El exchange de criptomonedas Binance está colaborando con la Oficina Federal de Investigación de Estados Unidos (FBI) para recuperar aproximadamente 3.000 millones de dólares en activos congelados en el mayor robo de criptomonedas de la historia. Una fuente familiarizada con el asunto declaró a los medios que Binance ya ha reservado más de 6.340 millones de dólares de sus fondos corporativos para cubrir las pérdidas. De esa cantidad, 5.000 millones de dólares corresponden a activos que coinciden exactamente con los tokens robados; el resto se está reuniendo a través de los mercados y de operaciones extrabursátiles (OTC).
El ataque, ocurrido el 29 de octubre a las 20:05 UTC, transfirió aproximadamente 6.360 millones de dólares desde direcciones controladas por Binance en unos 20 minutos, a través de 10 cadenas de bloques. La empresa de análisis de cadenas de bloques TRM Labs atribuyó el ataque con un alto grado de confianza al grupo de hackers norcoreano TraderTraitor, al que el FBI ya había señalado como responsable del robo de 1.500 millones de dólares a Bybit en febrero de 2025. En un comunicado oficial del 30 de octubre, Binance confirmó que sus socios del sector ya han congelado aproximadamente 3.000 millones de dólares, que está colaborando con las autoridades para recuperarlos y que se compromete a verificar públicamente todos los fondos de los usuarios mediante la Prueba de Reservas (Proof of Reserves, PoR).
20 minutos, 10 cadenas: cómo falló el sistema de firma de las billeteras calientes
Según las estimaciones de TRM Labs, a partir de las 20:05 UTC del 29 de octubre, los atacantes transfirieron fondos valorados en unos 6.360 millones de dólares desde direcciones controladas por Binance a una única dirección de los atacantes, en un lapso de aproximadamente 20 minutos y a través de 10 cadenas de bloques. Se trata del mayor robo de criptomonedas registrado hasta la fecha: supera los 1.500 millones de dólares perdidos por Bybit en febrero de 2025 y también los 625 millones robados en febrero de 2022 de Ronin, la cadena lateral de Axie Infinity.
En una publicación oficial en X, Binance señaló que la investigación preliminar «indica que el incidente de seguridad podría haber implicado el hackeo del portátil de un ingeniero de DevOps», lo que permitió a los atacantes acceder a un contenedor de servicios y enviar transacciones de retiro no autorizadas. El exchange también recalcó que no hay indicios de que se hayan filtrado las claves privadas de las billeteras. Este detalle apunta a una falla en los controles de acceso del proceso de firma de las billeteras calientes, no a un colapso del sistema subyacente de custodia de claves: los atacantes obtuvieron «permiso para enviar transacciones», no «la clave para generar firmas».
El análisis de TRM Labs ofrece un panorama más completo del ataque: los preparativos de los atacantes comenzaron al menos 36 horas antes; primero probaron código en dos billeteras, ensayaron en una tercera y luego esperaron unas cuatro horas antes de lanzar el ataque general. El origen de los fondos iniciales de la dirección de los atacantes se remonta a una transferencia desde Tornado Cash realizada la mañana del día anterior al ataque. Estos indicios apuntan a un ataque coordinado, ensayado a fondo y dirigido al sistema de firma de las billeteras calientes en múltiples cadenas, y no a un incidente fortuito causado por el error de un solo empleado. Para los exchanges, la verdadera lección no es «quién hizo clic en un enlace malicioso», sino por qué los procesos de aprobación multifirma, los límites de retiro y la supervisión de comportamientos anómalos fallaron todos a la vez.
Detrás de los 3.000 millones de dólares congelados: el «freno de emergencia» de los emisores de monedas estables
De los 6.360 millones de dólares en fondos transferidos, alrededor de 3.000 millones ya han sido congelados. Según una instantánea de TRM Labs tomada el 31 de octubre a las 00:30 UTC, los emisores de monedas estables —entre ellos Tether, Circle, Ripple y World Liberty Financial— bloquearon principalmente unos 2.700 millones de dólares. Estos emisores pueden congelar en la cadena las monedas estables de direcciones específicas, como si accionaran un «freno de emergencia» en la ruta de circulación de los fondos. Binance actualizó posteriormente el monto congelado a unos 3.000 millones de dólares.
Binance afirmó explícitamente en un comunicado: «Hasta el momento, se han congelado 3.000 millones de dólares. Agradecemos a nuestros socios del sector. Estamos colaborando con nuestros socios y las fuerzas del orden para recuperar los activos congelados». Estos fondos aún no se han contabilizado dentro de los 6.340 millones de dólares que Binance reservó de sus propios recursos. El exchange recalcó que la cifra reservada «no incluye los activos congelados o protegidos, que siguen sujetos a un proceso de recuperación y verificación». En otras palabras, si finalmente se recuperan los 3.000 millones de dólares congelados y se devuelven a los usuarios, es posible que Binance tenga que recurrir a una cantidad considerablemente menor de sus propios fondos que los 6.340 millones de dólares anunciados.
Los aproximadamente 2.400 millones de dólares restantes siguen en manos de los atacantes en forma de ether (ETH) y bitcoin (BTC), incluidos más de 420.000 ETH y 18.270 BTC. Como estos dos activos no cuentan con un mecanismo de congelación que pueda activar un emisor, recuperarlos es mucho más difícil que recuperar monedas estables y suele depender del rastreo en la cadena por parte de las fuerzas del orden, la colaboración de los exchanges y las incautaciones judiciales. Esto también explica por qué Binance necesita recurrir a organismos como el FBI: los emisores pueden congelar las monedas estables, pero para interceptar activos nativos hace falta la intervención de las fuerzas del orden.
Las sospechas apuntan a Corea del Norte: TraderTraitor y la cadena de atribución del caso Bybit
TRM Labs atribuyó el ataque, con un alto grado de confianza, a TraderTraitor, un grupo de hackers vinculado a Corea del Norte. En febrero de 2025, el FBI declaró públicamente que el grupo era responsable del robo de 1.500 millones de dólares a Bybit. Si las fuerzas del orden confirman finalmente esta atribución, sería el segundo año consecutivo en que un grupo de hackers norcoreano lleva a cabo un robo de criptomonedas por valor de miles de millones de dólares, y también indicaría que las técnicas de ataque contra las billeteras calientes de los exchanges centralizados están evolucionando rápidamente.
El investigador de la cadena ZachXBT aportó otra pista de conexión: los fondos robados a Binance y los del robo de 388 millones de dólares a Bitget en septiembre aparecieron en una misma dirección después de circular a través del protocolo de interoperabilidad entre cadenas THORChain. «Es muy probable que el mismo actor estuviera detrás de ambos incidentes». El uso de mezcladores entre cadenas y la consolidación de direcciones son técnicas típicas de blanqueo de fondos de los grupos de hackers norcoreanos, cuyo objetivo es ocultar el rastro del dinero y dificultar su seguimiento. THORChain, un protocolo de liquidez entre cadenas sin permisos, también quedó en el centro de la polémica: según informes, su token RUNE llegó a subir un 13 % tras conocerse el robo a Binance.
Conviene ser prudentes: Binance no ha señalado oficialmente a ningún atacante y solo ha indicado que está colaborando con las fuerzas del orden para identificar a los responsables. La atribución de TRM Labs es una evaluación de una firma de análisis externa; para confirmarla definitivamente, se necesitará el respaldo de las fuerzas del orden o de documentos judiciales. En incidentes de seguridad relacionados con las criptomonedas, una atribución errónea puede acarrear riesgos diplomáticos y legales, razón por la que los exchanges y los reguladores suelen actuar con cautela.
El compromiso de Binance de cubrir las pérdidas y la prueba de PoR
Ante unas pérdidas sin precedentes, Binance optó por cubrirlas íntegramente. El exchange anunció que había reservado más de 6.340 millones de dólares de sus propios fondos para cubrir las pérdidas. De esa suma, 5.000 millones ya corresponden a activos exactamente equivalentes a los tokens robados, mientras que los aproximadamente 1.340 millones restantes se están adquiriendo a través de los mercados y de operaciones OTC. Binance explicó que este proceso lleva tiempo porque algunos tokens tienen poca liquidez y la liquidación OTC requiere tiempo. El exchange también afirmó que seguirá utilizando recursos propios para cubrir cualquier déficit confirmado y que publicará nuevas actualizaciones, verificadas, a medida que avance la recuperación.
Según los datos de clasificación de reservas, Binance ocupa el primer lugar entre los exchanges de criptomonedas por volumen de reservas, con activos totales de 134.000 millones de dólares. Aun así, recurrir de una sola vez a 6.340 millones de dólares de fondos propios supone una prueba enorme. Los datos de DeFiLlama muestran que, en las 24 horas posteriores al incidente, Binance registró salidas netas de unos 6.000 millones de dólares, reflejo de la presión de los usuarios por retirar sus fondos en una situación extrema. Algunos retiros en la cadena, como los de Solana y XRP, se suspendieron temporalmente al principio del incidente; los retiros de BTC siguieron habilitados y, posteriormente, el exchange fue restableciendo los servicios de forma gradual.
Binance prometió en su comunicado: «En última instancia, todos los fondos de los usuarios se verificarán públicamente mediante nuestra prueba de reservas». La PoR será el criterio clave para comprobar si el exchange realmente cubre el déficit de los activos de los usuarios, sobre todo antes de que se verifique quién tiene derecho a los 3.000 millones de dólares en activos congelados. Cualquier afirmación sobre la «seguridad de los fondos» debe estar respaldada por pruebas en la cadena. Para el sector, la verdadera prueba de resistencia de este incidente no es si Binance puede cubrir las pérdidas, sino si la PoR puede ofrecer transparencia verificable en una situación extrema.
Impacto en el sector: arquitectura de billeteras calientes, rastreo entre cadenas y cooperación regulatoria
Este incidente vuelve a poner de manifiesto los riesgos sistémicos que afrontan los exchanges centralizados al gestionar sus billeteras calientes. Tanto la vulnerabilidad de control de acceso derivada del hackeo del portátil de un ingeniero de DevOps como la falla coordinada del sistema de firma multicadena demuestran que un fallo de protección en un solo eslabón puede desencadenar una reacción en cadena que afecte a varias cadenas. Para los exchanges, la separación entre billeteras frías y calientes, las aprobaciones multifirma, los límites de retiro y la supervisión de comportamientos anómalos ya no son opcionales: son condiciones esenciales para sobrevivir. La capacidad de los atacantes para mover fondos a través de 10 cadenas en 20 minutos también pone de relieve la complejidad de la gestión de riesgos en la era multicadena: la alerta de una cadena quizá no llegue a tiempo para impedir los retiros en las otras nueve.
La eficacia de la cooperación con las fuerzas del orden fue especialmente importante en este incidente. En febrero de 2022, el Departamento de Justicia de Estados Unidos anunció que organismos policiales, incluido el FBI, habían ayudado a incautar 94.000 BTC, valorados entonces en 3.600 millones de dólares, vinculados al robo sufrido por el exchange Bitfinex en 2016. El caso Bitfinex, ocurrido ocho años atrás, demuestra que, aunque los fondos lleven años trasladados, las fuerzas del orden aún pueden recuperar grandes cantidades mediante el rastreo en la cadena y procedimientos judiciales. Que la colaboración entre Binance y el FBI pueda repetir ese resultado dependerá del avance en la verificación de los activos congelados y de la eficacia de la cooperación judicial internacional.
En los mercados, el incidente provocó una serie de fluctuaciones. Además del breve repunte de RUNE, el mercado de bitcoin registró liquidaciones por unos 1.600 millones de dólares tras el incidente. Estas oscilaciones recuerdan que el impacto de los incidentes de seguridad en los exchanges nunca se limita a la plataforma afectada: se propaga a todo el ecosistema cripto a través de los protocolos entre cadenas, las cadenas de liquidación y el contagio del sentimiento del mercado.
Entre los aspectos que habrá que seguir están el resultado de la verificación de la titularidad de los 3.000 millones de dólares en activos congelados, la fecha de publicación y el alcance del informe PoR de Binance, la confirmación oficial de la identidad de los atacantes por parte de las fuerzas del orden y si el exchange publicará un plan más detallado para reforzar su sistema de firma de billeteras calientes. Para los usuarios, tras un incidente de seguridad extremo, es más útil prestar atención a la prueba de reservas del exchange y al avance de la recuperación de los fondos que perseguir fluctuaciones de precios a corto plazo.