En apenas veinte minutos, delincuentes informáticos consiguieron sacar miles de millones de dólares de Binance, la mayor plataforma de intercambio de criptomonedas del mundo. El ataque, ocurrido el 29 de octubre de 2026, afectó activos digitales valorados en aproximadamente 6.300 millones de dólares y podría convertirse en el mayor robo financiero conocido. Los investigadores sospechan que detrás está un grupo de hackers vinculado con Corea del Norte. Binance consiguió bloquear cerca de la mitad de los fondos comprometidos, pero miles de millones permanecen fuera de su control. La compañía prometió cubrir las pérdidas de sus clientes mientras intenta descubrir cómo vulneraron sus sistemas.
Veinte minutos bastaron para ejecutar un robo histórico
El ataque comenzó alrededor de las 20:05 UTC del jueves 29 de octubre. Según el análisis de TRM Labs, los delincuentes retiraron activos digitales de billeteras controladas por Binance en diez redes de cadenas de bloques diferentes. La mayor parte de las transferencias ocurrió durante los primeros veinte minutos.
La empresa especializada Elliptic calculó el valor de los activos sustraídos en aproximadamente 6.430 millones de dólares, ligeramente por encima de la estimación inicial comunicada por Binance. Las diferencias responden a los métodos de valoración y al alcance de las transacciones analizadas.
Para comprender la magnitud del incidente basta una comparación. En febrero de 2025, la plataforma Bybit sufrió un robo de aproximadamente 1.500 millones de dólares, considerado hasta ahora el mayor ataque conocido contra una empresa de criptomonedas. El golpe contra Binance multiplica esa cantidad por más de cuatro.
Los delincuentes no se limitaron a una moneda. Sustrajeron bitcoin, ether, XRP y diferentes activos digitales vinculados al dólar. Esa diversidad complicó los esfuerzos para inmovilizar el dinero antes de que pudiera ser transferido nuevamente.
Una computadora comprometida abrió la primera pista
La investigación inicial de Binance señaló una computadora portátil perteneciente a un ingeniero de DevOps, especialista encargado de administrar infraestructura y procesos tecnológicos.
Los atacantes habrían conseguido acceso a un contenedor de servicios y manipulado mecanismos internos de autorización de transacciones. De esa manera, lograron retirar fondos de billeteras conectadas a Internet sin superar los controles habituales.
Estas billeteras, conocidas como hot wallets, permiten procesar operaciones rápidamente porque permanecen conectadas a sistemas informáticos. Su principal ventaja es la disponibilidad inmediata, pero esa misma característica las expone a ataques remotos.
La compañía aseguró que no encontró evidencias de filtración de las claves privadas utilizadas para controlar sus billeteras. Esto sugiere que los delincuentes pudieron aprovechar permisos o procesos internos en lugar de robar directamente las credenciales criptográficas.
Sin embargo, la investigación dio un giro el viernes. Binance reconoció que descubrió otros puntos de intrusión y que el ataque fue más complejo de lo que inicialmente parecía. También identificó programas maliciosos diseñados para borrar rastros de actividad.
Miles de millones congelados, pero no recuperados
La respuesta comenzó inmediatamente después de detectar las transferencias sospechosas. Binance suspendió temporalmente depósitos y retiros mientras coordinaba acciones con empresas de análisis de cadenas de bloques y emisores de criptomonedas.
Tether congeló aproximadamente 1.570 millones de dólares relacionados con el ataque, mientras Circle inmovilizó más de 800 millones de dólares. Ambas compañías emiten monedas estables cuyo valor está vinculado al dólar estadounidense.
Estas monedas incorporan mecanismos que permiten bloquear determinados saldos cuando sus emisores identifican operaciones ilícitas. Bitcoin y otras criptomonedas descentralizadas no ofrecen necesariamente esa posibilidad.
Binance informó que alrededor de 3.000 millones de dólares habían sido localizados o congelados mediante diferentes mecanismos. Sin embargo, inmovilizar fondos no significa que hayan sido recuperados y devueltos a sus propietarios.
Elliptic estimó que los atacantes todavía controlaban aproximadamente 3.330 millones de dólares en activos que no podían bloquearse directamente mediante las funciones de sus emisores.
Los investigadores detectaron conversiones aceleradas de monedas estables hacia otros activos, incluso aceptando pérdidas considerables durante los intercambios. La prioridad de los delincuentes parecía ser mover el dinero antes de que pudiera congelarse.
Las sospechas apuntan a hackers de Corea del Norte
TRM Labs atribuyó el ataque, con un alto grado de confianza, a TraderTraitor, un grupo de ciberdelincuentes relacionado con operaciones de Corea del Norte.
La empresa identificó similitudes con ataques anteriores, tanto en los procedimientos utilizados como en los movimientos posteriores de los fondos. Elliptic también encontró conexiones entre direcciones digitales relacionadas con este robo y operaciones previamente atribuidas a actores norcoreanos.
TraderTraitor está vinculado con el ecosistema de Lazarus Group, una organización conocida por operaciones de espionaje, sabotaje y robo de criptomonedas.
Las autoridades estadounidenses sostienen desde hace años que Corea del Norte utiliza estos delitos para obtener divisas y financiar programas estratégicos, incluidos proyectos militares.
Sin embargo, la atribución del ataque contra Binance procede actualmente de investigadores privados especializados en cadenas de bloques. No existe todavía una identificación judicial definitiva de los responsables.
El FBI y el Servicio Secreto estadounidense participan en las investigaciones y colaboran con empresas del sector para localizar activos y determinar el alcance del incidente.
Binance promete que sus clientes no perderán dinero
La compañía aseguró que los fondos de sus usuarios están protegidos y anunció que utilizará recursos propios para cubrir las pérdidas derivadas del ataque.
Según Reuters, Binance reservó internamente aproximadamente 6.340 millones de dólares para responder al incidente. La plataforma también dispone de un fondo de protección denominado SAFU, diseñado para atender determinadas emergencias de seguridad.
La suspensión temporal de operaciones generó incertidumbre entre los usuarios, especialmente entre quienes necesitaban retirar dinero durante las primeras horas posteriores al ataque.
Binance comunicó que trabajaba para restablecer los retiros en un plazo aproximado de 48 horas, sujeto a las verificaciones de seguridad necesarias.
El incidente también provocó movimientos importantes en el mercado. Bitcoin y ether registraron caídas, mientras BNB, el activo asociado al ecosistema Binance, sufrió una reducción todavía mayor.
La reacción refleja la preocupación por la seguridad de las plataformas centralizadas, que concentran enormes cantidades de activos digitales bajo sistemas administrados por una misma organización.
El mayor robo de criptomonedas deja una advertencia
El ataque contra Binance demuestra que la seguridad de una cadena de bloques no garantiza automáticamente la protección de las empresas que administran criptomonedas.
Aunque las transacciones puedan estar protegidas criptográficamente, las plataformas dependen de computadoras, empleados, programas y mecanismos de autorización que también pueden ser vulnerados.
La magnitud del incidente plantea preguntas sobre la concentración de activos, la supervisión de operaciones internas y la capacidad de responder cuando los delincuentes actúan en cuestión de minutos.
También revela una contradicción del ecosistema: algunas criptomonedas permiten congelar fondos robados, mientras otras dificultan cualquier intervención una vez completadas las transferencias.
Binance todavía debe publicar una reconstrucción técnica completa del ataque y explicar cómo los delincuentes consiguieron superar sus controles.
Mientras tanto, miles de millones permanecen bajo investigación. La plataforma promete responder económicamente, pero el verdadero desafío será demostrar que puede impedir que una operación semejante vuelva a repetirse.
El robo ocurrió en minutos. Recuperar el dinero y reconstruir la confianza podría tomar mucho más tiempo.
