El 29 de octubre de 2026, Binance, el mayor exchange de criptomonedas del mundo, sufrió el robo más grande de la historia del sector. Unos 5.800 millones de euros (unos 6.300 millones de dólares) en activos digitales salieron de sus carteras calientes en cuestión de minutos, según la propia compañía y análisis de blockchain. Binance ha prometido cubrir todas las pérdidas con fondos propios y del fondo SAFU, y los retiros permanecen suspendidos mientras investiga.
Qué ocurrió y cuánto se llevó
Según el anuncio oficial de Binance, la investigación inicial apunta a un portátil comprometido de un ingeniero DevOps que permitió acceder a un contenedor de servicios y enviar transacciones de retirada no autorizadas. No hay evidencia de filtración de claves privadas de las carteras. El impacto estimado es de alrededor de 5.800 millones de euros, con unos 2.760 millones congelados on-chain hasta el momento gracias a socios del ecosistema.
TRM Labs, firma de inteligencia blockchain, cifra el total en unos 5.850 millones de euros movidos desde carteras de Binance en diez cadenas de bloques, la mayor parte en unos 20 minutos a partir de las 20:05 UTC del 29 de octubre. Ethereum concentró la mayor parte (unos 3.490 millones de euros), seguido de Bitcoin (1.350 millones) y Tron. Es aproximadamente cuatro veces el robo de 1.380 millones de euros a Bybit en febrero de 2025.
Cómo se ejecutó el ataque
El análisis de TRM Labs indica que el atacante comprometió la infraestructura de firma de las carteras calientes de Binance. En Ethereum utilizó la funcionalidad EIP-7702 (introducida en la actualización Pectra) con 50 autorizaciones pre-firmadas para convertir una cartera caliente en un «sweeper» bajo su control. En otras cadenas, las transferencias fueron firmas válidas ordinarias. La preparación empezó al menos 36 horas antes, con fondos desde Tornado Cash y pruebas en carteras de test.
Binance ha aclarado que no fue un simple uso de permisos de un empleado ni una acción de un solo clic, y que la investigación ha encontrado puntos de brecha adicionales. El co-CEO Richard Teng ha reiterado que los fondos de los usuarios no se tocaron: la mayoría está en carteras frías y solo se mueve a calientes para retiros.
Quién está detrás y qué se ha congelado
TRM Labs atribuye el ataque con alta confianza a TraderTraitor, la unidad de élite de hackers de Corea del Norte vinculada al grupo Lazarus y responsable, según el FBI, del robo a Bybit. Chainalysis ha señalado patrones similares y comingle de fondos con un exploit previo a Bitget atribuido a actores norcoreanos. Binance no ha confirmado la atribución y trabaja con fuerzas de seguridad.
Emisores de stablecoins como Tether, Circle, Ripple y World Liberty Financial congelaron cerca de 2.480 millones de euros en activos freezables. El atacante mantiene unos 2.210 millones en ETH y BTC que no pueden congelarse de la misma forma. Binance ha reservado más de 5.830 millones de euros de sus propios fondos para cubrir, de los cuales 4.600 millones ya están en los tokens exactos afectados.
Qué significa para usuarios en España y la UE
Binance opera con restricciones en varios países europeos, pero muchos usuarios españoles y de la UE mantienen cuentas o activos en la plataforma. La compañía insiste en que los fondos de clientes están seguros y serán restituidos. Los retiros están pausados (depósitos abiertos en actualizaciones posteriores) y se espera reanudarlos antes del domingo, con un Proof of Reserves actualizado tras la remediación.
El incidente subraya los riesgos de las carteras calientes en exchanges centralizados y la sofisticación de los actores estatales. Para usuarios, refuerza la importancia de no dejar grandes cantidades en plataformas y de seguir canales oficiales. Reguladores europeos (MiCA, etc.) ya exigen mayores controles, y un robo de esta magnitud intensificará el escrutinio.
Contexto de los robos norcoreanos y el sector
Corea del Norte ha perfeccionado el uso de ciberataques para generar ingresos en medio de sanciones internacionales. El grupo Lazarus y su subunidad TraderTraitor han estado detrás de múltiples robos multimillonarios a exchanges y protocolos DeFi. El caso Bybit de 2025 marcó un récord anterior de unos 1.380 millones de euros, y este de Binance lo supera ampliamente. Las firmas de análisis destacan patrones repetidos: preparación con mixers como Tornado Cash, uso de técnicas avanzadas de firma y rapidez extrema en el movimiento de fondos.
Binance, fundado por Changpeng Zhao y ahora dirigido por un equipo que incluye a Richard Teng como co-CEO, es el exchange de mayor volumen del mundo. Su infraestructura maneja miles de millones diarios, lo que hace que cualquier compromiso de la capa de firma tenga impacto sistémico. El fondo SAFU (Secure Asset Fund for Users) se diseñó precisamente para estos escenarios y, junto a reservas corporativas, permite la cobertura total anunciada.
Para usuarios en España, la situación es relevante aunque Binance no tenga licencia completa bajo MiCA en todos los casos. Muchos residentes mantienen cuentas o han operado a través de entidades reguladas o bridges. La pausa de retiros genera incertidumbre temporal, pero la promesa de cobertura total y la ausencia de impacto en fondos de clientes (según Binance) reducen el riesgo directo de pérdida. Aun así, expertos recomiendan diversificar custodia y no depender de un solo exchange para grandes cantidades.
El uso de EIP-7702 en Ethereum muestra cómo actualizaciones del protocolo pueden ser aprovechadas por atacantes sofisticados cuando combinan con acceso a sistemas de firma. No se trata de un fallo del estándar en sí, sino de la capacidad del atacante para generar firmas válidas a escala. Esto plantea preguntas sobre los controles de acceso, segmentación y monitoreo en tiempo real de las infraestructuras de exchanges.
En cuanto a la recuperación, aproximadamente la mitad de los fondos (los freezables, principalmente stablecoins) han sido bloqueados por emisores. El resto, en BTC y ETH principalmente, requiere seguimiento on-chain y posible cooperación internacional. La atribución de alta confianza de TRM y Chainalysis no sustituye una confirmación oficial de gobiernos o de Binance, por lo que debe tratarse como análisis de inteligencia, no como hecho judicial.
Este incidente llega en un momento de fuerte inversión en IA y hardware, pero subraya que la ciberseguridad de las plataformas financieras digitales sigue siendo un punto crítico. La Cyber Resilience Act de la UE y normativas similares exigirán a proveedores de software y dispositivos mayores responsabilidades de ciclo de vida, y los exchanges no quedarán al margen del escrutinio regulatorio.
Qué puede pasar ahora
Binance publicará un post-mortem técnico completo una vez verificados los hechos. La recuperación de los fondos congelados dependerá de la cooperación de emisores y fuerzas de seguridad. La atribución a Corea del Norte, si se confirma oficialmente, podría tener implicaciones geopolíticas y de sanciones. El mercado cripto reaccionó con caídas, pero la cobertura total anunciada ha limitado el pánico entre usuarios de Binance.
Este episodio se suma a una serie de robos atribuidos a actores norcoreanos y demuestra que incluso los mayores exchanges pueden ser vulnerados cuando se compromete la infraestructura de firma. Para más contexto sobre amenazas cibernéticas recientes, consulta nuestra cobertura del fallo Node2Shell en Node.js o de la Cyber Resilience Act europea.
Fuentes principales: anuncio oficial de Binance, análisis de TRM Labs, declaraciones de Richard Teng y reportes de Reuters y Elliptic.
Deja una respuesta