Binance sufre el mayor hackeo cripto: US$6.300M en 20 min

Un robo de US$6.300 millones en 20 minutos

El jueves, a partir de las 16:00 ET, atacantes empezaron a drenar alrededor de US$6.300 millones en criptomonedas desde wallets de Binance, repartidos en múltiples blockchains. Según el análisis de TRM Labs, la mayor parte del botín salió en una ventana de unos 20 minutos el 29 de octubre, desde wallets de Binance en al menos diez blockchains —incluidas Ethereum, Bitcoin, Tron y Solana— hacia direcciones controladas por un único atacante.

Para un founder que opera con tesorería en cripto, la cifra no es una anécdota: es el mayor robo de criptoactivos registrado hasta la fecha. Supera con amplitud el hackeo de US$1.500 millones a Bybit en febrero de 2025, que el FBI atribuyó a TraderTraitor, según reportó IBTimes.

Binance suspendió casi de inmediato depósitos y retiros mientras investiga, y aseguró que cubrirá todas las pérdidas. Su co-CEO Richard Teng lo resumió así: "Tu dinero está a salvo y estamos cubriendo cada pérdida".

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

¿Cómo se ejecutó el ataque a Binance?

TRM Labs reconstruyó una operación con ensayo previo. La preparación comenzó al menos 36 horas antes del robo, y una de las wallets del atacante recibió tres retiros pequeños durante una fase de prueba.

"Temprano el 29 de octubre, el operador desplegó una primera pieza de código para el ataque y la probó en dos wallets", dice TRM. "Más tarde ese día, ensayó la versión final en una tercera wallet y devolvió los fondos de prueba a sí mismo. Cuatro horas después de ese ensayo, el mismo código se instaló en una hot wallet de Binance".

Las hot wallets son wallets conectadas a internet que permiten a los exchanges gestionar los retiros de clientes, y por eso quedan expuestas. Binance dijo que su investigación inicial apuntó a una laptop comprometida de un ingeniero, aunque después encontró "puntos de brecha adicionales". La empresa afirmó que no halló evidencia de filtración de claves privadas.

Kok Tin Gan, cofundador de la firma de ciberseguridad NyxLab, apuntó a los controles de aprobación: "Esto parece una sola firma que le dio al atacante un token de acceso total y sin expiración a una hot wallet de Binance", dijo, según IBTimes.

¿Quién está detrás del hackeo?

Tres firmas de rastreo vincularon el ataque con hackers norcoreanos. "Creemos que Corea del Norte es probablemente responsable", dijo a WIRED Tom Robinson, científico jefe y cofundador de Elliptic. "Si Corea del Norte está detrás, este solo robo casi duplicaría todo lo que el régimen ha robado en cripto hasta la fecha".

TRM Labs y Chainalysis señalaron a TraderTraitor, un subgrupo de élite especializado en cripto y finanzas descentralizadas. Chainalysis dijo que la evidencia más fuerte surgió al observar en tiempo real fondos robados a Binance mezclándose con fondos del exploit de Bitget del mes anterior, que ya había sido atribuido a actores norcoreanos.

Ni Binance ni las autoridades han nombrado vínculos con Corea del Norte. La empresa solo dijo que trabaja con las fuerzas del orden para confirmar la identidad de los responsables. Rafe Pilling, director sénior de inteligencia de amenazas en Sophos, describió al grupo como "artistas" para infiltrarse en organizaciones de finanzas distribuidas, y recordó que en el pasado desarrollaron aplicaciones falsas para entrar en las empresas.

El historial del sector respalda la hipótesis: en diciembre de 2022, la agencia de inteligencia de Corea del Sur estimó que hackers norcoreanos robaron unos US$1.100 millones en activos virtuales en cinco años, más de la mitad solo en 2022, según IBTimes.

¿Cuánto dinero se pudo congelar y cuánto no?

Binance dijo que unos US$3.000 millones fueron congelados on-chain con ayuda de socios de blockchain. Robinson precisó que alrededor de US$2.800 millones, un 44% del total, quedó congelado, casi todo en stablecoins.

"Los US$3.300 millones restantes son mayormente Bitcoin, Ether y XRP, que nadie puede congelar", dijo Robinson. "Solo se puede detener cuando llega a un exchange u otro servicio. Algo se atrapará en los próximos meses, pero no espero que la proporción congelada suba mucho más".

Chainalysis reportó "patrones de lavado que no habíamos visto antes" y miles de transacciones procesadas a gran velocidad, señal de que usan automatización para ocultar el rastro de los fondos.

El impacto en el mercado fue inmediato: según NYPost, bitcoin cayó a un mínimo de seis semanas de US$77.646, ether a un mínimo de dos meses de US$2.238 y el token de Binance bajó más del 8%. Varios actores del ecosistema congelaron fondos: Tether congeló casi US$1.570 millones y Circle más de US$800 millones, según AOL. Binance mantiene además un fondo de reserva de US$1.000 millones en bitcoin para usuarios, conocido como SAFU, según NYPost.

Para dimensionar el contexto: Binance tiene 335 millones de usuarios registrados y alrededor de US$162.800 millones en activos bajo custodia, según su reporte anual de 2025 citado por AOL. Y el problema no es aislado: el año pasado se robaron US$2.900 millones en cripto en casi 150 ataques, según TRM.

¿Qué significa esto para tu startup?

Si tu empresa tiene tesorería en cripto, este episodio toca tres decisiones concretas: dónde guardas el dinero, quién puede moverlo y qué tan rápido puedes reaccionar.

La lección central es que la custodia en un exchange no equivale a una cuenta bancaria. Los fondos en hot wallets son alcanzables por un atacante que consiga una credencial válida, y como mostró TRM, basta con una sola firma mal protegida para vaciar diez blockchains en minutos. La otra mitad del problema es que solo una parte del dinero es recuperable: las stablecoins se pueden congelar por emisor, pero Bitcoin, Ether y XRP no. Si tu runway depende de activos no congelables, tu exposición real es mayor de lo que parece.

Acciones que puedes implementar esta semana

Audita los permisos de firma de tus wallets operativas. Busca tokens o API keys sin expiración y con acceso total. Un token permanente es exactamente lo que, según NyxLab, habilitó este ataque. Rótalos y ponles caducidad.
Separa custodia de operación. Deja en el exchange solo el capital de trabajo de días o semanas; el resto en custodia con multisig y firmas distribuidas entre personas distintas. Un solo punto de aprobación es un solo punto de falla.
Define un plan de congelamiento antes de necesitarlo. Ten identificados los contactos y procesos de los emisores de las stablecoins que usas (Tether, Circle y similares) y de los exchanges donde operas. En este caso, la velocidad de reacción definió cuánto se salvó.
Revisa la seguridad del endpoint de tu equipo, no solo la de la nube. El vector inicial reportado fue una laptop de ingeniero comprometida. Gestión de dispositivos, MFA resistente a phishing y mínimo privilegio en accesos internos cuentan más que cualquier firewall perimetral.

Conclusión

El hackeo a Binance deja tres certezas incómodas. Primero, que la escala de estos ataques ya no se mide en millones sino en miles de millones, y que el récord anterior cayó en un solo movimiento. Segundo, que la atribución a actores estatales es rápida pero no concluyente: las firmas de rastreo hablan con alta confianza, mientras Binance y las autoridades siguen sin nombrar responsables. Tercero, y lo más relevante para un founder, que más de la mitad del botín probablemente no se recupere porque no existe mecanismo para congelar Bitcoin, Ether o XRP.

La conclusión práctica no es abandonar el cripto, sino tratar la custodia como una decisión de arquitectura y no como una comodidad operativa. Quien tenga un plan de respuesta escrito, permisos acotados y fondos diversificados entre activos congelables y no congelables va a dormir mejor la próxima vez que suene la alarma.