Binance confirmó una grave brecha de seguridad que afecta aproximadamente $6,300 millones en activos digitales, con cerca de $3,000 millones congelados mientras el exchange de criptomonedas trabaja junto a redes blockchain, emisores de stablecoins y fuerzas del orden para contener lo que podría convertirse en el robo de criptoactivos más grande registrado.

El anuncio del 30 de octubre se produjo después de retiros sospechosos por un total inicial de $2,770 millones a través de cinco blockchains la noche anterior. La investigación preliminar de Binance indica que los atacantes podrían haber comprometido la laptop de un ingeniero de DevOps, accedido a un contenedor de servicios interno y enviado transacciones de retiro no autorizadas.

El exchange suspendió temporalmente depósitos y retiros—un paso estándar de contención mientras está en curso una investigación de seguridad activa—revocó la autorización de la dirección afectada y se comprometió a cubrir todas las pérdidas a través de su Secure Asset Fund for Users (SAFU), un fondo de emergencia creado en 2018 y financiado con una parte de las comisiones de trading, y con fondos corporativos. Binance afirmó que los saldos de los clientes permanecen protegidos, aunque la investigación aún no ha determinado el monto final recuperable ni el alcance completo del compromiso.

Laptop de ingeniero comprometida vinculada a la brecha de Binance

El incidente comenzó a llamar la atención el 29 de octubre, cuando investigadores de blockchain detectaron transferencias inusualmente grandes desde billeteras asociadas a Binance hacia direcciones fuera de la infraestructura de custodia identificada públicamente por el exchange. Los reportes iniciales describían salidas de aproximadamente $2,770 millones (Crypto Adventure).

El rastreo posterior reveló un incidente sustancialmente mayor. El anuncio de seguridad del 30 de octubre de Binance situó el impacto estimado en $6,300 millones, una escalada significativa respecto de las cifras preliminares.

El presunto punto de entrada fue una laptop comprometida perteneciente a un ingeniero de DevOps. Los investigadores creen que el atacante utilizó ese acceso para llegar a un contenedor de servicios capaz de enviar instrucciones de retiro no autorizadas. Binance no encontró evidencia de que las claves privadas de las billeteras hubieran sido expuestas directamente, lo que sugiere que el ataque podría haber explotado permisos operativos internos en lugar de tratarse de un robo convencional de claves privadas. Esa distinción importa porque desplaza la cuestión de seguridad desde la custodia de claves hacia los sistemas de autorización internos de los que dependen los exchanges para mover fondos de clientes—justamente los sistemas que la investigación aún no ha explicado por completo.

Aproximadamente $6,360 millones se movieron a través de 10 blockchains durante el incidente, según el análisis on-chain de TRM Labs. La mayor parte de la actividad ocurrió dentro de un período de alrededor de 20 minutos a partir de las 20:05 UTC del 29 de octubre.

Las transferencias involucraron Ethereum, Bitcoin, Tron, XRP Ledger y Solana, junto con movimientos menores en varias otras redes. En Ethereum, los investigadores identificaron el uso de la delegación de cuentas EIP-7702, que supuestamente permitió que un contrato controlado por el atacante redirigiera fondos desde una hot wallet de Binance, el tipo de billetera conectada a internet que los exchanges utilizan para procesar retiros rutinarios. EIP-7702 es un mecanismo de Ethereum que habilita ciertas funciones de delegación de cuentas.

Otras redes afectadas mostraron transacciones firmadas convencionales, lo que plantea preguntas sobre cómo se accedió a los sistemas internos de autorización de retiros de Binance. La relación exacta entre estas técnicas on-chain y el dispositivo del empleado comprometido sigue bajo investigación.

Tether, Circle y socios de blockchain congelan $3,000 millones

Varios emisores importantes de criptomonedas se movieron para restringir los activos asociados al presunto atacante. Tether congeló más de 1,567 millones de USDT vinculados al incidente, mientras que Circle bloqueó más de 800 millones de USDC en coordinación con los investigadores.

Ripple también restringió, según reportes, aproximadamente $200 millones en activos afectados, y World Liberty Financial congeló alrededor de $27 millones en tokens USD1. Una acción adicional involucró a proveedores de infraestructura blockchain, incluido el Security Council de Arbitrum, que restringió activos conectados al exploit.

En conjunto, estas medidas contribuyeron a aproximadamente $3,000 millones en activos congelados, según las últimas cifras confirmadas por Binance. Congelar activos impide que sean transferidos a través de los contratos de tokens o redes afectadas—una capacidad que grandes emisores de stablecoins como Tether y Circle poseen a nivel de contrato—pero no significa necesariamente que los fondos hayan sido devueltos a Binance.

La exposición restante es considerable. Con base en la estimación preliminar de $6,300 millones del exchange, aproximadamente $3,300 millones quedan fuera del monto congelado reportado. Esa cifra no es necesariamente equivalente a la pérdida final irrecuperable, sin embargo, porque los esfuerzos de rastreo y recuperación continúan en curso.

Binance ha involucrado a fuerzas del orden, emisores de tokens y firmas de inteligencia blockchain para rastrear fondos adicionales y evitar nuevos movimientos. El exchange también se comprometió a reponer cualquier pérdida utilizando su fondo de emergencia SAFU y fondos corporativos, al tiempo que prometió una actualización de su Proof of Reserves una vez completada la remediación.

Grupo de hackers norcoreano vinculado al ataque

La investigación ha generado preocupación por la posible participación de ciberdelincuentes norcoreanos. TRM Labs atribuyó el ataque a TraderTraitor, una operación de hacking vinculada a Corea del Norte asociada con robos sofisticados de criptomonedas. La firma expresó alta confianza en su evaluación basada en la actividad blockchain y otra inteligencia.

La presunta conexión es significativa dada la historia de Corea del Norte de atacar plataformas de criptomonedas. En febrero de 2025, hackers vinculados al país robaron aproximadamente $1,500 millones a Bybit en un ataque que expuso debilidades en la seguridad de billeteras institucionales—un robo que se mantenía como el mayor hackeo cripto registrado antes de este incidente. El último incidente también sigue a la brecha de la billetera de Bitget en septiembre, que involucró $387.5 millones, en la que credenciales de acceso interno comprometidas permitieron comandos de retiro no autorizados sin exponer directamente las claves privadas—un patrón que guarda un paralelo cercano con la mecánica presunta de la brecha de Binance.

Para Binance, las prioridades inmediatas siguen siendo proteger los saldos de los clientes, asegurar la infraestructura operativa y recuperar los activos afectados. El cofundador Changpeng Zhao, quien dejó el cargo de director ejecutivo en 2023, reconoció que el incidente parecía ser un hackeo y expresó confianza en que los clientes estarían completamente cubiertos en una publicación en X.

El incidente también afectó a los mercados de criptomonedas, con Bitcoin cayendo por debajo de $79,000 durante la reacción inicial y BNB registrando una caída más pronunciada a medida que los traders evaluaban las posibles consecuencias operativas y financieras para el exchange. Binance no ha anunciado un calendario confirmado para restablecer depósitos y retiros.

Se espera un análisis técnico completo una vez concluida la investigación. Se prevé que proporcione mayor claridad sobre el punto de entrada del ataque, los sistemas afectados y las fallas de autorización de retiros.

Cuánto de los aproximadamente $3,300 millones restantes se recupera finalmente, cuándo se reanudan los depósitos y retiros y qué revela el análisis técnico determinará cómo se mide la escala final del incidente. Con miles de millones de dólares aún sujetos a esfuerzos de rastreo y recuperación, el impacto financiero final sigue siendo incierto. La brecha ya figura entre los incidentes de seguridad de exchanges de criptomonedas más trascendentales, y su escala podría superar cada robo cripto registrado previamente si se confirman las cifras preliminares.