Binance repuso el 90 % y el FBI culpa a Corea del Norte
Dos días después del hackeo, Binance dice que repuso con su dinero el 90 % de lo robado y planea reabrir los retiros el domingo. El FBI atribuyó el ataque a Corea del Norte.
Última actualización: 31 de octubre de 2026, por la tarde. Esta nota sigue a lo que se sabe del robo de US$6.300 millones, publicada el 30 de octubre.
Binance dice que ya repuso con su propio dinero el 90 % de lo que le robaron el jueves 29 de octubre y que sigue en camino de reabrir los retiros el domingo 1 de noviembre. El mismo sábado, según Reuters y CNBC, el FBI atribuyó el ataque a TraderTraitor, una unidad de hackers del Estado de Corea del Norte. Ya se sabe quién habría sido y quién paga; todavía no se sabe bien cómo entraron.
Qué significa que repuso el 90 %
No quiere decir que recuperó el 90 % de lo robado. Binance usó fondos propios para comprar los mismos tokens que se llevaron y volver a respaldar los saldos de sus clientes. CNBC lo aclara: reponer el respaldo no es recuperar el dinero de manos del atacante.
En su aviso n.º 3, del 31 de octubre, la empresa detalla que diez criptomonedas ya están respaldadas al 100 %: BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD y ZEC. El 10 % que falta corresponde a tokens menos líquidos, fuera de esa lista, que sigue comprando en el mercado y por operaciones directas entre empresas. Un día antes, en el aviso n.º 2, decía tener cubierto cerca del 80 % y haber apartado más de US$6.340 millones, de los cuales unos US$5.000 millones ya estaban en los mismos tokens afectados.
El dinero sale de tres lugares, según Binance: una parte del fondo SAFU, una parte del fondo de seguro de futuros y la tesorería de la compañía. La empresa se comprometió a volver a llenar el SAFU hasta unos US$1.000 millones. "Nuestros usuarios no van a cargar con el impacto financiero de este incidente", escribió en X el codirector ejecutivo Richard Teng, citado por Reuters.
El FBI señala a Corea del Norte
El sábado 31, el FBI informó que Corea del Norte es responsable del robo y que la autora es TraderTraitor, según Reuters y CNBC. La agencia dijo que vio a los atacantes convertir lo robado en ether y que espera nuevas etapas de lavado. Coincide con lo que venían diciendo las firmas privadas: TRM Labs lo había atribuido a ese grupo con alta confianza el mismo jueves, y Chainalysis llegó a la misma conclusión.
Hay otra pista. El investigador ZachXBT encontró, según Cointelegraph, fondos de este robo mezclados en una misma dirección con dinero del ataque a Bitget, después de pasar por THORChain, un servicio para mover criptomonedas entre redes. Para él, eso indica que detrás de los dos casos estaría el mismo actor.
Binance, en cambio, sigue sin nombrar a nadie en sus avisos: habla de "criminales" y de su trabajo con las fuerzas de seguridad.
Cómo entraron: la versión cambió
La primera explicación de Binance apuntaba a la laptop comprometida de un ingeniero de DevOps. En su aviso n.º 2, del 30 de octubre, la empresa dijo que la investigación encontró "otros puntos de entrada", sin decir cuántos ni cuáles. Mantiene que no hay pruebas de que se hayan filtrado las claves privadas de sus billeteras.
Teng dio algunos detalles más, según Cointelegraph y Reuters. Habló de un ataque complejo, no de una sola acción. Dijo que el atacante usó una delegación EIP-7702 sobre una billetera caliente, un mecanismo de Ethereum que le pasa el control de una cuenta a un contrato, y que esa operación no pasó por los controles de aprobación normales. También contó que el software malicioso tenía un mecanismo para autodestruirse y borrar sus rastros.
Ido Ben-Natan, director de la firma de seguridad Blockaid, lo describió como un uso indebido de las claves: los atacantes logran que el sistema de firmas apruebe operaciones maliciosas sin llevarse la clave. "No creemos que se haya filtrado una clave", dijo, y aclaró que su lectura es preliminar. Binance prometió un informe técnico completo cuando termine la investigación.
Retiros y prueba de reservas
Binance dice que sigue en camino de reabrir los retiros el domingo 1 de noviembre, sujeto a los controles de seguridad y a una confirmación final. En el aviso n.º 2 había adelantado que la vuelta sería por etapas. Los depósitos nunca se cortaron.
La empresa tomó una nueva foto de sus reservas a las 00:00 (hora UTC) del 31 de octubre y la publicó en su página de prueba de reservas. La prueba completa, con verificación criptográfica para que cada cliente compruebe que su saldo está incluido, la estima para el martes 3 de noviembre.
El dinero congelado y el mercado
Binance no actualizó la cifra de fondos congelados: sigue en unos US$3.000 millones, sobre todo stablecoins de Tether y Circle. A los emisores que ya habían bloqueado fondos se sumó First Digital, que congeló FDUSD, según Cointelegraph.
Aave, una de las plataformas de préstamos más grandes, congeló como precaución sus mercados en V3 y V4 la misma noche del robo, porque el atacante había depositado 60 millones de USDT para pedir prestados 19.762 WETH. El 30 de octubre reabrió depósitos y préstamos y dijo que sus contratos no fueron afectados.
En el mercado, el 30 de octubre, según CoinGecko citado por Cointelegraph, bitcoin bajaba 4,9 % en 24 horas, BNB 8 % y el índice de miedo y codicia cayó a 30, su nivel más bajo desde agosto.
Si tienes fondos en Binance
Cuando vuelvan los retiros, es probable que la apertura sea gradual y que haya demoras por la cantidad de pedidos. Si no necesitas mover tu dinero ya, no hace falta apurarse. Desconfía de mensajes que ofrezcan "recuperar" fondos o adelantar tu retiro: son la estafa que aparece después de cada hackeo. Y cuando esté la prueba completa de reservas, vale la pena usarla para comprobar que tu saldo figura.
Lo que falta saber
- Cuáles fueron los otros puntos de entrada y cómo se saltearon los controles de aprobación.
- Si los retiros vuelven el domingo y con qué límites.
- Cuánto se recupera de verdad del atacante, más allá de los fondos congelados.
- Cuándo se completa el 10 % que falta reponer.
Preguntas frecuentes
¿Binance recuperó el dinero robado? No. Repuso el respaldo del 90 % con fondos propios: compró los tokens que faltaban. Lo recuperado del atacante es otra cosa: hasta ahora, unos US$3.000 millones congelados.
¿Cuándo se puede volver a retirar? Binance dice que planea reabrir los retiros el domingo 1 de noviembre, por etapas y sujeto a controles de seguridad.
¿Quién está detrás del hackeo? Según Reuters y CNBC, el FBI lo atribuyó a TraderTraitor, una unidad de hackers del Estado de Corea del Norte. TRM Labs y Chainalysis habían llegado a la misma conclusión. Binance no nombró a nadie.