El mayor robo cripto de la historia: cómo hackearon a Binance por más de US$6.300 millones

Qué pasó. El jueves 29 de octubre de 2026, desde las 17:00 hora de Uruguay aproximadamente, fondos empezaron a salir de billeteras de Binance, el mayor exchange de criptomonedas del mundo. En pocos minutos, billeteras en Ethereum, Bitcoin, Tron, XRP Ledger, Solana y otras cinco redes enviaron sus saldos a direcciones controladas por un mismo atacante. Una segunda tanda, a las 20:00 de Uruguay, alcanzó a Avalanche y Polygon. Binance confirmó un incidente de seguridad, suspendió depósitos y retiros y dijo que cubrirá todas las pérdidas y que los fondos de los usuarios están a salvo. La compañía estima el impacto en unos US$6.300 millones; TRM Labs lo calcula en US$6.360 millones y Chainalysis en unos US$6.400 millones. Es el mayor robo cripto registrado: unas cuatro veces el hackeo a Bybit (US$1.500 millones, febrero de 2025). Cuánto se llevaron y de dónde. Según el rastreo de TRM Labs: • Ethereum: unos US$3.790 millones (200.630 ETH y 185 tokens más, incluidos 1.875 millones de USDT y 823 millones de USDC). • Bitcoin: 18.270 BTC, unos US$1.470 millones. • Tron: unos US$628 millones (en USDT y TRX). • XRP Ledger: 233,46 millones de XRP, unos US$296 millones. • Solana: unos US$96 millones. • Arbitrum, Optimism y Base: unos US$39 millones; Avalanche: US$28 millones; Polygon: US$10 millones.

Cómo lo hicieron (en simple). La preparación. TRM sostiene que el ataque se preparó al menos 36 horas antes: el 28 de octubre, una billetera «operadora» recibió tres retiros chicos desde Tornado Cash, un servicio que oculta el origen de los fondos. El 29 probaron el código en dos billeteras y ensayaron la versión final en una tercera. Cuatro horas después, ese mismo código quedó instalado en una billetera caliente de Binance. El truco en Ethereum. Desde 2025, Ethereum permite (función llamada EIP-7702) que una billetera firme una autorización para ejecutar el código de un contrato. El atacante envió en una sola transacción 50 autorizaciones, todas firmadas por la billetera caliente de Binance, apuntando a un contrato «barredor» que solo obedecía al atacante. Preparó 50 porque esa billetera mueve retiros sin parar y su contador cambia constantemente: al menos una firma tenía que calzar. Calzó una. Tres minutos y 24 segundos después, el atacante ordenó enviar todo el saldo: 167.464 ETH y 63 tokens, entre ellos 1.615 millones de USDT. Después siguió «barriendo» los fondos nuevos que llegaban. La pista más importante: no fue solo Ethereum. En esa misma media hora, billeteras de Binance en otras nueve redes, con distintos tipos de claves y firmas, también enviaron fondos al atacante mediante transferencias firmadas comunes. Para TRM, la explicación más probable es que el atacante logró que el sistema de firma de las billeteras calientes de Binance firmara lo que él pidiera. La batería de 50 firmas sugiere que el acceso pudo ser limitado en el tiempo o que había que solicitarlas a un sistema. La versión de Binance. La empresa informó que su investigación inicial apunta a la laptop comprometida de un ingeniero de DevOps, que habría permitido acceder a un contenedor de servicio y enviar retiros no autorizados. Binance no había publicado una causa raíz definitiva. Importante: no hackearon la blockchain. Los especialistas citados por la prensa destacan que lo vulnerado fue el sistema con que la plataforma custodia y firma, no las redes en sí.

Antecedentes. • 2019: 7.000 BTC (unos US$40 millones) de una billetera caliente de Binance. • 2022: unos US$100–110 millones en un exploit al puente BSC Token Hub de la red de Binance. • Febrero de 2025: Bybit, US$1.500 millones, atribuido a Lazarus/TraderTraitor.

La carrera por congelar. El atacante tenía contra el reloj las stablecoins (USDT, USDC), que sus emisores pueden congelar. Para escapar, vendió unos US$325 millones en stablecoins a cambio de ETH con un fuerte descuento, y pidió ETH prestado en Aave dejando USDT como garantía. Aun así, los congelamientos empezaron esa misma noche: • Tether: unos 1.770 millones de USDT. • Circle: unos 825 millones de USDC. • Ripple: 40,5 millones de RLUSD. • World Liberty Financial: 27,8 millones de USD1. • Consejo de Seguridad de Arbitrum: 8.426 ETH y 74,6 millones de ARB, unos US$30 millones. Total congelado: unos US$2.700 millones según TRM, US$2.800 millones según Chainalysis y unos US$3.000 millones según Binance. Lo que no se puede congelar es Bitcoin y gran parte del Ether: TRM calcula que el atacante conserva más de 420.000 ETH y 18.270 BTC, unos US$2.400 millones. Chainalysis ve un lavado automatizado, con miles de transacciones que rebotan entre direcciones. Impacto en el mercado. El Bitcoin cayó hasta la zona de US$77.000–78.000, su nivel más bajo desde septiembre según Bloomberg Línea. Binance.US, la rama para residentes de EE.UU., informó que no fue comprometida. Según Bloomberg, la cofundadora Yi He dijo que los retiros se esperaban reanudar para el domingo (1 de noviembre). Qué no se sabe todavía. • La causa raíz: cómo obtuvo el atacante el acceso a la infraestructura de firma. • El monto final robado, que varía según la fuente y el precio con que se valúe (US$6.300 a US$6.400 millones). • Cuánto se recuperará. TRM espera que ahora los fondos pasen por puentes entre redes, servicios de intercambio y mesas OTC. • Si Binance podrá absorber la pérdida como promete: dijo tener reservados más de US$6.340 millones de fondos propios. Para el usuario uruguayo. Según Binance, los fondos de los clientes están cubiertos, pero la lección es de riesgo de custodia: cuando se deja la plata en un exchange, se depende de su seguridad interna. Esto no es una recomendación financiera. Un punto a verificar: Binance tiene presencia comercial en Uruguay desde 2021 y el Banco Central la citó en 2022 por publicidad de cripto como ahorro; no se confirmó cuál es hoy el marco regulatorio ni si el BCU o la Superintendencia emitieron algún comunicado por este caso.

Quién está detrás. TRM Labs (con «alta confianza») y Chainalysis atribuyen el ataque a TraderTraitor, la unidad de hackers de Corea del Norte que el FBI identificó en el golpe a Bybit de 2025. Las pruebas son de rastreo en la cadena, no una confirmación oficial: • Retiros chicos desde Tornado Cash para fondear la billetera operadora. • Preparación días antes y firmas obtenidas con anticipación, ejecutadas en una ráfaga: el mismo patrón de Bybit y del hackeo a KelpDAO de abril de 2026. • Chainalysis observó en tiempo real cómo fondos robados a Binance se mezclaban con los del robo a Bitget del mes pasado, atribuido a Corea del Norte. El Servicio Secreto de EE.UU. dijo estar trabajando con Circle y otros socios para identificar, congelar y recuperar los fondos. No hay una atribución oficial de un gobierno.