Ocho semanas de acceso silencioso precedieron el mayor robo de $6.3 mil millones en Binance

Los hackers que robaron aproximadamente $6.3 mil millones a Binance el 29 de octubre tuvieron acceso al exchange durante ocho semanas antes de actuar, según informes. El robo en sí fue rápido; la preparación no, y esa brecha es la parte más incómoda de la historia. El golpe afectó las hot wallets de Binance —las wallets conectadas a internet que los exchanges mantienen en línea para procesar depósitos y retiros diarios de clientes— y se ubica como el mayor robo de activos digitales hasta la fecha.

Veinte minutos de acción, semanas de paciencia

El ataque comenzó alrededor de las 20:05 UTC del 29 de octubre de 2026, y la mayor parte de la operación se desarrolló en unos 20 minutos. En ese lapso, los atacantes movieron fondos a través de más de diez blockchains, incluyendo Ethereum, Bitcoin y Solana. Ejecutar un drenaje coordinado en tantas redes requiere planificación, no improvisación. La dispersión también reduce las opciones de recuperación: las herramientas para rastrear y congelar fondos robados varían de una cadena a otra, y no todos los activos en movimiento pueden interceptarse.

La preparación se habría extendido mucho más atrás. La investigación del incidente apunta a un periodo de preparación que comenzó a más tardar en junio de 2026. La línea de tiempo también incluye pasos específicos el 20 de octubre, y pruebas del acceso interno se habrían realizado aproximadamente 36 horas antes del ataque.

Cómo entraron

La investigación de Binance determinó que la vulneración provino de una campaña de múltiples capas basada en ingeniería social, es decir, la manipulación de personas y flujos de trabajo de confianza en lugar de una ruptura criptográfica directa. Las tácticas incluyeron una entrevista laboral falsa y herramientas de desarrollo de software manipuladas, lo que dio a los atacantes acceso a los sistemas internos de Binance. Desde allí pudieron impulsar transacciones no autorizadas.

Cabe destacar que los atacantes no necesitaron comprometer claves privadas. Las claves privadas son las contraseñas criptográficas que controlan las wallets de criptomonedas, y suelen considerarse la joya de la corona de la seguridad de un exchange.

La vulneración fue atribuida a TraderTraitor, un grupo de hackers patrocinado por el Estado norcoreano. El mismo grupo está vinculado a ataques anteriores, incluyendo el robo de $1.5 mil millones a Bybit en febrero de 2025, que en su momento representó una pérdida histórica para un exchange centralizado. La cifra de Binance es más de cuatro veces mayor.

Control de daños de Binance

Binance pausó los retiros inmediatamente después del robo y luego los restableció por fases. El exchange asignó aproximadamente $6.34 mil millones de recursos corporativos para cubrir las pérdidas, y al 31 de octubre indicó que cerca del 98% de los activos robados había sido repuesto.

Socios y emisores de stablecoins también intervinieron. Entre $2.85 mil millones y $3 mil millones de los fondos robados fueron congelados o interceptados. Los emisores de stablecoins pueden bloquear tokens a nivel de contrato, neutralizando efectivamente una parte del botín para los ladrones. Ese control existe solo para los tokens cuyos contratos gestionan los emisores, razón por la cual un botín disperso en tantas cadenas no puede neutralizarse por completo de esta manera.

Binance también encargó una auditoría de seguridad independiente. Su propósito declarado es analizar la vulneración y fortalecer la resiliencia del exchange de aquí en adelante.

Un manual familiar a mayor escala

Los hackers vinculados a Corea del Norte han pasado años perfeccionando un enfoque específico contra objetivos cripto, y el caso Binance encaja en el patrón: infiltración paciente, manipulación humana y luego una salida rápida.

Las entrevistas laborales falsas son un señuelo particularmente eficaz. Un desarrollador que cree estar completando una evaluación técnica puede ejecutar código o instalar herramientas sin el escrutinio que aplicaría a un archivo desconocido. Las herramientas de desarrollo manipuladas extienden la misma idea: los ingenieros confían en sus cadenas de herramientas, y esa confianza se convierte en el punto de entrada.

Qué significa esto

Para los exchanges, la lección más clara es que la seguridad de las hot wallets es solo tan fuerte como los sistemas internos capaces de autorizar transacciones desde ellas. Proteger las claves privadas es necesario, pero evidentemente no suficiente cuando un intruso puede operar dentro del pipeline de aprobación.

El periodo de acceso de ocho semanas reportado probablemente recibirá el mayor escrutinio. La detección, no solo la prevención, es donde la auditoría independiente deberá dar respuestas.

El congelamiento parcial de entre $2.85 mil millones y $3 mil millones destaca otra dinámica: los emisores de stablecoins y las empresas asociadas actúan ahora como un freno de emergencia de facto frente a robos de gran escala, lo que fortalece el caso de herramientas de intervención centralizadas que algunos en el mundo cripto aún resisten.

Para los usuarios, la conclusión práctica tiene menos que ver con Binance en particular y más con cómo funciona la custodia. Los fondos en cualquier exchange centralizado dependen de los controles internos de ese exchange, de sus reservas y de su capacidad para absorber un golpe cuando esos controles fallan. Binance tenía las reservas esta vez. La pregunta abierta para la industria es cuántas otras plataformas podrían decir lo mismo si un grupo con semanas de acceso silencioso las elige a continuación.