Binance sufre el mayor hackeo cripto: US$6.300M

Binance: US$6.300 millones y el mayor robo cripto de la historia

Binance confirmó un incidente de seguridad que drenó unos US$6.300 millones en activos digitales de sus billeteras, la mayor sustracción de criptoactivos registrada hasta la fecha. Para cualquier founder que tenga tesorería en un exchange centralizado, la pregunta ya no es si el exchange es demasiado grande para caer, sino cuánto de su runway depende de una sola contraparte.

TRM Labs atribuyó el ataque a TraderTraitor, la unidad de élite de hacking de Corea del Norte, con alta confianza y basándose en inteligencia on-chain y off-chain. La firma calculó que se trata del mayor robo cripto registrado: aproximadamente US$6.360 millones salieron de billeteras de Binance en diez blockchains, la mayor parte en unos 20 minutos a partir de las 20:05 UTC del 29 de octubre.

El impacto en el mercado fue inmediato: bitcoin cayó más de 3% hasta un mínimo de seis semanas de US$76.368, aunque después recuperó hasta US$78.335. Según el estratega de Deutsche Bank Jim Reid, bitcoin bajó 0,40% en la mañana tras un desplome de 3,03% el día anterior.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Cómo entraron: una laptop de DevOps y un ataque ensayado

Richard Teng, co-CEO de Binance, explicó en X que la investigación inicial apunta a la laptop comprometida de un ingeniero de DevOps. Ese acceso permitió al atacante llegar a un contenedor de servicio y enviar retiros no autorizados.

Teng fue explícito en un punto clave para cualquier equipo técnico: no fue un one-click. Dijo que el atacante no usó simplemente los permisos de un ingeniero y que implicó un proceso de ataque más complejo, y agregó que no hay evidencia de filtración de claves privadas de billeteras.

El research de TRM Labs refuerza esa lectura. La billetera del operador se financió con pequeños retiros de Tornado Cash desde el 28 de octubre, al menos 36 horas antes del robo. El atacante desplegó su código el 29 de octubre, lo probó en dos billeteras y ensayó la versión final en una tercera. En Ethereum, una sola transacción llevó 50 autorizaciones firmadas por una hot wallet de Binance. Para TRM, eso apunta a un compromiso de la infraestructura de firma de la hot wallet de Binance.

Dos días antes, el 27 de octubre, Binance había dicho que repelió varios ciberataques vinculados a Corea del Norte durante la semana previa, sin sistemas comprometidos ni activos perdidos. La exchange los vinculó a Contagious Interview, una campaña en la que los atacantes se hacen pasar por empleadores y convencen a candidatos de ejecutar código malicioso durante pruebas técnicas falsas.

Dónde está el dinero: US$3.000 millones congelados y US$2.400 millones fuera de alcance

Binance dijo que trabajó con socios para congelar los activos afectados y que unos US$3.000 millones ya fueron localizados. No dio novedades sobre los US$3.300 millones restantes, mientras el cofundador Yi He aseguró que la compañía cubrirá todas las pérdidas por hacking.

El desglose por red que publicó la exchange muestra por qué el problema es tan difícil de contener:

Ethereum: unos US$3.790 millones, incluidos 200.630 ETH y 185 tokens, entre ellos 1.875 millones de USDT, 823 millones de USDC y 88,5 millones de RLUSD.
Bitcoin: 18.270 BTC, unos US$1.470 millones.
Tron: 612,7 millones de USDT y 46,4 millones de TRX, unos US$628 millones.
XRP Ledger: 233,46 millones de XRP, unos US$296 millones.
Solana: 970.500 SOL, unos US$96 millones.
Arbitrum, Optimism y Base: unos US$39 millones combinados, incluidos 74,6 millones de ARB en Arbitrum.
Avalanche y Polygon: unos US$28 millones y US$10 millones respectivamente.

Los emisores de stablecoins reaccionaron rápido. Tether y Circle blacklistearon las direcciones del presunto atacante: el CEO de Tether, Paolo Ardoino, dijo que congeló más de US$1.500 millones en USDT, y el de Circle, Jeremy Allaire, más de US$800 millones en USDC. TRM calculó unos US$2.700 millones congelados al 00:30 UTC del 30 de octubre, con montos menores de Ripple, World Liberty Financial y el Arbitrum Security Council.

El problema de fondo: el atacante está convirtiendo stablecoins, que son congelables, a ether, que no lo es. Según TRM, vendió unos 325 millones de USDT a market makers por aproximadamente 122.300 ETH, cerca de 10% por debajo de mercado, y pidió prestados unos 19.760 ETH en Aave contra 60 millones de USDT antes de que Aave congelara los mercados afectados. Más de 420.000 ETH y 18.270 BTC, unos US$2.400 millones, quedaron fuera del alcance de cualquier emisor.

Por qué apuntan a Corea del Norte

TraderTraitor es el nombre que usa el FBI para una operación de hacking patrocinada por el Estado norcoreano, también rastreada como Jade Sleet y Slow Pisces y considerada parte del grupo Lazarus. El FBI atribuyó a TraderTraitor el robo de US$1.500 millones a Bybit en febrero de 2025, y autoridades de Estados Unidos y Japón vincularon antes al grupo con el robo de US$308 millones a DMM Bitcoin en mayo de 2024.

El modus operandi es consistente. En el caso DMM, un atacante que se hacía pasar por reclutador envió una prueba de código maliciosa a un empleado del proveedor de billeteras Ginco, y el acceso resultante se usó para manipular una solicitud de transacción legítima.

También Chainalysis apuntó al mismo grupo: su CEO, Jonathan Levin, estimó el robo en US$6.400 millones. El investigador on-chain ZachXBT señaló que los fondos robados a Binance y los del exploit de Bitget se mezclaron en la misma dirección tras pasar por THORChain, lo que sugiere el mismo actor detrás de ambos incidentes. Chainalysis estimó que el total robado por Corea del Norte en todo 2025 fue de US$2.020 millones, cerca de un tercio de lo sustraído a Binance, según Mashable.

Binance no nombró a ningún responsable y ninguna agencia de gobierno hizo todavía una atribución formal. La exchange prometió un post-mortem técnico detallado y una Proof of Reserves actualizada, y dijo que espera reanudar los retiros en 48 horas cubriendo todas las pérdidas con su fondo SAFU y fondos propios.

Para dimensionar el golpe: según CoinDesk, Binance tenía unos US$144.000 millones en activos antes del hackeo, lo que deja lo robado en torno al 4% de sus tenencias. Su SAFU tenía cerca de US$1.000 millones en bitcoin.

Un sector bajo presión: no es un caso aislado

El ataque llega en una racha de fallos de seguridad. Bitget perdió unos US$351,6 millones en un hackeo de septiembre que la propia exchange vinculó a Corea del Norte, según FinanceFeeds. El mismo día del incidente de Binance, el mercado de predicciones Polymarket reportó una brecha que detuvo las operaciones de su plataforma internacional, con unos US$2,6 millones tomados de billeteras de usuarios, según IBTimes. Y Binance ya había sufrido en 2022 un exploit de un bridge de su blockchain BNB que acuñó tokens por unos US$570 millones, aunque la intervención de la compañía limitó las pérdidas a unos US$115 millones.

El analista de Bloomberg Intelligence James Seyffart lo resumió sin vueltas: es una mala imagen, y es uno tras otro. El tamaño del robo probablemente ponga presión sobre reguladores y exchanges para endurecer la seguridad de los sistemas internos, en particular las hot wallets que las plataformas mantienen conectadas a internet para procesar retiros de clientes.

Qué significa esto para tu startup

El ataque no fue un exploit de contrato inteligente: fue ingeniería social contra una persona con privilegios. Ese es el riesgo que la mayoría de los equipos fundadores subestima, y es exactamente el tipo de vector que no se resuelve con una auditoría de código.

Trata la laptop de tu equipo técnico como infraestructura crítica. Un ingeniero de DevOps con acceso a producción es un objetivo de alto valor. Aplica mínimo privilegio, usa hardware dedicado para operaciones con fondos y separa las credenciales de firma de las máquinas de desarrollo.
Asume que tu equipo va a recibir una prueba técnica falsa. La campaña Contagious Interview se hace pasar por reclutadores. Define una política explícita: nunca ejecutar código de un proceso de selección en una máquina con acceso a producción, y hacerlo siempre en entornos aislados.
Diversifica la contraparte, no solo el activo. Si tu tesorería vive en un solo exchange, tu runway tiene un punto único de falla. Reparte entre custodios y evalúa autocustodia para la reserva de largo plazo.
Prueba tu plan de retiros antes de necesitarlo. Binance suspendió retiros durante la revisión de seguridad. Si eso te pasa, ¿cuántos días de operación aguantas sin poder mover fondos? Ten una ruta alterna documentada y probada.

Conclusión

El hackeo a Binance deja tres lecciones que aplican a cualquier startup, tenga o no cripto en su balance. Primero, el eslabón más débil de la seguridad sigue siendo una persona con privilegios y una laptop. Segundo, la velocidad de reacción importa: la diferencia entre US$3.000 millones congelados y US$2.400 millones fuera de alcance se decidió en horas, no en días. Tercero, la concentración de contraparte es un riesgo de negocio, no solo un riesgo técnico.

Binance dice que cubrirá todas las pérdidas y que reanudará retiros en 48 horas. Los próximos hitos a seguir son la confirmación oficial de la atribución por parte de agencias de gobierno, el post-mortem técnico prometido y cuánto del dinero congelado termina efectivamente recuperado. Mientras tanto, la pregunta que todo founder debería hacerse hoy es simple: si mañana tu proveedor principal de infraestructura financiera se cae, ¿tienes plan B escrito?