que les debe a los clientes con lo que tiene en sus billeteras. Cuando entren los tokens recomprados, el reporte volverá a mostrar cobertura de uno a uno, igual que el miércoles, porque mide si los activos alcanzan y no quién los puso. Los 6.340 millones salen de un balance que Binance no publica, así que cada usuario sabrá que su saldo está completo sin saber cuánto le costó al exchange dejarlo así, ni cuántas veces más podría hacerlo.