Hackeo a Binance: qué se sabe del robo de US$6.300 millones

Binance perdió unos US$6.300 millones el 29 de octubre, el mayor robo cripto registrado. Cómo fue el ataque, quién estaría detrás, cuánto se congeló y qué hacer si tienes fondos ahí.

Última actualización: 30 de octubre de 2026, 12:00 (hora UTC). La investigación sigue abierta y algunas cifras pueden cambiar.

Binance perdió el jueves 29 de octubre unos US$6.300 millones en criptomonedas, según la estimación de la propia empresa. Es el robo más grande registrado en el sector: cuadruplica el de Bybit de febrero de 2025, que se llevó US$1.500 millones. La firma de análisis TRM Labs, que siguió los movimientos en las blockchains, calcula US$6.360 millones salidos de diez redes distintas en una sola noche.

El exchange suspendió los retiros, dice que los fondos de sus clientes están a salvo y que cubrirá todas las pérdidas. Al mediodía del 30 de octubre (hora UTC), unos US$3.000 millones del botín estaban congelados. Binance todavía no publicó la causa completa ni dijo quién está detrás; varias firmas privadas apuntan a Corea del Norte.

Cómo se armó el ataque

El recorrido del dinero lo reconstruyó TRM Labs a partir de los registros públicos de cada blockchain. Según su análisis, el atacante empezó a prepararse al menos 36 horas antes. La mañana del 28 de octubre, una billetera suya recibió tres retiros chicos desde Tornado Cash, un servicio que mezcla fondos de muchas personas para borrar su origen. Al día siguiente probó su código en dos billeteras, lo ensayó en una tercera y, unas cuatro horas después, lo instaló sobre una billetera de Binance.

El vaciado arrancó a las 20:05 (hora UTC). En cuatro minutos, cinco billeteras de Binance en XRP Ledger mandaron 233,46 millones de XRP a una sola dirección. A las 20:20 salieron 18.270 BTC de la billetera caliente de bitcoin y, en ese mismo minuto, la de Ethereum firmó 50 autorizaciones que le pasaban el control a un contrato del atacante. Unos tres minutos y medio después estaba vacía. Tron, Solana y Optimism cayeron en la misma ventana. Casi todo salió en unos 20 minutos; Avalanche y Polygon se sumaron en una segunda ola, pasadas las 23.

Cuánto salió de cada red

Las cifras cambian según quién mide y a qué precio. Binance habla de unos US$6.300 millones; TRM Labs, de US$6.360 millones al valor de cada transferencia, y Chainalysis lo estimó en unos US$5.900 millones al momento del robo, según CoinDesk. Este es el reparto que da TRM Labs:

• Ethereum: unos US$3.790 millones, con 200.630 ETH y otros tokens, entre ellos 1.875 millones de USDT y 823 millones de USDC.
• Bitcoin: 18.270 BTC, unos US$1.470 millones.
• Tron: 612,7 millones de USDT y 46,4 millones de TRX, unos US$628 millones.
• XRP Ledger: 233,46 millones de XRP, unos US$296 millones.
• Solana: 970.500 SOL, unos US$96 millones.
• El resto, en cantidades menores: unos US$39 millones entre Arbitrum, Optimism y Base, US$28 millones en Avalanche y US$10 millones en Polygon.

Según DefiLlama, citado por CoinDesk, Binance tenía unos US$144.000 millones en activos antes del ataque. Se llevaron cerca del 4 %.

Por dónde entraron

En su comunicado del 30 de octubre, Binance explica que, según su investigación inicial, el incidente podría involucrar la laptop comprometida de un ingeniero de DevOps, el equipo que mantiene la infraestructura. Desde esa computadora, siempre según la empresa, el atacante llegó a un contenedor de servicio interno y desde ahí envió retiros que el sistema tomó como legítimos. Binance dice no haber encontrado pruebas de que se filtraran las claves privadas de sus billeteras.

TRM Labs llega a algo parecido desde afuera. Si billeteras de diez redes distintas firmaron transferencias normales en la misma media hora, lo más probable es que el atacante haya conseguido que el sistema de firmas de las billeteras calientes de Binance aprobara lo que él le pedía. Una billetera caliente está conectada a internet para pagar retiros al instante; las frías se guardan desconectadas, justamente para que no se puedan mover desde un servidor.

Quién estaría detrás

Binance no señaló a nadie: dice que trabaja con las fuerzas de seguridad para identificar a los responsables. Las firmas que rastrean fondos sí lo hicieron. TRM Labs atribuye el robo, con alta confianza, a TraderTraitor, una unidad de hackers de Corea del Norte que el FBI ya había vinculado con el robo a Bybit. Chainalysis llegó a una conclusión similar, y el investigador independiente ZachXBT habló del Grupo Lazarus, el nombre más conocido de estos equipos.

Para TRM Labs, el método se repite: es el mismo que vio en Bybit y en el ataque a KelpDAO de abril de 2026. Retiros chicos desde Tornado Cash para financiar la operación, días de preparación y firmas conseguidas de antemano que después se usan todas juntas.

Qué se pudo congelar

Buena parte de lo robado estaba en stablecoins, monedas atadas al dólar que sus emisores pueden bloquear, y ahí se frenó una porción del daño. Tether congeló 971,1 millones de USDT a las 21:01, 37 minutos después del vaciado principal; más tarde, su director, Paolo Ardoino, informó más de 1.570 millones congelados. Circle bloqueó unos 823 millones de USDC a las 21:04, en coordinación con las fuerzas de seguridad. Ripple frenó 40,5 millones de RLUSD; World Liberty Financial, 27,8 millones de USD1, y el Consejo de Seguridad de Arbitrum sacó de una billetera del atacante 8.426 ETH y 74,6 millones de ARB, unos US$30 millones.

Binance suma unos US$3.000 millones congelados. Con el resto, la situación es distinta: TRM Labs calcula que el atacante todavía controla más de 420.000 ETH y los 18.270 BTC, unos US$2.400 millones que ningún emisor puede bloquear. Y ya empezó a moverlos: cambió 325 millones de USDT por unos 122.300 ETH en UniswapX y pidió prestados unos 19.760 ETH en Aave, con USDT como garantía.

Qué hizo Binance

La empresa suspendió los retiros mientras completa los controles de seguridad, revocó la autorización de la dirección afectada y sumó a las fuerzas de seguridad y a firmas de análisis para rastrear el dinero. El 30 de octubre aclaró que los depósitos funcionan con normalidad.

También se comprometió a cubrir todas las pérdidas con el fondo SAFU y con fondos propios. SAFU es una reserva que Binance armó en 2018 para este tipo de casos; según CoinDesk, tiene alrededor de US$1.000 millones en bitcoin, así que la mayor parte tendría que salir de la caja de la compañía. Cuando termine la reparación, publicará una prueba de reservas actualizada, el informe con el que muestra que tiene los fondos de sus clientes.

Sobre los retiros, la codirectora ejecutiva Yi He dijo el 30 de octubre que espera empezar a reactivarlos dentro de las 48 horas siguientes, según U.Today. No dio una fecha para que el servicio vuelva por completo. Changpeng Zhao, fundador y mayor accionista, escribió que espera que los fondos de los usuarios queden totalmente cubiertos.

El impacto en el mercado

Tras conocerse el robo, según CoinDesk, bitcoin bajó 4,8 % y quedó por debajo de US$77.000; ether cayó 5,7 %; BNB, el token de Binance, 8 %, y AAVE, 11 %. Sean Foley, de la Universidad Macquarie, le dijo a Al Jazeera que un golpe así a la confianza puede asustar a los pequeños inversores y empujar los precios hacia abajo.

Si tienes fondos en Binance

Mientras los retiros sigan suspendidos no hay mucho que hacer con el saldo, y apurarse no cambia nada. Lo que sí conviene:

• Desconfía de cualquiera que ofrezca "recuperar" fondos. Después de un hackeo aparecen mensajes y sitios copiados que buscan tus datos. Binance pide informarse solo por sus canales oficiales, y nadie de soporte te va a pedir tu contraseña ni tus códigos.
• Revisa tu cuenta: verificación en dos pasos con una app (no por SMS), lista blanca de direcciones de retiro y código antiphishing en los correos.
• Cuando vuelvan los retiros, piensa cuánto necesitas tener en el exchange. Para guardar a largo plazo, una billetera propia te deja el control de tus claves.
• Ten presente que un exchange no es un banco. Como recuerda NBC News, ese dinero no tiene un seguro automático como un depósito bancario: si se devuelve, depende de la empresa.

Un antecedente reciente

No es el primer momento difícil para Binance. En noviembre de 2023, la empresa y Changpeng Zhao se declararon culpables ante la justicia de Estados Unidos por violar normas contra el lavado de dinero, en un acuerdo de más de US$4.000 millones, y Zhao dejó la dirección ejecutiva. Cuánto tarden en volver los retiros y qué diga el informe técnico serán las primeras señales de cómo maneja esta crisis la conducción que vino después.

Lo que falta saber

• Si hubo otros puntos de entrada además de la laptop del ingeniero.
• La cifra final: Binance avisa que el monto congelado puede seguir creciendo.
• Cuánto se recuperará de lo que no está en stablecoins.
• Una atribución oficial: por ahora la dan firmas privadas, no Binance ni las autoridades.
• Cuándo vuelven los retiros por completo.

Preguntas frecuentes

¿Perdí mi dinero si tengo cuenta en Binance? Binance dice que no: asegura que los fondos de los usuarios están a salvo y que cubrirá todas las pérdidas con el fondo SAFU y fondos propios. El dinero salió de las billeteras calientes de la empresa. Hasta que vuelvan los retiros, conviene seguir solo sus anuncios oficiales.

¿Cuándo puedo volver a retirar? No hay fecha oficial. Yi He, codirectora ejecutiva de Binance, dijo el 30 de octubre que espera empezar a reactivar los retiros dentro de las 48 horas siguientes. Los depósitos siguen funcionando.

¿Quién hackeó a Binance? No hay atribución oficial. TRM Labs lo atribuye con alta confianza a TraderTraitor, un grupo de hackers de Corea del Norte, y Chainalysis llegó a una conclusión similar. Binance dice que trabaja con las fuerzas de seguridad para identificar a los responsables.

¿Es el hackeo más grande de la historia de las criptomonedas? Con las cifras disponibles, sí. Con unos US$6.300 millones, cuadruplica el de Bybit de febrero de 2025, que era el récord con US$1.500 millones.