El mayor robo de la historia sacude a Binance y al ecosistema cripto

La noche del 29 al 30 de octubre de 2026 quedará marcada en la historia de las criptomonedas. Binance, el mayor exchange del mundo, confirmó la sustracción de aproximadamente 6.300 millones de dólares en un ataque relámpago que duró apenas 20 minutos y que afectó a diez blockchains simultáneamente. La investigación inicial apunta a un sofisticado compromiso externo, atribuido a actores estatales norcoreanos, que utilizó la laptop de un ingeniero como puerta de entrada, mientras una operación sin precedentes de emisores de stablecoins logró congelar casi la mitad del botín en las horas posteriores.

El modus operandi: de una laptop a las billeteras calientes

Según confirmó el co-CEO de Binance, Richard Teng, en una publicación en LinkedIn, la investigación inicial sugiere que el incidente de seguridad "puede haber comenzado con la laptop comprometida de un ingeniero de DevOps". Ese acceso inicial permitió al atacante llegar a un "contenedor de servicio" interno desde donde se enviaron órdenes de retiro no autorizadas.

Sin embargo, tanto Teng como los expertos coinciden en que no fue una acción simple. "El atacante no usó simplemente los permisos de un ingeniero, y esto no fue una acción de 'un solo clic'. Implicó un proceso de ataque más complejo", afirmó el ejecutivo. La firma de análisis Blockaid identificó el mecanismo técnico decisivo: en la red Ethereum se explotó la función EIP-7702, que permitió al atacante hacer que una billetera caliente de Binance ("Binance 14") delegara su control a un contrato malicioso mediante 50 autorizaciones pre-firmadas ejecutadas simultáneamente. Binance ha insistido en que no hay evidencia de fuga de claves privadas.

Respecto a la posibilidad de una "puerta abierta" interna, la versión oficial de Binance es que no se ha encontrado evidencia de participación de empleados. El consenso de los investigadores es que la laptop fue vulnerada desde el exterior, muy probablemente mediante técnicas de ingeniería social dirigidas a desarrolladores, una especialidad del grupo norcoreano Lazarus.

La carrera por congelar los fondos: ¿Dónde estaba el dinero?

El ataque se dirigió contra las billeteras calientes (hot wallets) de Binance, que son las que la plataforma mantiene conectadas a internet para procesar los retiros de los usuarios. El CEO de Binance fue categórico al afirmar que "nunca usamos fondos de los clientes" para estas operaciones y que la gran mayoría de los activos de los usuarios se mantiene en billeteras frías (cold wallets), desconectadas de internet, y solo se traslada a las calientes cuando alguien solicita un retiro. Esto explicaría por qué los fondos de los usuarios no se vieron directamente afectados.

La respuesta de la industria fue inmediata. En una operación coordinada sin precedentes, los principales emisores de stablecoins utilizaron sus permisos de administrador para bloquear los fondos robados en las redes blockchain. Según los reportes, la colaboración permitió congelar aproximadamente 3.000 millones de dólares del total sustraído.

El desglose de las entidades que actuaron es el siguiente:

• Tether (USDT): Congeló más de 1.567 millones de dólares en USDT vinculados al hackeo, según confirmó su CEO, Paolo Ardoino.
• Circle (USDC): Bloqueó aproximadamente 800 millones de dólares en USDC en coordinación con las autoridades, informó su CEO, Jeremy Allaire.
• Ripple (XRP): Congeló alrededor de 200 millones de dólares.
• World Liberty Financial: Bloqueó 27 millones de la stablecoin USD1 y 48 millones de tokens WLFI.
• Arbitrum: Su Consejo de Seguridad ejecutó una transacción para congelar cerca de 30,5 millones de dólares.
  
  No todos los fondos pudieron ser interceptados. El atacante aún retiene una suma estimada entre 2.400 y 3.300 millones de dólares en activos como Bitcoin, Ethereum y XRP, que, por su naturaleza descentralizada, no pueden ser congelados a nivel de red por un emisor central.

Atribución y respuesta

Múltiples firmas de inteligencia blockchain, incluyendo TRM Labs y Chainalysis, han atribuido el ataque con un "alto grado de confianza" al grupo TraderTraitor, una unidad de élite del Grupo Lazarus vinculada al gobierno de Corea del Norte. Este grupo ya había sido señalado por el robo de 1.500 millones de dólares a Bybit en febrero de 2025.

Binance ha comprometido la cobertura total de las pérdidas con sus propios fondos y su reserva de emergencia SAFU, asegurando que los activos de los usuarios están a salvo. La plataforma ha reservado más de 6.340 millones de dólares para este fin. Los retiros permanecen suspendidos temporalmente mientras se completan las auditorías de seguridad.

El incidente también ha abierto un debate sobre el doble estándar en la industria. Mientras que para Binance la congelación de casi 3.000 millones se logró en horas, expertos legales cuestionan si víctimas más pequeñas recibirían la misma respuesta rápida de los emisores de stablecoins, que en el pasado han exigido órdenes judiciales para actuar.