Binance sufre robo de US$6.300M, el mayor de la historia

El mayor robo de criptomonedas de la historia, en 20 minutos

Binance perdió aproximadamente US$6.360 millones en criptomonedas, según la estimación de TRM Labs que recoge Xataka. La mayor parte del dinero salió de sus monederos en apenas 20 minutos, y las transferencias tocaron diez redes blockchain: Bitcoin, Ethereum, Tron, Solana y XRP Ledger, entre otras.

Lo relevante para cualquier founder no es la cifra, sino el método. Los atacantes no rompieron la criptografía de ninguna red. Entraron por la infraestructura que autoriza las transacciones, y el punto de entrada habría sido el ordenador portátil de un ingeniero de DevOps. Es el recordatorio más caro del año de que la seguridad de una empresa se mide por su endpoint más débil, no por su algoritmo más sofisticado.

¿Cómo se pudo robar miles de millones sin romper el blockchain?

La clave está en la diferencia entre la cadena y la infraestructura que opera sobre ella. Según TRM Labs y Elliptic, la hipótesis más sólida es que los atacantes comprometieron los sistemas de Binance que autorizan y firman transacciones. Las transferencias eran criptográficamente válidas, pero nunca fueron autorizadas por la compañía.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

El vector apunta a los hot wallets de Binance: monederos conectados a internet que se usan para operar y atender retiradas, a diferencia de los cold wallets, que mantienen sus claves desconectadas o especialmente protegidas. La investigación preliminar de Binance señala que un atacante accedió a un contenedor de servicio y envió órdenes de retirada no autorizadas desde el portátil comprometido de un ingeniero de DevOps, según recoge El Español.

Binance afirmó que no encontró evidencia de filtración de claves privadas de sus monederos. Después matizó el relato: según TechSpot, la compañía dijo que los investigadores hallaron "puntos de brecha adicionales" y describió el incidente como un ataque complejo, por lo que el portátil comprometido probablemente no sea toda la historia.

EIP-7702: cuando una mejora de Ethereum se convierte en vector de ataque

En Ethereum, los atacantes usaron EIP-7702, un mecanismo introducido en la actualización Pectra que permite que un monedero común ejecute código de contrato inteligente. Según TRM Labs, citado por Yahoo Finance, eso les permitió convertir un hot wallet de Binance en un barrido controlado por ellos, con 50 autorizaciones pre-firmadas preparadas de antemano.

El detalle importa porque describe un patrón, no un accidente: la operación se ensayó antes. TRM señaló que la wallet operativa del atacante se financió a través de Tornado Cash, un mezclador de criptomonedas, y que la preparación previa coincide con ataques anteriores vinculados a Corea del Norte.

¿Quién está detrás y por qué importa la atribución?

TRM Labs atribuyó el ataque a TraderTraitor, una unidad de hackers norcoreana, con "alta confianza". Chainalysis elevó el total a unos US$6.400 millones y dijo que la evidencia más fuerte apareció al ver fondos robados de Binance mezclándose en tiempo real con fondos del exploit de Bitget del mes anterior, ya atribuido a actores norcoreanos, según Yahoo Finance. La firma singapurense Pangolin Intelligence también apuntó a una unidad norcoreana.

Binance no confirmó públicamente la autoría. Y la escala tiene precedente: el hackeo de Bybit de febrero de 2025, de US$1.500 millones, fue atribuido por el FBI al mismo grupo. Este robo es unas cuatro veces mayor. En aquel caso, según Decrypt citado por Yahoo Finance, los atacantes plantaron código malicioso en la infraestructura del proveedor de wallets Safe tras comprometer el ordenador de un desarrollador. El patrón se repite: no se ataca la cadena, se ataca a la persona que tiene las llaves.

¿Cuánto se congeló y cuánto sigue en manos de los atacantes?

La respuesta del sector fue rápida. Binance dijo haber congelado unos US$3.000 millones en activos afectados, según TechSpot y El Español. El Correo detalla que Tether congeló cerca de US$1.570 millones y Ripple otros US$200 millones. 247wallst añade que Circle, World Liberty Financial y el Arbitrum Security Council también actuaron, con más de US$800 millones congelados por Circle.

Aun así, el atacante conservaba 18.270 bitcoins y más de 420.000 ether, unos US$2.400 millones que ningún emisor puede congelar, según 247wallst. Binance dijo que cubrirá todas las pérdidas con su fondo SAFU y recursos propios, y que las retiradas seguirían suspendidas hasta terminar el escaneo de seguridad.

El impacto de mercado fue inmediato. El Correo reporta que el bitcoin cayó más de un 3%, hasta los US$76.368, el ether tocó su mínimo en dos meses y el token BNB perdió cerca de un 5%. Las liquidaciones de posiciones apalancadas alcanzaron los US$1.500 millones en 24 horas. Coinbase cerró en US$160,59 y cayó un 4,82% en operaciones posteriores, aunque ese movimiento se mezcla con la publicación de resultados ese mismo día, según 247wallst.

Para dimensionar el contexto: TRM Labs calculó que el año anterior se robaron US$2.900 millones en cerca de 150 ataques, según El Correo. Este solo incidente supera ese total anual.

¿Qué significa esto para tu startup?

Aunque no custodies criptomonedas, el ataque describe un riesgo que casi toda startup tecnológica tiene abierto: credenciales de ingeniería con acceso a sistemas que mueven valor. Binance tiene 335 millones de usuarios registrados y custodiaba unos US$162.800 millones en activos según su informe anual de 2025, de acuerdo con El Correo. Y aun así, la brecha habría empezado en un solo portátil.

No es la primera vez. En mayo de 2019, según TechSpot, hackers robaron 7.000 bitcoins valorados en unos US$40,7 millones del hot wallet de Binance, y también obtuvieron claves API de usuarios y códigos de doble factor. La diferencia de escala entre aquel incidente y este no viene de un salto en la criptografía: viene de cuánta infraestructura crítica quedó al alcance de una sola máquina.

Tres acciones concretas que puedes ejecutar esta semana:

Separa planos de acceso. Las máquinas de ingeniería no deberían poder firmar ni autorizar operaciones que muevan dinero. Aplica el principio de menor privilegio y exige un segundo factor físico o aprobación humana fuera de banda para cualquier operación sensible. Si un portátil comprometido puede llegar a un contenedor de servicio con permisos de retirada, el diseño está mal.
Rota credenciales y elimina el factor de phishing. Si tu equipo usa códigos por SMS o apps de un solo uso, migra a llaves de hardware o passkeys. Revisa además qué tokens de larga duración siguen activos en tus sistemas de CI/CD y en tus proveedores.
Ensaya el peor día. Ten un plan escrito con contactos de exchanges, proveedores de custodia, aseguradora y fuerzas del orden, y practica una simulación de congelamiento de fondos. En este caso, la velocidad de la respuesta —congelar miles de millones en horas— fue lo único que limitó el daño.

Si tu startup custodia activos de terceros, suma dos controles más: límites de retirada por ventana de tiempo y monitoreo de delegaciones tipo EIP-7702, que permiten que una wallet empiece a comportarse como un contrato que no controlas. Es una función legítima de Ethereum, y precisamente por eso conviene tenerla inventariada antes de que alguien más la use.

La conclusión incómoda es esta: la ciberseguridad de tu empresa no se rompe por el algoritmo más avanzado que usas, sino por el endpoint más descuidado que tienes. Y ese endpoint suele ser el portátil de alguien que confía en que su contraseña es suficiente.