El 29 d'octubre de 2026 es va cometre el robatori de diners més gran de la història i no va caldre cap màquina que pensi. Va ser suficient amb un programa que signa, un número d'ordre i una llista de 50 intents, i el botí, uns 6.360 milions de dòlars, equival a quatre vegades el rècord anterior. La víctima va ser Binance, la casa de canvi de criptomonedes més gran del món, i el singular del cas és que cada sortida de fons portava la signatura de la mateixa Binance. La IA, la tecnologia que tots temen, no va estar en el cop, i quan va aparèixer va ser del costat dels qui persegueixen els diners. Aquesta és la lliçó de l'assalt, i per entendre-la cal veure com es va fer.

Una casa de canvi de criptomonedes funciona com un banc que guarda diners digitals per compte dels seus clients. Per pagar les retirades de cada dia, manté una part en carteres connectades a internet, anomenades carteres calentes, i la resta en carteres desconnectades, que són com una caixa forta sense cable. Cada transferència des d'una cartera calenta requereix una signatura digital, és a dir, un segell matemàtic que només pot produir-se amb una clau secreta i que prova que aquesta clau va intervenir en l'operació. No obstant això, les xarxes per les quals circulen les criptomonedes, com ara Bitcoin, Ethereum o Tron, que són registres públics compartits per milers d'ordinadors, no pregunten qui va demanar el segell ni per què, només comproven que sigui correcte. Per tant, qui controla l'aparell que signa controla els fons, encara que mai hagi vist la clau.

La preparació va començar almenys 36 hores abans. El 28 d'octubre, l'operador de l'atac va finançar un compte amb tres retirades petites de Tornado Cash, un servei que oculta l'origen dels diners digitals. El 29 al matí va provar el programa de l'assalt en dues carteres pròpies, el va assajar en una tercera i va retornar els fons de prova. Quatre hores després d'aquest assaig, el mateix programa va quedar instal·lat en una cartera calenta de Binance a la xarxa Ethereum. Aquesta xarxa va incorporar el maig de 2025 una funció que permet a una cartera comuna atorgar un poder a un programa, com qui signa davant un notari un poder a favor d'un apoderat, i des d'aquest moment el programa gestiona la cartera fins que el propietari signa un altre poder que anul·li l'anterior. L'intrús va fer que el compte de Binance signés 50 poders a favor d'un programa que l'obeïa únicament a ell. Cada cartera porta un número d'ordre que puja amb cada operació i un poder que val només per a un número precís, però el compte de Binance pagava retirades sense parar i el número avançava. Amb 50 números consecutius era gairebé segur que un coincidís, i un va ser suficient.

A les 20:05 hora de Londres, cinc comptes de Binance a la xarxa XRP es van buidar en quatre minuts. A les 20:24, tres minuts i 24 segons després del poder, la cartera d'Ethereum va enviar a l'intrús 167.464 unitats d'ether, la moneda d'aquesta xarxa, juntament amb 1.615 milions de dòlars en USDT, una moneda estable, és a dir, una criptomoneda emesa per l'empresa Tether i dissenyada per valer un dòlar. En la mateixa mitja hora, comptes de Binance en altres vuit xarxes van enviar els seus saldos a l'atacant mitjançant transferències signades comunes. Aquests comptes usen claus i sistemes de segell diferents entre si, la qual cosa descarta una sola clau sostreta. La firma de rastreig TRM Labs va concloure que el delinqüent va aconseguir que el sistema de signatura de Binance autoritzés el que ell volia en les 10 xarxes. Binance va dir primer que tot va començar a l'ordinador portàtil infectat d'un enginyer, des del qual l'atacant va arribar a un servei intern amb permís per demanar segells de retirada, i va aclarir que no va trobar evidència d'una clau filtrada. Després va admetre "punts addicionals de vulneració", va informar que l'intrús va usar un mecanisme d'autodestrucció per esborrar les seves eines i rastres, i va prometre un informe sobre la causa. Queda per saber si no existia un mur entre els signadors de cada xarxa o si existia i el porter obria a qualsevol.

La reacció va arribar tard i va costar diners, no només temps. Changpeng Zhao, fundador de Binance, va avisar a la xarxa X que semblava un assalt abans que l'empresa. A les 21:24, una hora després de la gran escombrada, Binance va anunciar que investigava "un possible problema de seguretat", i a les 22:15 va suspendre tots els dipòsits i retirades. No obstant això, el poder signat a favor de l'intrús seguia vigent, i els propis sistemes de Binance van seguir encaminant dipòsits de clients cap a la cartera presa, de manera que cada dòlar que entrava sortia de seguida, amb escombrades successives fins a les 23:56. Al seu torn, a les 23:05 van caure els comptes de Binance en altres dues xarxes, Avalanche i Polygon. Canviar la clau no servia de res, perquè el poder pertany a la cartera i no a la clau, i només s'anul·la amb un altre poder signat. Binance va signar aquesta anul·lació a les 00:10 del 30 d'octubre, 3 hores i 49 minuts després de la instal·lació, segons consta en el registre públic d'Ethereum. Mentrestant, dos emissors de monedes estables, Ripple i World Liberty Financial, van bloquejar les seves monedes dins de la pròpia cartera de Binance perquè l'intrús no pogués seguir buidant-la. Binance sosté que les sortides van cessar després de la suspensió, però no va publicar la cronologia de les seves alertes internes.

El destí del botí va dependre de tres mecanismes de control diferents sobre els actius digitals. El primer és l'interruptor de l'emissor, que existeix en les monedes estables perquè hi ha una empresa al darrere. Tether va immobilitzar 971 milions de dòlars a les 21:01 i Circle, emissora de la moneda estable USDC, va bloquejar 823 milions de dòlars a les 21:04. Amb les intervencions posteriors, Binance va comptar uns 3.000 milions de dòlars congelats. L'intrús coneixia aquest interruptor i va córrer contra ell. Va vendre 325 milions de dòlars en USDT a canvi d'ether acceptant un descompte de més del 10%, va manllevar 19.760 ether contra altres 60 milions de dòlars en una plataforma de préstecs anomenada Aave, que després va tancar aquests mercats, i va enviar altres 300 milions de dòlars a una plataforma similar a la xarxa Tron.

El segon mecanisme és el comitè d'emergència d'una xarxa. A Arbitrum, una xarxa construïda sobre Ethereum, un consell de seguretat de 12 membres va alterar de forma temporal un contracte i va moure 8.426 ether i 74,6 milions de la moneda ARB des de la cartera de l'atacant a un compte intermedi, que només s'obre amb una votació. El mateix consell va fer el mateix l'abril de 2026 amb els diners sostrets a la plataforma KelpDAO, amb nou dels 12 vots, i la comunitat va discutir si una xarxa capaç de moure saldos sense el segell del propietari segueix sent descentralitzada. El tercer mecanisme no existeix, i és el cas del bitcoin, que no té empresa ni comitè. Els 18.270 bitcoins sostrets, uns 1.470 milions de dòlars, van anar a 19 adreces, 17 d'elles amb exactament 1.000 bitcoins, i al 30 d'octubre de 2026 no havien tocat cap casa de canvi, pont ni mesclador. Ningú al món pot congelar-los. TRM Labs i Chainalysis atribueixen el cop a TraderTraitor, la unitat de pirates informàtics de Corea del Nord que va buidar Bybit el febrer de 2025, perquè fons sostrets el setembre de 2026 a la casa de canvi Bitget es van barrejar amb els de Binance en les mateixes carteres. L'FBI va dir únicament que n'estava al corrent.

Binance va reservar 6.340 milions de dòlars de recursos propis per cobrir-ho tot, dels quals 5.000 milions de dòlars ja estaven en les mateixes monedes sostretes, i compra la resta al mercat. El seu fons d'emergència per a clients guarda 15.000 bitcoins, uns 1.170 milions de dòlars, de manera que el lladre té més bitcoins que el fons. L'empresa sobreviurà, perquè ja té reservada la pèrdua sencera. Les monedes estables congelades tornaran a Binance per la via legal, perquè les empreses que les van bloquejar poden emetre-les de nou, encara que aquest procés no té data. Els bitcoins i l'ether no tornaran, com no va tornar res equivalent de Bybit, i Corea del Nord es quedarà amb uns 2.400 milions de dòlars, la xifra que TRM Labs va estimar fora de tot abast al 30 d'octubre de 2026, més que tot el que va obtenir a Bybit. El que Binance encara ha d'explicar és com un ordinador infectat va arribar fins a l'aparell que signa per a 10 xarxes, i mentre aquesta resposta no arribi, qualsevol casa de canvi del món ha de suposar que el seu signador també obeeix a qualsevol.

I aquí torna la IA, que en tot aquest assalt va brillar per la seva absència. La regla que frenava la part més gran del cop cap en una línia, i és la que TRM Labs recomana després del fet, és a dir, rebutjar qualsevol poder signat sobre una cartera de tresoreria i tractar una petició de molts segells consecutius com a senyal d'intrusió. Aquesta prohibició salvava els 3.790 milions de dòlars que van sortir per Ethereum, i la resta només ho salvava un signador que no obeís a qualsevol. Per a res d'això cal intel·ligència, cal una regla. D'altra banda, la IA va entrar en la història pel costat dels qui persegueixen els diners, perquè les firmes que van reconèixer el patró en poques hores són les mateixes que venen plataformes d'investigació amb IA. Aquest patró ja era conegut, ja que les retirades petites de Tornado Cash, l'assaig en carteres pròpies i els segells obtinguts per avançat són la mateixa seqüència de Bybit i de KelpDAO, i els senyals de l'assaig estaven a la vista en un registre públic des del matí del 29 d'octubre. La pròxima defensa de les cases de canvi serà un vigilant que llegeixi aquest registre abans del cop, i el pròxim atracament d'aquesta escala apuntarà una altra vegada a l'aparell que signa, perquè una clau es guarda i un signador que obeeix a qualsevol no.

Les coses com són.