Binance sufre el mayor hackeo cripto: US$6.300M

Qué pasó en el hackeo a Binance

El jueves 29 de octubre, atacantes drenaron al menos US$6.300 millones en criptomonedas de wallets de Binance, el exchange más grande del mundo. Según el análisis de la firma de inteligencia blockchain TRM Labs, la mayor parte del robo se ejecutó en unos 20 minutos y afectó wallets en al menos 10 blockchains, entre ellas Ethereum, Bitcoin, Tron y Solana, según reportó WIRED.

Es, por lejos, el mayor robo de cripto de la historia. Y el detalle que debería preocupar a cualquier founder no es la cifra: es que no se rompió ninguna clave privada. Se rompió el control de accesos.

Binance suspendió todos los depósitos y retiros mientras avanza la investigación y aseguró que "los fondos de los usuarios están a salvo", aunque no entregó pruebas inmediatas de esa afirmación. La compañía dijo que publicará una prueba de reservas actualizada cuando termine la remediación.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Cómo entraron: una laptop, no una clave privada

La investigación preliminar de Binance apunta a la laptop comprometida de un ingeniero de DevOps. Ese acceso le habría permitido al atacante entrar a un contenedor de servicio y enviar transacciones de retiro no autorizadas que, para los sistemas receptores, parecían legítimas.

Binance afirmó que no encontró evidencia de filtración de claves privadas de wallets. Ese punto es clave: la bóveda aguantó. Lo que falló fue todo lo que rodea a la bóveda — las personas, los dispositivos y los sistemas automatizados autorizados a pedirle a la clave que firme.

Según TRM Labs, en Ethereum el atacante usó un mecanismo de delegación EIP-7702 para convertir una hot wallet de Binance en una wallet "barredora" bajo su control, con 50 autorizaciones pre-firmadas preparadas de antemano. En las otras nueve redes, las wallets enviaron fondos mediante transacciones firmadas ordinarias. Que wallets con distintos tipos de clave y sistemas de firma produjeran firmas válidas en unos 30 minutos apunta, según TRM, a un compromiso de la infraestructura de firma de hot wallets de Binance.

TRM también detectó que la preparación empezó al menos 36 horas antes del robo: la wallet operativa del atacante recibió tres retiros pequeños desde el mixer Tornado Cash y el código se probó primero en dos wallets y se ensayó en una tercera antes de instalarse en producción.

Quién está detrás: el grupo TraderTraitor

TRM Labs atribuyó el ataque a hackers norcoreanos y lo llamó "el mayor hackeo de la historia". Elliptic llegó a una conclusión similar. El grupo es conocido en la industria como TraderTraitor, una célula norcoreana enfocada casi exclusivamente en robar cripto a grandes empresas y exchanges.

Según Moneycontrol, el nombre TraderTraitor apareció por primera vez en un aviso conjunto de abril de 2022 del FBI, la CISA y el Departamento del Tesoro de EE. UU. Se lo asocia al grupo Lazarus y opera bajo alias como Jade Sleet, UNC4899 y Slow Pisces. Su método favorito es la ingeniería social: contactar a empleados de empresas cripto por LinkedIn, Slack o Telegram, apuntando a perfiles de DevOps, IT y administración de sistemas.

El antecedente más citado es el robo de US$1.400 millones a Bybit en 2025, el segundo mayor de la historia, que el FBI también atribuyó a este grupo. Según Chainalysis, citada por Mashable, el total robado por Corea del Norte en todo 2025 fue de US$2.020 millones: menos de un tercio de lo que se llevaron de Binance en una sola operación.

La atribución, eso sí, no es unánime. Binance no nombró públicamente a ningún sospechoso y ningún gobierno atribuyó formalmente el ataque al momento de escribir esta nota.

Cuánto se pudo congelar (y cuánto no)

La respuesta de la industria fue rápida. Binance reportó que unos US$3.000 millones quedaron congelados on-chain con ayuda de socios. Elliptic calculó que se bloquearon alrededor de US$2.800 millones, cerca del 44% del total, casi todo en stablecoins.

El problema es el resto. Según el cofundador de Elliptic, Tom Robinson, los US$3.300 millones restantes son mayormente Bitcoin, Ether y XRP, activos que nadie puede congelar: solo se pueden interceptar cuando llegan a un exchange o servicio. "Algo se atrapará en los próximos meses, pero no espero que la proporción congelada suba mucho más", dijo a WIRED.

Binance afirmó que cubrirá todas las pérdidas con su fondo SAFU y fondos propios. Según Yahoo Finance, la compañía reservó US$6.340 millones de recursos propios para cubrir a los usuarios.

¿Qué significa esto para tu startup?

Olvida el cripto por un momento. Reemplaza "hot wallet" por "sistema de pagos", "ERP" o "consola de administración de Microsoft 365" y esta es la historia de casi cualquier brecha seria de los últimos años. Los atacantes casi nunca revientan la bóveda: piden prestado el acceso de un insider de confianza y usan los permisos que esa persona —o su laptop— ya tenía.

El caso deja tres preguntas que cualquier founder debería hacerse esta semana:

¿Qué cuentas pueden mover dinero o datos sin una segunda aprobación humana? Si la respuesta es "una cuenta de servicio" o "cualquiera del equipo de DevOps", ahí está tu brecha. En Binance, una sola laptop bastó para autorizar movimientos de miles de millones.
¿Tus tokens de acceso y autorizaciones pre-aprobadas expiran? Los permisos que se otorgan una vez y nunca se revisan son exactamente lo que hizo que 20 minutos fueran suficientes. Las 50 autorizaciones pre-firmadas del ataque son la versión extrema de ese problema.
¿Tratas las laptops de administración como joyas de la corona? Las máquinas desde las que tus ingenieros llegan a producción merecen mucha más protección que un endpoint promedio, no la misma.

Hay un ángulo de IA que conviene mirar de cerca. Cada vez más empresas le dan a agentes de IA la capacidad de ejecutar acciones, aprobar flujos y tocar sistemas de producción. Cada uno de esos agentes es una identidad más con acceso permanente. Si una sola laptop humana puede hacer este daño, las identidades que le entregas al software necesitan permisos que expiren y reglas de doble aprobación, o más estrictas todavía.

Y una acción concreta que rinde de inmediato: haz un inventario de accesos privilegiados esta semana. Lista quién y qué puede mover dinero o datos sin supervisión, revisa qué permisos llevan más de seis meses sin auditarse y aplica el principio de mínimo privilegio. La mayoría de las startups hispanohablantes opera con equipos chicos y confía en la buena fe del grupo; precisamente por eso un solo acceso comprometido puede ser terminal.

Conclusión

El hackeo a Binance no fue un fallo de criptografía ni de blockchain: fue un fallo de identidad y accesos. Un atacante paciente, con 36 horas de preparación y una laptop comprometida, movió más dinero en 20 minutos del que la mayoría de las empresas verá en toda su vida. La lección para un founder no es "no uses cripto", sino que la seguridad ya no se mide por lo fuerte que es tu bóveda, sino por cuántas puertas de entrada tiene y quién las puede abrir sin que nadie más mire.