Binance ha sufrido un incidente de seguridad con un impacto estimado de unos 6.300 millones de dólares , una cifra que convierte el ataque en el mayor robo de criptomonedas registrado hasta la fecha.
El hackep de Binance obligó al mayor exchange de criptoactivos por volumen a suspender temporalmente depósitos y retiradas mientras revisa sus sistemas y trata de recuperar los fondos. Cerca de 3.000 millones de dólares ya han sido congelados con ayuda de emisores de stablecoins y otros participantes de la industria.
La magnitud supera ampliamente el anterior récord, el robo de aproximadamente 1.500 millones de dólares sufrido por Bybit en febrero de 2025. Aquel ataque fue posteriormente atribuido por el FBI al grupo norcoreano TraderTraitor. La diferencia de escala es considerable: el incidente de Binance multiplica por más de cuatro aquella cifra.
El exchange ha asegurado que cubrirá las pérdidas mediante su fondo Secure Asset Fund for Users (SAFU) y recursos propios. El SAFU tenía alrededor de 1.000 millones de dólares en criptoactivos en febrero de 2026, por lo que el compromiso de Binance implica utilizar también su balance si no se recupera una parte sustancial de los fondos. La compañía prevé publicar una nueva prueba de reservas una vez completadas las medidas de corrección.
Un portátil comprometido, bajo investigación
La investigación preliminar de Binance apunta a un portátil comprometido perteneciente a un ingeniero de DevOps. El atacante habría utilizado ese acceso para entrar en un contenedor de servicio y enviar órdenes de retirada que no estaban autorizadas. La empresa afirma que, hasta ahora, no ha encontrado indicios de una filtración de las claves privadas de sus monederos.
La distinción es relevante para entender el alcance técnico del incidente. Una filtración directa de claves privadas permitiría al atacante controlar los monederos asociados a ellas. El escenario que Binance investiga apunta, en cambio, a una posible vulneración de los sistemas internos que autorizan y procesan operaciones legítimamente firmadas.
TRM Labs ha reconstruido movimientos por aproximadamente 6.360 millones de dólares en diez redes distintas y sostiene que la mayor parte del dinero salió de Binance en unos 20 minutos. En Ethereum, la firma detectó el uso de una autorización EIP-7702 previamente firmada para convertir un monedero caliente de Binance en un mecanismo de barrido controlado por el atacante. En otras cadenas, los movimientos adoptaron la forma de transferencias firmadas convencionales. Para TRM, el patrón es compatible con un compromiso de la infraestructura de firma de los monederos calientes.
Las cifras varían ligeramente entre las firmas de análisis por el momento de valoración y los criterios utilizados. Chainalysis situó inicialmente el volumen robado en unos 5.900 millones, mientras Binance habla de un «impacto total» cercano a 6.300 millones. DefiLlama contabiliza actualmente unos 5.780 millones como pérdidas asociadas al incidente dentro de su base de datos de exploits.
Congelar 3.000 millones cambia la dimensión de la pérdida
La respuesta de los emisores de stablecoins ha reducido la parte inmediatamente movilizable del botín. Binance cifra en unos 3.000 millones de dólares los activos ya congelados. Tether bloqueó más de 1.500 millones de USDT y Circle más de 800 millones de USDC, mientras otros emisores y participantes de distintas redes inmovilizaron fondos adicionales.
USDT y USDC cuentan con emisores capaces de incluir direcciones en listas de bloqueo. Cuando lo hacen, los tokens permanecen registrados en la cadena, pero la dirección afectada deja de poder transferirlos o canjearlos a través de los mecanismos controlados por el emisor.
Bitcoin y otros activos sin una entidad central con esa capacidad plantean un problema distinto. TRM calcula que el atacante llegó a controlar 18.270 BTC, además de grandes cantidades de ether. Los bitcoins fueron divididos rápidamente entre varias direcciones, un procedimiento que complica el seguimiento operativo aunque las transacciones sigan siendo públicas.
Parte de los activos también comenzó a moverse a través de protocolos descentralizados. El atacante utilizó stablecoins como garantía en Aave para obtener ether y realizó intercambios mediante mecanismos vinculados a Uniswap. La finalidad práctica de estas operaciones puede ser transformar tokens susceptibles de congelación en activos sobre los que ninguna empresa tiene un control equivalente. Los protocolos involucrados han adoptado medidas defensivas, y Aave congeló temporalmente determinados mercados sin detectar daños en sus propios contratos.
TRM vincula el ataque con Corea del Norte
TRM Labs atribuye el robo a TraderTraitor, una unidad de hackers vinculada al régimen norcoreano. La compañía basa su evaluación en información obtenida dentro y fuera de la cadena, así como en similitudes con operaciones anteriores. Reuters también recoge que otras firmas de análisis han relacionado el incidente con Corea del Norte. La investigación de Binance y de las autoridades continúa abierta, por lo que esta atribución no constituye todavía una identificación oficial de los responsables.
TraderTraitor ya fue identificado por el FBI como responsable del ataque contra Bybit de febrero de 2025. En aquella ocasión, las autoridades estadounidenses alertaron de que los fondos estaban siendo distribuidos entre múltiples cadenas y convertidos a otros activos para facilitar su posterior blanqueo.
La rapidez de las transferencias añade presión a los equipos de respuesta. Congelar stablecoins, identificar direcciones y alertar a exchanges, proveedores de liquidez y mesas extrabursátiles puede limitar las posibilidades de convertir los fondos en dinero fiduciario, pero la eficacia disminuye a medida que los activos pasan a redes o instrumentos sin capacidad central de bloqueo.
El mercado reacciona y vuelve el riesgo de custodia
Bitcoin llegó a caer hasta la zona de los 76.000-77.000 dólares tras conocerse el incidente, mientras ether y BNB también registraron descensos. Más de 1.000 millones de dólares en posiciones apalancadas fueron liquidados en el conjunto del mercado durante las primeras horas de la caída.
El impacto operativo va más allá de las cotizaciones. Binance mantiene activos rastreados por valor de alrededor de 144.000 millones de dólares, de modo que los 6.300 millones afectados equivalen a algo más del 4% de esa cifra. La capacidad de restaurar las retiradas, reponer los activos perdidos y demostrar nuevamente la cobertura de los saldos de clientes será una referencia más relevante para su posición financiera que el tamaño bruto del robo por sí solo.
Para los operadores europeos, el ataque coincide además con un mayor escrutinio sobre la custodia de criptoactivos. ESMA puso en marcha en julio una actuación supervisora común centrada precisamente en la resiliencia operativa de los proveedores de servicios de criptoactivos autorizados, con atención a la gestión de claves, controles de transacciones, respuesta ante incidentes y dependencias de terceros.
MiCA exige a los proveedores que prestan servicios de custodia disponer de políticas destinadas a reducir el riesgo de pérdidas causadas por fraude, ciberamenazas o negligencia, además de salvaguardar los derechos de propiedad de los clientes. El incidente de Binance convierte esos controles internos, especialmente los sistemas que autorizan movimientos desde monederos calientes, en un elemento central de la evaluación del riesgo de contraparte para empresas e inversores que mantienen fondos en plataformas centralizadas.
