El aspecto más alarmante de lo que ha sido descrito como el mayor robo de la historia humana es que la criptografía funcionó exactamente como fue diseñada. Nadie quebró una clave privada maestra la noche del 29 de octubre de 2026. En cambio, un atacante presuntamente accedió a un contenedor de servicios interno a través de la laptop comprometida de un ingeniero DevOps e instruyó a la infraestructura de firma de Binance para vaciarse.

En unos 20 minutos, $6,300 millones desaparecieron a través de 10 blockchains, incluyendo Bitcoin, Ethereum, Solana y XRP. El incidente superó el sombrío récord anterior establecido en febrero de 2025, cuando el grupo Lazarus de Corea del Norte drenó unos $1,500 millones de Bybit. El incidente de Binance fue reportado aquí: https://technext24.com/news/hackers-steal-6-3-bn-from-binance-crypto-heist/

A medida que las alertas on-chain se difundían en X, el cofundador de Binance, Changpeng Zhao (CZ), emitió la primera admisión pública en una publicación notablemente comedida: "Los fondos de los usuarios están seguros. Sí parece un hackeo a Binance. Agradezco el congelamiento rápido de Tether ($971m) y Circle ($823m)". La publicación está disponible en https://x.com/cz_binance/status/2113029289155178716?a=_Um3FD_EavLoFhA6AWU\u0026s=19.

Minutos después, Zhao agregó: "Ya no administro Binance (.com), pero como accionista, espero que todos los fondos de los usuarios queden completamente cubiertos".

Para el viernes 30 de octubre, unos $3,000 millones en stablecoins y tokens robados habían sido congelados on-chain, menos de la mitad del total sustraído. El FBI y TRM Labs habían vinculado el robo con alta confianza a la unidad TraderTraitor de Corea del Norte.

El ataque se produjo mientras el mercado absorbía $1,490 millones en posiciones apalancadas liquidadas y Bitcoin caía por debajo de $78,000. El CEO de Binance, Richard Teng, respondió en un mensaje en video, prometiendo un respaldo corporativo de $6,340 millones.

"Estamos comprometidos a cubrir todas las pérdidas del hackeo a través de nuestros fondos corporativos. Sus activos están seguros", declaró Teng, insistiendo en que el drenaje solo afectó a hot wallets corporativas. "Nunca usamos fondos de clientes, por lo que no se ven afectados".

Sin embargo, ver el robo a Binance como una falla aislada de cripto pasa por alto el patrón más amplio. El drenaje del 29 de octubre fue el final de un colapso global de ciberseguridad de 31 días. A lo largo del llamado Black October, los perímetros defensivos que protegen servidores web, bancos e infraestructura de activos digitales fallaron al mismo tiempo.

La grieta fundamental de PHP2Shell

Siete días antes de que las wallets de Binance fueran drenadas, Zhao publicó una advertencia en X que luego resultó profética. "Lámenme paranoico, pero sean muy cuidadosos al visitar CUALQUIER sitio web en los próximos días, ya que algunos administradores web no siempre están al día con los parches de seguridad", escribió el 21 de octubre, refiriéndose a dos vulnerabilidades recién divulgadas en PHP. El reporte relacionado está disponible en https://technext24.com/policy-and-tech/nigeria-php2shell-cybersecurity-response/.

Al día siguiente, complementó con una máxima de ingeniería: "Ninguna wallet cripto es 100% segura. Ningún software está libre de errores. Ninguna tecnología es 100% segura". Su segunda publicación está disponible en https://x.com/cz_binance/status/2113462904435642556?a=jQb9RLbCOmUH6MqtmH8\u0026s=19.

Las vulnerabilidades detrás de la advertencia de Zhao eran conocidas como PHP2Shell y estaban registradas como CVE-2026-109618 y CVE-2026-109619. Los dos errores de memoria use-after-free tenían una calificación crítica de severidad 9.2 en CVSS v4.0 y afectaban todas las instalaciones predeterminadas del runtime principal de PHP desde la versión 5.4 hasta la 8.5.11.

PHP impulsa aproximadamente el 70% de la infraestructura del lado del servidor de internet. Las vulnerabilidades permitían que atacantes sin autenticación ejecutaran código remoto y expusieran la memoria del servidor, incluidos tokens de sesión, claves privadas TLS y contraseñas de bases de datos, antes de que se ejecutara el código de la aplicación del sitio web.

La explotación presuntamente comenzó alrededor del 17 de octubre, cuatro días antes de que el PHP Group publicara parches de emergencia el 21 de octubre. Las versiones parchadas fueron 8.5.12, 8.4.27, 8.3.36 y 8.2.35, las actualizaciones que los operadores de servidores afectados necesitaban instalar para cerrar la exposición. El CTO de Cloudflare, Dane Knecht, reportó de inmediato "ataques tempranos emergiendo" y advirtió que los firewalls de aplicaciones web solo ofrecían una solución temporal.

"Esto es una mina de oro para los hackers", dijo Shahak Shalev, Jefe Global de Investigación de Estafas e IA en Malwarebytes. "Pueden secuestrar sitios web reales para aprovechar la reputación del sitio y hacer cosas como phishing y distribuir software malicioso desde el canal confiable. Las oportunidades son infinitas".

Los exchanges de cripto y las empresas fintech modernas suelen construir sus sistemas centrales en Go, Rust o TypeScript. Sin embargo, investigadores de seguridad de Halborn señalaron que PHP sigue siendo ampliamente utilizado en los sitios de marketing, portales de soporte y paneles de administración interna que rodean esos sistemas. Muchos de esos servicios contienen claves API activas y secretos de webhooks.

Mientras esta infraestructura web fundamental quedaba expuesta, los actores de amenazas dedicaron octubre a recolectar credenciales y atacar instituciones en todos los continentes.

En Sudáfrica, la empresa de patología Ampath Laboratories fue atacada por el grupo de ransomware ByteToBreach. El mismo actor de amenazas había atacado previamente instituciones nigerianas, incluidos Sterling Bank y la Corporate Affairs Commission (CAC), a principios de año. ByteToBreach afirmó haber extraído 80 millones de registros de pacientes.

Los atacantes también golpearon empresas de finanzas tradicionales y retail. En Corea del Sur, hackers usaron una herramienta de IA china para vulnerar 16 empresas financieras a mitad de mes, robando 68,000 registros. Luego atacaron Daishin Securities, exponiendo 38,490 registros, además de Mirae Asset y el groupware interno del exchange de cripto Bithumb el 28 de octubre.

En Italia, estafadores usaron un clon de la voz de un abogado generado por IA en tres minutos para persuadir a ejecutivos de Fideuram, el brazo de banca privada de Intesa Sanpaolo, de transferir $108 millones a cuentas extranjeras. En Japón, la empresa de TI GMO Internet enfrentó una demanda de rescate de $50 millones tras la vulneración de sus servidores de divisas y nube. El retailer MUJI expuso 27.26 millones de registros de clientes, mientras Cathay Pacific perdió 53,000 registros de reservas en una brecha de un proveedor.

El sector de activos digitales enfrentó incidentes adicionales antes del ataque a Binance. El fabricante de hardware wallets Ledger reveló el 12 de octubre que implantes LTE eSIM fraudulentos ocultos en dispositivos vendidos a través del revendedor externo CryptoBilis habían sustraído $86 millones en fondos de usuarios.

El 20 de octubre, el fabricante rival de wallets Keystone dijo que tuvo que destruir 18,835 dispositivos no vendidos después de que una brecha en un sistema de rastreo de un tercero expuso 25,964 registros de compradores y una clave de verificación de fabricación. Entre el 28 y 29 de octubre, Coinbase confirmó que datos de clientes fueron expuestos a través del proveedor de analítica Amplitude. El mercado de predicciones Polymarket detuvo el comercio internacional después de que un script secuestrado del proveedor británico de monitoreo DebugBear drenara $2.65 millones de más de 700 cuentas.

Tres cambios estructurales

Tres cambios estructurales ayudan a explicar por qué las fallas de seguridad aparecieron simultáneamente en todo el sistema global en octubre de 2026.

Primero, la subversión de flujos de trabajo ha reemplazado cada vez más al robo directo de claves. Como escribió Zhao el 21 de octubre, "la IA no necesita quebrar la criptografía de Bitcoin para causar daño; los datos filtrados ya permiten más phishing, ingeniería social, etc.".

En Binance, los atacantes presuntamente no robaron claves privadas. Comprometieron la estación de trabajo de un ingeniero, accedieron a un contenedor de servicios que solicita retiros y explotaron la confianza implícita de la capa de firma en ese contenedor. Tras obtener acceso, weaponizaron la función EIP-7702 de Ethereum, una capacidad del protocolo que permite a cuentas ordinarias de blockchain adquirir programabilidad similar a los smart contracts, para automatizar el drenaje cross-chain en minutos.

Segundo, la IA ofensiva se volvió autónoma. Durante octubre, grupos de ciberdelincuencia desplegaron plataformas de IA agéntica construidas sobre modelos de lenguaje comerciales, sistemas autónomos capaces de encadenar tareas de múltiples pasos con supervisión humana mínima, para escanear servidores con PHP2Shell sin parchear, automatizar tomas de control de Active Directory mediante respaldos de ConnectWise y atacar a más de 400 instituciones financieras en Latinoamérica y Asia más rápido de lo que los equipos humanos podían parchar.

Tercero, el perímetro que rodea a los proveedores externos colapsó. El script de DebugBear de Polymarket y el rastreador de Amplitude de Coinbase estuvieron entre las herramientas externas usadas para alcanzar a las empresas afectadas. Las filtraciones de credenciales de nube en Railway y LiteLLM ilustraron la misma debilidad: las organizaciones fueron repetidamente comprometidas a través de herramientas agregadas a sus pilas tecnológicas.

El Black October demostró que un fondo de reserva de mil millones de dólares y un almacenamiento en frío de grado militar no pueden proteger a un ecosistema cuando un solo servidor PHP sin parchear, un script de proveedor envenenado o la laptop de un ingeniero comprometido pueden ordenar a una bóveda vaciarse sola.