Binance sufre un incidente de seguridad récord: 6.300 millones de dólares sustraídos del exchange. ¿Es el mayor hackeo de la historia de las criptomonedas?
El 29 de octubre de 2026, Binance sufrió uno de los mayores incidentes de seguridad jamás registrados en el mercado de las criptomonedas. Los atacantes consiguieron retirar activos por un valor aproximado de 6.300 millones de dólares de 17 hot wallets de la plataforma. Los movimientos se produjeron en varias redes blockchain y se concentraron en un periodo inferior a cuatro horas.
Binance confirmó el incidente y anunció que cubrirá todas las pérdidas utilizando los fondos del fondo de protección SAFU y sus propios recursos. Según las estimaciones disponibles, se consiguieron congelar activos por un valor aproximado de 3.000 millones de dólares.
Las primeras investigaciones apuntan a que el ataque pudo comenzar con el compromiso del ordenador portátil de un ingeniero de DevOps. Por el momento, Binance no ha encontrado pruebas de que las claves privadas de los monederos afectados hayan sido filtradas.
Binance: ¿qué ocurrió exactamente el 29 de octubre?
Los primeros movimientos sospechosos se detectaron el 29 de octubre de 2026. Según los datos de Bitquery, los fondos comenzaron a salir de los monederos calientes de Binance alrededor de las 20:04 UTC. La actividad se prolongó hasta las 23:56 UTC.
La secuencia de acontecimientos fue la siguiente:
20:04 UTC: se registraron las primeras salidas de fondos desde los monederos afectados.
20:20:06 UTC: se transfirieron aproximadamente 18.270 BTC a direcciones controladas por el atacante.
20:20:59 UTC: se registraron 50 autorizaciones EIP-7702 asociadas a Binance 14.
20:24 UTC: comenzó una serie de transferencias de ETH y tokens ERC-20.
20:26 UTC: se registraron nuevas transferencias de ETH.
20:40-20:41 UTC: se produjeron movimientos adicionales de ETH y USDC.
23:56 UTC: finalizó la ventana de salidas identificada por Bitquery.
30 de octubre, 02:23 UTC: Binance publicó un comunicado en el que confirmó el incidente y estimó el valor de los activos afectados en aproximadamente 6.300 millones de dólares.
Los fondos salieron de 17 hot wallets distribuidas en distintas redes blockchain. Bitquery identificó actividad en nueve redes, mientras que TRM Labs contabilizó diez. Entre ellas se encuentran Bitcoin, Ethereum, Tron, Solana, XRP Ledger, Arbitrum, Avalanche, Optimism, Base y Polygon.
Es importante distinguir dos elementos de la secuencia. Por un lado, se produjo la transferencia de aproximadamente 18.270 BTC. Por otro, se registraron 50 autorizaciones EIP-7702 relacionadas con Binance 14. Ambos acontecimientos forman parte del incidente, pero representan operaciones técnicas diferentes.
¿Qué criptomonedas fueron sustraídas de Binance?
Una parte importante de los movimientos se produjo en Ethereum, donde los atacantes transfirieron diferentes criptomonedas y tokens. Los datos identificados incluyen:
USDT: 1.615.409.499 unidades, con un valor aproximado de 1.615 millones de dólares.
USDC: 780.177.060 unidades, equivalentes a unos 780 millones de dólares.
ETH: aproximadamente 195.470 unidades, valoradas en unos 442 millones de dólares.
wBETH: 29.934 unidades, con un valor aproximado de 74,6 millones de dólares.
RLUSD: 62.597.240 unidades, equivalentes a unos 62,6 millones de dólares.
XAUt: 11.372 unidades, valoradas en unos 45,6 millones de dólares.
UNI: 6.189.796 unidades, con un valor aproximado de 41,2 millones de dólares.
ENA: 198.369.717 unidades, equivalentes a unos 37 millones de dólares.
PEPE: aproximadamente 7,18 billones de unidades, valoradas en unos 35,3 millones de dólares.
USD1: 27.760.802 unidades, con un valor aproximado de 27,7 millones de dólares.
LINK: 2.263.172 unidades, equivalentes a unos 25 millones de dólares.
AAVE: 127.853 unidades, valoradas en unos 16,2 millones de dólares.
Esta lista recoge únicamente una parte de los movimientos identificados en Ethereum. No representa el conjunto de los activos sustraídos en todas las redes implicadas. Por tanto, estos importes no deben sumarse de nuevo a la estimación global de 6.300 millones de dólares, ya que forman parte de ella.
18.270 BTC, equivalentes a unos 1.400 millones de dólares. El atacante dividió los bitcoins en 19 monederos
Uno de los movimientos más importantes del incidente fue la transferencia de aproximadamente 18.270,2 BTC. Según los datos disponibles, los bitcoins fueron enviados mediante 11 transacciones y posteriormente distribuidos entre 19 monederos.
La distribución fue especialmente llamativa:
17 monederos recibieron exactamente 1.000 BTC cada uno.
Un monedero recibió aproximadamente 832,5 BTC.
Otro monedero recibió aproximadamente 437,7 BTC.
A las 04:23 UTC del 30 de octubre, ninguno de estos monederos había reenviado los bitcoins recibidos.
La situación de BTC es especialmente relevante porque Bitcoin no dispone de una entidad central que pueda congelar directamente los fondos. A diferencia de determinados stablecoins, que pueden incorporar mecanismos de bloqueo a nivel del emisor, las transacciones de Bitcoin no pueden revertirse de esa manera.
Por tanto, cualquier intento de recuperar estos activos dependerá principalmente de la identificación de los fondos y de la cooperación de exchanges, intermediarios OTC y otros participantes del mercado.
El atacante convirtió parte de los stablecoins en ETH y TRX. ¿Qué fondos se consiguieron salvar?
Una parte de los activos sustraídos fue convertida rápidamente en otras criptomonedas. Según los datos de Bitquery, el atacante intercambió stablecoins por un valor aproximado de 729 millones de dólares por ETH y TRX antes de que algunas de las direcciones implicadas fueran congeladas.
Como resultado de estas operaciones, el atacante llegó a acumular aproximadamente 490.361 ETH, frente a los cerca de 200.630 ETH identificados inicialmente. Esto supone un incremento de aproximadamente 2,4 veces en la cantidad de ETH controlada.
A las 03:54 UTC del 30 de octubre, Bitquery estimaba que todavía quedaban unos 3.100 millones de dólares en las direcciones controladas por el atacante. En ese momento no se habían registrado transferencias de esos fondos hacia exchanges o servicios de mezcla de criptomonedas.
TRM Labs publicó anteriormente una estimación que apuntaba a más de 420.000 ETH y 18.270 BTC, con un valor conjunto aproximado de 2.400 millones de dólares.
Las diferencias entre estas cifras pueden explicarse por el momento en el que se realizaron las observaciones, los movimientos posteriores de los activos y las distintas metodologías utilizadas para calcular los saldos. En un incidente de esta escala, las estimaciones pueden cambiar rápidamente a medida que se identifican nuevas direcciones y se siguen las operaciones entre redes.
¿Cómo consiguió el atacante controlar los monederos de Binance?
Las primeras investigaciones apuntan a que el ataque pudo comenzar con el compromiso del ordenador portátil de un ingeniero de DevOps. Según las hipótesis iniciales, el atacante habría conseguido acceder a un contenedor de servicios dentro de la infraestructura interna de Binance y utilizar ese acceso para preparar transacciones de retirada no autorizadas.
Binance declaró que, hasta el momento, no había encontrado pruebas de que las claves privadas de los monederos afectados hubieran sido filtradas.
Esto es importante porque el incidente no parece haber consistido en romper la criptografía de Bitcoin o Ethereum. El posible punto débil habría estado en la infraestructura y los procesos internos utilizados para gestionar las operaciones de los monederos.
Uno de los elementos técnicos centrales del ataque fue EIP-7702, una propuesta de Ethereum que permite que una cuenta externa delegue determinadas operaciones en código de un contrato inteligente, manteniendo su dirección y sus activos.
En este caso, se identificaron 50 autorizaciones asociadas a Binance 14. Estas autorizaciones estaban firmadas y preparadas para diferentes valores consecutivos de nonce, lo que habría permitido ejecutar operaciones automatizadas mediante código controlado por el atacante.
EIP-7702 no es, por sí mismo, una vulnerabilidad. Se trata de una funcionalidad de Ethereum. El problema habría estado en la forma en que se obtuvieron y utilizaron las autorizaciones dentro del entorno de Binance.
La plataforma ha anunciado que publicará un informe técnico para explicar con mayor detalle cómo se produjo el incidente y qué medidas se han adoptado para evitar que vuelva a ocurrir.
¿Quién está detrás del ataque a Binance? Las sospechas apuntan a Corea del Norte
Las primeras atribuciones realizadas por empresas de análisis blockchain apuntan a un grupo vinculado a Corea del Norte.
TRM Labs atribuyó el ataque con un alto nivel de confianza al grupo TraderTraitor. Chainalysis también señaló similitudes con operaciones anteriormente relacionadas con actores norcoreanos.
El incidente presenta algunas características que recuerdan al ataque contra Bybit de febrero de 2025, también atribuido a actores vinculados a Corea del Norte.
TraderTraitor es un grupo asociado a operaciones de robo de criptomonedas y ataques contra empresas del sector. Sin embargo, es importante señalar que la atribución realizada por las compañías de análisis no equivale a una confirmación oficial por parte de las autoridades policiales.
Por el momento, las conclusiones deben tratarse como una atribución basada en indicadores técnicos y patrones de actividad, no como una identificación judicial definitiva de los responsables.
¿Cuánto dinero se consiguió congelar? Binance habla de aproximadamente 3.000 millones de dólares
Uno de los aspectos más importantes del incidente es la cantidad de fondos que se consiguió bloquear antes de que los atacantes pudieran seguir moviéndolos.
En su última comunicación, Binance indicó que se habían congelado activos por un valor aproximado de 3.000 millones de dólares.
Otras estimaciones publicadas por empresas de análisis blockchain fueron algo inferiores:
Bitquery: aproximadamente 2.700 millones de dólares.
TRM Labs: aproximadamente 2.700 millones de dólares.
Binance: aproximadamente 3.000 millones de dólares.
Las diferencias pueden deberse al momento en el que se calcularon los importes, a las redes incluidas y a los criterios utilizados para determinar qué activos podían considerarse efectivamente congelados.
En las operaciones de recuperación participaron distintos actores del ecosistema. Entre ellos se encuentran Tether, Circle, Ripple, World Liberty Financial y otros socios, además del Arbitrum Security Council.
Conviene recordar que congelar activos no significa necesariamente que estos hayan sido devueltos de inmediato a Binance. El bloqueo impide que determinados fondos puedan seguir moviéndose, pero su recuperación definitiva puede requerir procedimientos adicionales y coordinación entre las partes implicadas.
¿Cómo reaccionó Binance? SAFU, cobertura de las pérdidas y suspensión de las retiradas
Binance confirmó oficialmente el incidente en un comunicado publicado el 30 de octubre a las 02:23 UTC.
La compañía aseguró que cubrirá todas las pérdidas utilizando los recursos del fondo SAFU y sus propios fondos. SAFU es la abreviatura de Secure Asset Fund for Users, un fondo creado para proteger a los usuarios ante situaciones extraordinarias.
Entre las medidas anunciadas por Binance se encuentran:
La cobertura íntegra de las pérdidas de los usuarios.
La suspensión temporal de los depósitos y las retiradas mientras se revisaban los sistemas afectados.
La revocación de las autorizaciones relacionadas con las direcciones comprometidas.
La cooperación con las autoridades y las empresas especializadas en análisis blockchain.
La publicación de una actualización de su sistema Proof of Reserves.
Posteriormente, Binance aclaró que los depósitos ya estaban disponibles, mientras que las retiradas permanecían suspendidas durante la reconstrucción y las comprobaciones de seguridad. La compañía esperaba restablecerlas en un plazo aproximado de 48 horas.
La promesa de cubrir las pérdidas es un elemento importante para los clientes de la plataforma. Sin embargo, la evaluación definitiva de la respuesta de Binance dependerá también de la recuperación de los activos, de la restauración de los sistemas y de la publicación de información técnica completa sobre el ataque.
Proof of Reserves de Binance bajo escrutinio. ¿Las reservas siguen cubriendo el 100% de los saldos de los clientes?
El incidente también ha reabierto el debate sobre el sistema Proof of Reserves de Binance y la capacidad de la plataforma para mantener una cobertura completa de los activos de sus clientes.
CoinDesk señaló que los monederos afectados formaban parte de la instantánea utilizada para el informe de reservas de octubre. Antes del incidente, Binance mostraba una cobertura del 100% de sus obligaciones en ETH.
La retirada de aproximadamente 204.500 ETH podría reducir esa proporción hasta cerca del 94%, siempre que los activos no fueran repuestos por otros medios.
También podrían existir efectos similares en las reservas de USDC y otros activos digitales.
No obstante, esta situación no demuestra por sí misma que Binance sea insolvente o que no pueda cumplir sus obligaciones con los clientes. La compañía ha declarado que cubrirá las pérdidas utilizando sus propios recursos y el fondo SAFU.
La publicación de un nuevo informe Proof of Reserves será especialmente importante para comprobar cómo ha cambiado la estructura de las reservas después del incidente y si la cobertura de los saldos de los clientes se ha restablecido.
¿Cómo reaccionó el mercado de criptomonedas? Bitcoin cayó por debajo de los 77.000 dólares
El incidente tuvo lugar en un momento de elevada sensibilidad del mercado y contribuyó a empeorar el sentimiento de los inversores.
Bitcoin cayó hasta aproximadamente los 76.400-76.500 dólares, alcanzando su nivel más bajo en seis semanas. Ethereum cotizaba en torno a los 2.170-2.200 dólares, mientras que BNB registró una caída superior al 8% en un periodo de 24 horas.
La volatilidad también provocó liquidaciones importantes en los mercados de derivados. Según los datos citados por CoinDesk, las liquidaciones de futuros alcanzaron aproximadamente los 1.570 millones de dólares.
Las posiciones largas fueron las más afectadas. Entre ellas, las liquidaciones de posiciones en BTC representaron unos 522 millones de dólares, mientras que las de ETH alcanzaron aproximadamente 361 millones.
Sin embargo, no sería correcto atribuir todo el movimiento bajista exclusivamente al incidente de Binance. Las acciones tecnológicas estadounidenses también mostraban debilidad, lo que contribuyó al deterioro general del sentimiento de riesgo.
El ataque añadió una nueva fuente de incertidumbre al mercado y reforzó la presión sobre los precios, pero no fue necesariamente el único factor detrás de las caídas.
¿Es el mayor hackeo de la historia de las criptomonedas? Binance supera a Bybit y Ronin
Si se toma como referencia el valor económico declarado del incidente, el ataque contra Binance podría convertirse en el mayor robo de criptomonedas registrado hasta la fecha.
Para comparar su escala, conviene recordar algunos de los principales incidentes de seguridad de la historia del sector.
Uno de los casos más importantes es el de LuBian, donde se sustrajeron aproximadamente 127.426 BTC en diciembre de 2020. El incidente fue revelado por Arkham en agosto de 2025 y los bitcoins tenían un valor aproximado de 3.500 millones de dólares en el momento de su identificación. No obstante, no se trató de un hackeo clásico de un exchange y LuBian no confirmó públicamente todos los detalles del incidente.
En febrero de 2025, Bybit sufrió un ataque en el que se sustrajeron activos por un valor aproximado de 1.500 millones de dólares.
Otros incidentes históricos relevantes incluyen:
Ronin Network (2022): uno de los mayores ataques contra una red blockchain, con pérdidas de cientos de millones de dólares.
Poly Network (2021): un ataque que afectó a activos por un valor aproximado de 600 millones de dólares, aunque gran parte de los fondos acabó siendo devuelta.
Binance Bridge (2022): una vulnerabilidad que permitió generar activos por un valor aproximado de 570 millones de dólares, aunque las pérdidas efectivas fueron inferiores.
Coincheck (2018): el robo de aproximadamente 530 millones de dólares en NEM.
Mt. Gox (2014): uno de los casos más conocidos de la historia de Bitcoin, con cientos de miles de BTC desaparecidos.
Las cifras no son completamente comparables. Algunos incidentes se valoran según el precio de los activos en el momento del ataque, otros según su valor en el momento en que fueron descubiertos y otros según las pérdidas económicas definitivas.
En el caso de Binance, además, la cifra de 6.300 millones de dólares representa el impacto financiero estimado del incidente y no significa que todo ese importe vaya a convertirse necesariamente en una pérdida permanente. Una parte importante de los activos habría sido congelada y la compañía ha prometido cubrir las pérdidas restantes.
¿Son más seguras las plataformas europeas con licencia MiCA?
El incidente de Binance vuelve a plantear una cuestión importante para los usuarios europeos: ¿puede una plataforma que opera bajo el marco regulatorio MiCA ofrecer un mayor nivel de seguridad?
La regulación MiCA establece requisitos para los proveedores de servicios de criptoactivos que operan en la Unión Europea. Entre ellos se encuentran obligaciones relacionadas con la organización de la empresa, la supervisión, la gestión de riesgos y la protección de los clientes.
Estas exigencias pueden mejorar la transparencia y establecer estándares regulatorios más claros para las plataformas que ofrecen servicios en Europa.
Sin embargo, disponer de una autorización MiCA no elimina el riesgo de sufrir un ataque informático. La regulación tampoco garantiza que los activos de los clientes estén protegidos frente a cualquier incidente de seguridad ni equivale a un seguro de depósitos bancarios.
Por tanto, una licencia MiCA debe considerarse un elemento importante a la hora de evaluar un exchange, pero no el único. También es necesario analizar su infraestructura de seguridad, sus mecanismos de custodia, la transparencia de sus reservas y la forma en que responde ante situaciones extraordinarias.
¿Qué significa el incidente de Binance para la seguridad del mercado de criptomonedas?
El ataque contra Binance vuelve a demostrar que la seguridad de una plataforma de criptomonedas depende de mucho más que de la tecnología blockchain utilizada para registrar las transacciones.
Bitcoin y Ethereum pueden funcionar exactamente como fueron diseñados y, aun así, los fondos pueden quedar comprometidos si un atacante consigue acceso a la infraestructura interna de un exchange o a los mecanismos utilizados para autorizar operaciones.
El incidente también pone de manifiesto algunas limitaciones de los sistemas Proof of Reserves. La publicación de información sobre las reservas puede ayudar a comprobar la situación financiera de una plataforma, pero no garantiza que sus sistemas internos sean seguros ni que los activos no puedan ser sustraídos.
Otro aspecto importante es la diferencia entre los activos que pueden ser congelados por sus emisores y aquellos que no disponen de un mecanismo centralizado de bloqueo. La cooperación de Tether, Circle y otros participantes permitió inmovilizar parte de los fondos, pero los bitcoins transferidos a las direcciones del atacante plantean un desafío diferente.
La evaluación definitiva del incidente dependerá de varios factores: cuántos activos se consigan recuperar, si Binance restablece la cobertura de sus reservas, qué medidas técnicas adopta y qué información revela el informe completo sobre el origen del ataque.