El atacante a Binance «no usó simplemente los permisos de un ingeniero» y que fue «un proceso de ataque más complejo»
El hackeo de Binance sacó unos US$6.300 millones de 17 billeteras calientes del exchange en nueve redes, en menos de cuatro horas del jueves 29 de octubre. Es el mayor robo de criptomonedas registrado: más de cuatro veces el de Bybit y casi el doble de todo lo robado en 2025.
Binance dice que todo empezó en el portátil comprometido de un ingeniero, que no se filtraron claves privadas y que cubrirá todas las pérdidas.
Chainalysis, TRM Labs y otros investigadores apuntan al grupo norcoreano TraderTraitor.
Los retiros siguen pausados: Binance dice que ya cubrió el 90% de lo robado, que sigue en camino de reabrirlos este domingo 1 de noviembre y que la prueba completa de reservas estará hacia el martes 3.En esta nota11 secciones
Detalles
- Ya cubrió el 90%. En su tercera actualización, publicada en X a las 9:30 a. m. de Bogotá del sábado (14:30 UTC), Binance dijo que lo cubierto subió del 80% al 90% y que BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD y ZEC ya están respaldados al 100%. El 10% que falta son tokens con menos liquidez, fuera de esos diez, que seguirá comprando en el mercado y por OTC.
- De dónde salió el dinero. Binance usó una parte del SAFU, su fondo de emergencia para usuarios creado en 2018, una parte del fondo de seguro de futuros (solo el excedente sobre el mínimo que exige su marco de riesgo, según la empresa) y su propia tesorería. Dice que repondrá el SAFU hasta unos US$1.000 millones.
- Prueba de reservas, por partes. Tomó una nueva foto de reservas a las 00:00 UTC del 31 de octubre y ya la cargó en su página de prueba de reservas. La prueba completa de conocimiento cero, la que permite a cada usuario comprobar que sus fondos están respaldados al menos 1 a 1, tarda de 40 a 50 horas en generarse: Binance la estima para el martes 3 de noviembre (UTC), no para el lunes.
- Retiros: siguen para el domingo. Binance dice que sigue “en camino” de reabrir los retiros en el plazo que dio, el domingo 1 de noviembre, y que dará más detalles cuando los confirme.
- El plazo de 34 horas. En su segunda actualización del incidente, firmada por los codirectores ejecutivos Yi He y Richard Teng y publicada hacia las 2:33 p. m. de Bogotá del viernes (19:33 UTC), Binance dijo que busca empezar a restablecer los retiros “en aproximadamente 34 horas”, siempre que terminen las revisiones de seguridad, y que lo hará de forma gradual. Por nuestro cálculo, eso apunta a la madrugada del domingo 1 de noviembre, hacia las 12:30 a. m. de Bogotá. Binance no dio una hora ni dijo qué redes o activos vuelven primero.
- El viernes era el 80%. De los más de US$6.340 millones que apartó, unos US$5.000 millones ya estaban en USDC, USDT, BTC, ETH y BNB, los mismos activos robados. El resto lo compra en el mercado y por OTC. “Binance absorberá el impacto financiero de estos fondos robados, no nuestros usuarios”, escribió la empresa (traducción propia).
- Más puntos de entrada y huellas borradas. Teng dijo en un video que encontraron más puntos de intrusión, que el atacante usó un mecanismo de autodestrucción que borró herramientas y rastros, y que la delegación EIP-7702 “no pasó por nuestros controles normales de aprobación” (CoinDesk; Decrypt).
- Servicio Secreto y FBI. El Servicio Secreto de Estados Unidos trabaja con Circle para recuperar fondos, y el FBI dice que está al tanto y coordina con sus socios (Decrypt). Ningún gobierno ha atribuido el ataque en público; la pista de Corea del Norte sigue siendo de Chainalysis, TRM Labs y Elliptic.
- Lo que sigue en manos del atacante. Elliptic verifica US$2.850 millones congelados o incautados y calcula que el atacante aún controla unos US$3.210 millones que ningún emisor puede congelar. Entre ellos hay 18.270 BTC repartidos en 19 direcciones que no se habían movido el sábado temprano: más que los 11.509 BTC de Tesla y más del doble de la reserva de El Salvador, según CoinDesk.
- Reacciones en Washington. Donald Trump dijo que está revisando el caso. El presidente de la CFTC, Michael Selig, dijo en CNBC que el problema son los exchanges extraterritoriales sin regulación y que el hackeo “prueba exactamente nuestro punto” (Decrypt; The Block).
La causa, según Binance
Su investigación inicial apunta al «portátil comprometido de un ingeniero DevOps», que le dio al atacante acceso a un contenedor de servicio desde el que envió retiros no autorizados. No encontró pruebas de que se filtrara ninguna clave privada. Horas después dijo que halló «puntos de intrusión adicionales».
El codirector ejecutivo Richard Teng escribió que el atacante «no usó simplemente los permisos de un ingeniero» y que fue «un proceso de ataque más complejo». Aclaró que la investigación «no ha atribuido la responsabilidad a ningún individuo».
Binance dice que trabaja con las fuerzas del orden, sin nombrarlas. Una fuente citada por Cointelegraph dice que coopera con el FBI. Ninguna autoridad ha atribuido el ataque en público.
Cronología del hackeo, minuto a minuto
| Hora de Bogotá (UTC) | Qué pasó |
|---|---|
| 28 oct, mañana | La billetera que opera el ataque recibe sus primeros fondos desde Tornado Cash, un mezclador que borra el rastro (Arkham). |
| 29 oct, madrugada | El atacante prueba su código en dos billeteras y lo ensaya en una tercera (Arkham). |
| 9:54 a. m. (14:54) | La billetera para pagar comisiones recibe cerca de 1 ETH desde Tornado Cash (Bitquery). |
| 3:04 p. m. (20:04) | Primer vaciado: 233,5 millones de XRP salen hacia una cuenta creada un minuto antes (Bitquery). |
| 3:10 p. m. (20:10) | Empieza el vaciado en Solana. |
| 3:20 p. m. (20:20) | Salen 613 millones de USDT de la billetera de Binance en Tron y 18.270 BTC en un solo bloque de Bitcoin. A las 3:20:59 p. m., el atacante instala en la billetera Binance 14 de Ethereum 50 autorizaciones EIP-7702. |
| 3:24 p. m. (20:24:23) | Golpe principal: una sola transacción saca de Binance 14 unos 167.464 ETH, 1.600 millones de USDT y decenas de tokens. Arkham la valora en US$2.530 millones. |
| 3:30 p. m. (20:30) | Empieza el vaciado en Arbitrum. |
| 3:48 p. m. (20:48) | Los 18.270 BTC quedan repartidos en 19 direcciones, casi todas de 1.000 BTC exactos. No se han movido desde entonces. |
| 3:57 p. m. (20:57) | World Liberty Financial congela los WLFI de la billetera receptora: el primer congelamiento de la noche. |
| 4:01 p. m. (21:01) | Tether congela USDT del atacante. Para entonces, 700 millones de USDT ya habían salido hacia otras billeteras. |
| 4:04 p. m. (21:04) | Circle congela 823 millones de USDC. |
| 4:29 p. m. (21:29) | Binance publica que los fondos de los usuarios están “completamente seguros”. |
| 5:15 p. m. (22:15) | Binance informa que deshabilitó los retiros. |
| 6:56 p. m. (23:56) | Último vaciado en Ethereum, más de hora y media después de la pausa de retiros. |
| 7:10 p. m. (00:10) | Binance anula la autorización EIP-7702: el código del atacante controló su principal billetera de Ethereum durante 3 horas y 50 minutos. |
| 7:18 p. m. (00:18) | El Consejo de Seguridad de Arbitrum bloquea 74,6 millones de ARB y 8.425 ETH, unos US$30,5 millones. |
| 9:25 p. m. (02:25) | Binance publica sus primeros hallazgos: el portátil de un ingeniero, sin filtración de claves y un impacto estimado de US$6.300 millones. |
| 30 oct, 12:01 a. m. (05:01) | Jonathan Levin, director ejecutivo de Chainalysis, atribuye el ataque “probablemente” a TraderTraitor. ZachXBT vincula los fondos con el hackeo de Bitget. |
| 3:37 a. m. (08:37) | Binance habla de “puntos de intrusión adicionales” y de reabrir los retiros en 45 horas. |
| 5:09 a. m. (10:09) | Chainalysis dice ver patrones de lavado “nunca antes vistos”, con miles de transacciones automatizadas. |
| 5:55 a. m. (10:55) | Binance anuncia la reserva de US$6.340 millones para cubrir las pérdidas. |
Fuentes de la cronología: Arkham, Bitquery, Etherscan, el blog en vivo de Cointelegraph y las cuentas oficiales en X de Binance y de los emisores. Las horas de cada vaciado vienen de los registros de las cadenas de bloques.
Cuánto se robó realmente
No hay una sola cifra porque cada firma cuenta distinto: unas valoran las monedas al precio del momento del robo, otras a precios de horas después, y no todas incluyen el retiro de XRP, que no comparte direcciones con el resto del ataque.
| Fuente | Estimación |
|---|---|
| Binance («impacto total estimado») | Unos US$6.300 millones |
| Chainalysis | US$5.912 millones al momento del robo; luego, US$6.400 millones |
| Arkham | US$6.360 millones en diez redes |
| Bitquery (17 billeteras, nueve redes) | US$6.320 millones |
Según Bitquery, la cifra de Binance solo cuadra si se suman los 233,5 millones de XRP que salieron por el XRP Ledger: unos US$300 millones ligados al ataque por la hora y la forma de las transacciones.
Este es el reparto por red, al precio del momento del robo:
| Red | Valor robado |
|---|---|
| Ethereum (tres billeteras) | US$3.770 millones |
| Bitcoin (18.270 BTC) | US$1.480 millones |
| Tron (613 millones de USDT y más) | US$628 millones |
| XRP Ledger (233,5 millones de XRP) | US$300 millones |
| Solana | US$96 millones |
| Arbitrum | US$32 millones |
| Polygon | US$10 millones |
| Optimism | US$4,8 millones |
| Base | US$2,7 millones |
| Total | US$6.320 millones |
Fuente: investigación de Bitquery, con datos leídos hasta las 06:43 UTC del 30 de octubre.
Quién está detrás: lo que se sabe y lo que no
- Chainalysis: Levin escribió que el robo “probablemente” lo hizo TraderTraitor, un grupo de Corea del Norte, “por vínculos con un hackeo anterior”.
- TRM Labs: atribuye el ataque a TraderTraitor con “alta confianza”, basada en inteligencia dentro y fuera de las cadenas de bloques.
- ZachXBT: el investigador vio fondos de este ataque y del hackeo a Bitget de septiembre mezclados en la misma dirección, tras pasar por THORChain. “Esto indica que probablemente el mismo actor está detrás de ambos incidentes”, escribió. El hackeo de Bitget ya se había atribuido a TraderTraitor.
- Blockaid: su director ejecutivo, Ido Ben-Natan, dijo a Cointelegraph que la preparación en cadena, el contrato para barrer fondos y las múltiples autorizaciones se parecen al trabajo de Corea del Norte.
- Binance: no ha nombrado a nadie. Dice que trabaja con las fuerzas del orden.
TraderTraitor es el mismo grupo al que el FBI culpó del robo de US$1.500 millones a Bybit en febrero de 2025, y forma parte del ecosistema de hackers norcoreanos conocido como Lazarus. Hoy la atribución viene de empresas privadas de análisis, no de un gobierno.
Cómo lo hicieron
Las cadenas de bloques confirman la versión de Binance en un punto clave: cada retiro lleva una firma válida de una billetera del exchange. El sistema de retiros de Binance firmó las transferencias, pero quien las pidió fue el atacante. Según Bitquery, esas transacciones estaban construidas distinto a las normales: en Bitcoin pagaron cerca del doble de la comisión habitual.
En Ethereum, el atacante fue más lejos. Usó EIP-7702, una función que permite a una billetera ejecutar el código de un contrato como si fuera propio. Como cada autorización solo sirve para un número exacto de transacción, preparó 50 seguidas para asegurarse de que una coincidiera. Desde ese momento, la billetera Binance 14 obedeció al atacante. Ben-Natan, de Blockaid, dijo que el robo era posible sin EIP-7702, pero que esa función le permitió hacerlo “de un solo barrido”.
Dónde está el dinero ahora
A las 06:43 UTC del viernes, el atacante conservaba unos US$3.200 millones, según Bitquery: unos US$1.430 millones en BTC, US$1.140 millones en ETH, US$294 millones en XRP, US$227 millones en TRX y US$95 millones en SOL. Casi todo está en billeteras que nunca han enviado una transacción. Bitquery no encontró envíos a exchanges, mezcladores ni puentes conocidos hasta esa hora. Arkham, con otro método, calcula que el atacante tiene unos US$2.400 millones.
Ya hay movimiento: desde la madrugada, el atacante convierte TRX en USDT en SunSwap a través de direcciones nuevas, y Chainalysis reporta miles de transacciones automatizadas para borrar el rastro.
Lo que muestran los datos (análisis de Criptoinforme)
- Ethereum fue el 60% del golpe. De los US$6.320 millones que calcula Bitquery, US$3.770 millones salieron de Ethereum, casi todo de una sola billetera.
- La pausa de retiros no cerró la puerta. El último vaciado en Ethereum ocurrió a las 6:56 p. m. de Bogotá, más de hora y media después de que Binance deshabilitara los retiros. La pausa frenó a los usuarios, pero el código del atacante siguió activo dentro de la billetera hasta que Binance anuló la autorización, a las 7:10 p. m.
- El atacante pagó por huir de los congelamientos. Robó unos 200.630 ETH, pero ya tiene 508.621 ETH: 2,5 veces más. La diferencia la compró con stablecoins y tokens robados, pagando cerca de 15% por encima del precio de mercado, según Bitquery. Prefirió perder dinero antes que dejar USDT que Tether podía bloquear.
- Tether llegó tarde a la mitad de las billeteras. Seis de sus 11 congelamientos cayeron en billeteras que ya estaban vacías, y 729 millones de USDT se cambiaron por ETH y TRX antes de los bloqueos (Bitquery).
- Congelado, menos de la mitad. Los US$3.000 millones que reporta Binance son el 48% de su propia estimación. El resto está en BTC, ETH, XRP, TRX y SOL, monedas sin un emisor que pueda congelarlas.
Los mayores robos de criptomonedas
| Caso | Valor al momento del robo |
|---|---|
| Binance (2026) | Unos US$6.300 millones |
| Bybit (2025) | Unos US$1.500 millones |
| Ronin, Axie Infinity (2022) | Unos US$620 millones |
| Poly Network (2021) | Unos US$610 millones, devueltos casi en su totalidad |
| BNB Bridge, de Binance (2022) | Unos US$570 millones |
| Coincheck (2018) | Unos US$530 millones |
Solo este robo supera todo lo robado en criptomonedas en 2025 (US$3.400 millones, según Chainalysis). Binance ya había sufrido el robo de 7.000 BTC en 2019, que cubrió con SAFU, su fondo de emergencia, y el ataque al puente de BNB Chain en 2022.
El impacto en el mercado
Bitcoin cayó hasta US$76.400, su nivel más bajo desde el 18 de septiembre, y las liquidaciones llegaron a US$1.570 millones, según CoinDesk. BNB, el token de Binance, llegó a caer 8%, hasta unos US$693.
Qué significa para ti
- Si tienes fondos en Binance: no puedes retirarlos hasta que reabra el servicio. Binance dice que tus fondos están a salvo y que cubrirá cada pérdida; es su compromiso, no una garantía de un supervisor. La prueba completa de reservas, con la que puedes comprobar tu propio saldo, se espera hacia el martes 3 de noviembre. Cuando reabra, es probable que no todo vuelva a la vez: los retiros serán por fases.
- En Venezuela y Bolivia, el precio del USDT no se disparó: el P2P en bolívares seguía cerca de Bs 1.003 el viernes por la mañana, como antes del ataque, y en Bolivia la mediana era de Bs 12,19 tras el hackeo. Binance no ha dicho si su P2P opera con normalidad, pero Bloomberg Línea, con datos del monitor El Cambio VE, informó que los anuncios de compra y venta en bolívares siguieron activos durante y después del ataque, y CriptoNoticias dice que las operaciones entre particulares continuaron. El sábado, el mejor precio P2P en Venezuela rondaba Bs 979 a Bs 992, por debajo de los Bs 1.011 del 28 de octubre. En Argentina, Lemon y Bitso dijeron a iProUP que no vieron movimientos fuera de lo habitual.
- En España, Binance no tiene licencia MiCA y, desde julio, sus usuarios solo pueden vender a euros o USDC y retirar. Retirar es justo lo que está pausado. La CNMV advirtió que con una plataforma no autorizada no hay protección de MiCA.
- Cuidado con las estafas. Nadie puede “desbloquear” tu saldo ni adelantarte un retiro. Sigue solo los canales oficiales de Binance y no firmes nada ni envíes monedas a quien te escriba por el hackeo.
- Cuando vuelvan los retiros: revisa la dirección antes de confirmar y usa la lista blanca de direcciones de retiro.
Comente