Hackeo a Binance: las estimaciones del mayor robo cripto pasan de 2.000 a 6.400 millones

El hackeo de Binance, el mayor exchange de criptomonedas del mundo, ha alcanzado unas dimensiones sin precedentes. La propia compañía estima que el ataque afecta a unos 6.300 millones de dólares, una cifra que lo convierte en el mayor robo de criptomonedas registrado hasta la fecha, según la firma de análisis TRM Labs.

Ante la magnitud del incidente, Binance ha suspendido temporalmente las retiradas de fondos, aunque asegura que el dinero de sus usuarios está a salvo. Mientras tanto, Tether y Circle han conseguido congelar más de 2.300 millones de dólares en stablecoins vinculadas al ataque, según sus respectivos directores ejecutivos.

Cómo se destapó el ataque a Binance

Todo comenzó la noche del 29 de octubre, cuando se detectó un movimiento de unos 2.000 millones de dólares, principalmente en ether, desde las hot wallets de Binance hacia carteras externas recién creadas. Estas hot wallets son monederos conectados a internet que permiten a la plataforma disponer de liquidez para sus operaciones diarias.

La confirmación llegó a través de Changpeng Zhao, cofundador de Binance y su mayor accionista, aunque actualmente ya no dirige la compañía. “Los fondos de los usuarios están a salvo”, escribió en X tras conocerse el ataque.

Sin embargo, aquellos primeros 2.000 millones de dólares eran solo una parte del alcance del incidente. Binance revisó posteriormente sus cálculos y reconoció una cantidad mucho mayor. “El impacto total estimado ronda los 6.300 millones de dólares”, publicó la compañía en X. También aseguró que, con la colaboración de socios del sector blockchain, había conseguido congelar en cadena unos 3.000 millones de dólares.

Las cifras del robo cambian según quién las mida

La magnitud del hackeo se ha ido conociendo a medida que avanzaba el análisis de los movimientos de fondos. La primera alerta apuntaba a unos 2.000 millones de dólares, pero las estimaciones posteriores multiplicaron esa cantidad. Además, las cifras publicadas por Binance y las firmas especializadas no coinciden exactamente, ya que responden a diferentes cálculos sobre el alcance del ataque.

Más allá de la diferencia entre las estimaciones, uno de los aspectos más llamativos es la rapidez con la que se produjo el robo. Según TRM Labs, la mayor parte del dinero salió de Binance en apenas 20 minutos.

Cómo entró el atacante, según Binance

La investigación preliminar de Binance apunta a que el ataque pudo comenzar en el portátil de uno de sus ingenieros de DevOps, que habría sido comprometido. Desde ese equipo, el atacante habría conseguido acceder a un contenedor de servicio y enviar órdenes de retirada de fondos sin autorización.

La compañía asegura que, por el momento, no ha encontrado indicios de que se hayan filtrado las claves privadas de sus monederos. Esta diferencia es importante porque, con esas claves, el atacante habría podido controlar directamente las carteras. En cambio, la principal hipótesis apunta a una vulneración de los sistemas internos encargados de autorizar y procesar las retiradas.

“Si se confirma que el ataque comenzó en el portátil de un empleado, habrá que explicar por qué los sistemas de seguridad permitieron retirar semejantes cantidades de dinero. No basta con proteger las claves privadas: también es fundamental que existan controles capaces de detectar y detener operaciones sospechosas”, explica Pablo Vega, experto en finanzas de Roams.

El análisis de TRM Labs también ha permitido reconstruir parte del procedimiento utilizado. En Ethereum, la firma detectó una autorización EIP-7702 firmada previamente que habría servido para convertir un monedero caliente de Binance en un mecanismo de barrido controlado por el atacante. En otras redes, los fondos se movieron mediante transferencias firmadas convencionales.

Qué han congelado Tether, Circle y otros socios

Una de las principales actuaciones para contener el impacto del ataque ha sido el bloqueo de parte de los activos sustraídos. Según sus directores ejecutivos, Paolo Ardoino y Jeremy Allaire, Tether ha congelado más de 1.500 millones de dólares en USDT y Circle otros 800 millones en USDC. Entre ambas compañías superan los 2.300 millones de dólares. “Seguiremos apoyando la investigación”, escribió Allaire en X.

Este bloqueo es posible porque los emisores de estas stablecoins pueden actuar sobre direcciones concretas. Aunque los tokens continúan registrados en la blockchain, una dirección bloqueada deja de poder transferirlos o canjearlos mediante los mecanismos que controla el emisor.

La colaboración también se ha extendido a otras compañías del sector. Según Yi He, cofundadora de Binance, Ripple consiguió impedir el movimiento de unos 200 millones de dólares.

Sin embargo, recuperar o inmovilizar los bitcoins sustraídos resulta más complicado. A diferencia de las stablecoins mencionadas, Bitcoin no cuenta con una entidad central capaz de bloquear fondos. TRM Labs calcula que el atacante llegó a controlar 18.270 BTC, que posteriormente distribuyó entre varias direcciones.

Los movimientos tampoco se limitaron a transferencias entre monederos. El atacante utilizó stablecoins como garantía en Aave para obtener ether y realizó intercambios mediante mecanismos vinculados a Uniswap. Ante la situación, Aave congeló temporalmente determinados mercados, aunque no detectó daños en sus contratos.

“Que se hayan congelado miles de millones de dólares es una buena noticia, pero no significa que Binance haya recuperado ese dinero. Los activos bloqueados no pueden moverse, pero todavía queda por determinar cuánto podrá devolverse realmente. Esa diferencia será fundamental para conocer las pérdidas definitivas”, señala Vega.

TraderTraitor y el precedente de Bybit

Las investigaciones también tratan de determinar quién está detrás del robo. TRM Labs señala a TraderTraitor, una unidad de hackers vinculada al régimen norcoreano, como responsable del ataque. Su atribución se apoya en información obtenida tanto dentro como fuera de la blockchain y en similitudes con operaciones anteriores.

Chainalysis también atribuye el ataque a Corea del Norte con un alto grado de confianza y apunta a que los fondos se mezclan con los del robo a Bitget. Aun así, por ahora se trata de atribuciones de firmas de análisis y no de una identificación oficial. Tanto Binance como las autoridades mantienen abierta la investigación.

El nombre de TraderTraitor ya había aparecido en otro de los mayores ataques sufridos por el sector. En febrero de 2025, el FBI atribuyó a este mismo grupo el robo de unos 1.500 millones de dólares a Bybit, que hasta ahora ostentaba el récord. El impacto estimado del hackeo de Binance supera en más de cuatro veces aquella cantidad.

Bitcoin cae por debajo de los 78.000 dólares

El ataque también ha coincidido con una nueva caída en el mercado de las criptomonedas. Tras conocerse el incidente, bitcoin perdió el nivel de los 78.000 dólares y llegó a situarse por debajo de los 77.000. Ether retrocedió en torno a un 5 % y BNB cerca de un 8 %, mientras que las liquidaciones de posiciones apalancadas superaron los 1.000 millones de dólares en el conjunto del mercado durante las primeras horas de la caída.

No obstante, la debilidad del bitcoin venía de antes. El 29 de octubre ya cotizaba por debajo de los 80.000 dólares, en una jornada marcada también por las ventas de acciones tecnológicas.

Qué ocurre ahora con retiradas y fondos de usuarios

La principal preocupación para los clientes de Binance es qué sucederá con el dinero que mantienen en la plataforma. La compañía insiste en que los fondos de los usuarios están seguros, aunque ha suspendido temporalmente las retiradas mientras refuerza sus sistemas y los controles sobre las direcciones. Además, ha revocado la autorización de la dirección afectada y colabora con las autoridades y con socios de inteligencia blockchain.

Binance anunció en un primer momento la suspensión temporal de depósitos y retiradas. Después, su cofundadora, Yi He, indicó en X el 30 de octubre que los depósitos siguen operando con normalidad, que el equipo trabaja en mejorar el servicio de retiradas y los controles de direcciones asociados, y que esperan comenzar a reanudar las retiradas en las próximas 48 horas. La compañía también recomienda extremar la precaución ante posibles estafas y no fiarse de enlaces, mensajes o solicitudes de datos de cuenta que no procedan de canales oficiales.

Además de restablecer el servicio, la compañía tendrá que afrontar las consecuencias económicas del ataque y aclarar cómo se produjo. Estas son las principales cuestiones que siguen abiertas:

• Quién asumirá las pérdidas: Binance asegura que cubrirá las cantidades afectadas mediante su fondo SAFU y recursos propios. En febrero de 2026, el SAFU contaba con alrededor de 1.000 millones de dólares, una cantidad muy inferior a los 6.300 millones estimados.
• Qué proporción representan los fondos afectados: los 6.300 millones de dólares equivalen a algo más del 4 % de los aproximadamente 144.000 millones que Binance mantiene bajo custodia.
• Qué información facilitará Binance: la compañía se ha comprometido a publicar un informe técnico detallado cuando concluya la investigación y una prueba de reservas actualizada cuando termine de aplicar las medidas de corrección.
• Qué ocurre con Binance.US: la filial estadounidense ha comunicado que no se ha visto afectada por el ataque.

“Que Binance asegure que cubrirá todas las pérdidas es importante, pero ahora tendrá que demostrar cómo lo hará. Los fondos que custodia pertenecen a sus clientes y no deben confundirse con los recursos propios de la compañía. Lo fundamental será conocer cuánto dinero se ha perdido realmente y si dispone de capacidad suficiente para asumirlo”, advierte el experto de Roams.

El hackeo llega con MiCA y la custodia bajo escrutinio

El incidente también pone el foco en la seguridad de las plataformas que custodian criptomonedas de terceros. En Europa, esta cuestión ya estaba bajo supervisión. El pasado 8 de julio de 2026, ESMA puso en marcha una actuación supervisora común para revisar la resiliencia operativa de los proveedores de servicios de criptoactivos autorizados.

La revisión abarca aspectos directamente relacionados con la seguridad de estas plataformas, como la gestión de claves, los controles de las transacciones, la respuesta ante incidentes y la dependencia de proveedores externos.

Por su parte, el reglamento europeo MiCA exige a los proveedores de custodia contar con políticas que reduzcan el riesgo de pérdidas por fraude, ciberamenazas o negligencia. La normativa también obliga a estas entidades a proteger los derechos de propiedad de sus clientes. En junio, Binance retiró su solicitud de licencia MiCA en Grecia.