Entre el 29 y el 30 de octubre de 2026, Binance sufrió un incidente de seguridad de una magnitud excepcional, aunque finalmente fue mitigado en gran medida. El hecho central es que varias billeteras calientes fueron sometidas a barridos anómalos en un lapso muy breve. El volumen de fondos salientes llegó a cifrarse en miles de millones de dólares, pero los principales emisores de stablecoins congelaron rápidamente la mayor parte de los fondos implicados. Según la estimación de CZ, la pérdida neta efectiva fue de poco más de 1.000 millones de dólares, y Binance se comprometió a cubrirla íntegramente.
Salidas anómalas: varias billeteras calientes sometidas a barridos consecutivos
El incidente comenzó alrededor de las 4:24 del 30 de octubre, hora de Taipéi (20:24 UTC del 29 de octubre), cuando la billetera caliente que Binance identifica como «Binance 14» activó una transacción de barrido (sweep) que transfirió de una sola vez aproximadamente 167.464 ETH y 63 tipos de tokens ERC-20, entre ellos unos 1.615 millones de USDT, valorados entonces en alrededor de 2.500 millones de dólares.
Inmediatamente después, las anomalías no cesaron:
· Apenas 24 segundos después, otra billetera caliente, «Binance 16», transfirió a la misma dirección receptora unos 28.005 ETH, además de aproximadamente 55,74 millones de USDT, 25,94 millones de RLUSD y otros activos.
· Unos 17 minutos después (a las 4:41), «Hot Wallet 34» transfirió otros 780 millones de USDC a la misma dirección; después hubo otra transferencia de 43 millones de dólares en USDC.
Como los fondos fluyeron en poco tiempo desde varias billeteras calientes independientes hacia una dirección creada ese mismo día, las alertas on-chain ni siquiera pudieron descartar inicialmente la posibilidad de una «transferencia rutinaria de fondos por mantenimiento». Sin embargo, la reciente creación de la dirección receptora, la rápida transferencia secundaria de los activos y el uso de la función sweep pronto llevaron al mercado a inclinarse por la hipótesis de un ataque.
Método del ataque: el problema no estaba en la clave privada, sino en la «autorización de firma»
El aspecto técnicamente inusual de este incidente es que, al parecer, el atacante no robó directamente las claves privadas de las billeteras de Binance.
El análisis on-chain apunta al uso indebido del mecanismo EIP-7702 de Ethereum. Este mecanismo permite que una cuenta externa delegue la ejecución a un código específico mediante una «autorización de firma». Se sospecha que el atacante obtuvo dicha autorización mediante phishing u otros medios y, de ese modo, instaló código malicioso con una función de «barrido» en billeteras vinculadas a Binance. Luego utilizó sweep para transferir los activos en bloque. Analistas de seguridad señalaron que, si el atacante realmente hubiera tenido las claves privadas, no habría necesitado recurrir a un relayer ni a un proceso de autorización: podría haber transferido los activos directamente mediante una transacción atómica. Por eso, la explicación más plausible es que «solo obtuvo una firma de autorización EIP-7702».
Esto significa que la barrera para llevar a cabo el ataque se redujo considerablemente: no hacía falta vulnerar las claves privadas; bastaba con engañar a alguien para obtener una autorización de firma y hacer que una dirección pudiera ser «barrida». El hecho de que se pudieran volver a transferir activos desde la misma billetera después del primer barrido también confirma que la autorización seguía vigente durante un tiempo tras el incidente.
Congelación y calificación del incidente: de «en investigación» a «efectivamente fue un ataque»
Tras el incidente, las declaraciones públicas de Binance fueron endureciéndose de forma evidente. El comunicado inicial solo decía que «se estaba investigando un posible problema de seguridad» y que «aún no se había confirmado que los fondos de los usuarios estuvieran afectados». En aproximadamente diez minutos, el comunicado se modificó varias veces. La versión final afirmaba que «los fondos de los usuarios están totalmente seguros», aunque entonces todavía no calificaba oficialmente el incidente como un «robo» o un «hackeo».
El punto de inflexión llegó con las declaraciones de CZ (Changpeng Zhao). Afirmó claramente que «esto parece ser efectivamente un ataque informático contra Binance», al tiempo que recalcó que los fondos de los usuarios estaban seguros y agradeció a Tether y Circle por congelar los fondos rápidamente. CZ también explicó que ya no gestiona las operaciones diarias de Binance, pero que, como accionista, esperaba que todos los fondos de los usuarios quedaran totalmente cubiertos.
La congelación por parte de los emisores de stablecoins se produjo al mismo tiempo que se aclaraba la naturaleza del incidente:
· Tether congeló más de 1.567 millones de USDT (otros informes sitúan la cifra en unos 971 millones de dólares);
· Circle congeló aproximadamente 823 millones de USDC.
En conjunto, ambas empresas congelaron unos 2.390 millones de dólares. Este es el factor clave que explica la enorme diferencia posterior entre las «salidas registradas» y las «pérdidas reales».
Cifras registradas y pérdidas reales: por qué se pasó de miles de millones a «algo más de mil millones»
Como el ataque afectó a varias billeteras, distintas cadenas y decenas de tokens, las estimaciones de las salidas on-chain fueron muy dispares: desde unos 2.500 millones de dólares en las primeras estimaciones, pasando por unos 2.800 millones, hasta aproximadamente 3.300 millones en seguimientos posteriores. Incluso hubo organismos de monitoreo que estimaron más de 5.800 millones de dólares.
Sin embargo, estas cifras reflejan principalmente el volumen transferido, no las pérdidas netas irrecuperables. La estimación de 0xngmi, fundador de DefiLlama, ofrece una perspectiva más clara: tras la congelación a gran escala de USDT y USDC, las pérdidas totales del incidente rondarían los 1.000 millones de dólares, apenas el 0,69 % de los aproximadamente 144.000 millones de dólares en activos bajo custodia de Binance, una cantidad que la plataforma puede cubrir sin problemas con su balance. CZ compartió esta estimación y añadió que «las pérdidas podrían ser algo mayores, pero se cubrirán en su totalidad».
La relación entre estas cifras es la siguiente: de los activos transferidos por el atacante, los emisores congelaron unos 2.400 millones de dólares en stablecoins. La parte que realmente escapó al control de Binance y que no se congeló a corto plazo se redujo a unos 1.000 millones de dólares. Por tanto, Binance afronta una pérdida neta que puede cubrir, no una evaporación total de miles de millones de dólares.
Suspensión de los retiros y repercusiones para los usuarios
Durante las comprobaciones de seguridad, Binance suspendió los retiros. Primero, la empresa afirmó que algunos usuarios no podían retirar fondos debido a un «error técnico». Después aclaró que «los retiros se reanudarán una vez resuelto por completo el problema de seguridad» y reiteró que los fondos de los usuarios estaban seguros. Esto significa que el principal efecto directo del incidente para los usuarios comunes fue una interrupción temporal de los retiros, no que sus saldos quedaran reducidos a cero. Tanto CZ como Binance mantuvieron la misma postura oficial: los fondos de los usuarios estaban «totalmente seguros» y la plataforma cubriría las pérdidas.
En conjunto, el verdadero alcance del incidente fue el siguiente: un barrido no autorizado a gran escala de billeteras calientes de Binance mediante el mecanismo de autorización EIP-7702. Las salidas registradas llegaron a sumar miles de millones de dólares, pero la congelación de stablecoins y el respaldo del balance de la plataforma redujeron las pérdidas netas reales a unos 1.000 millones de dólares. Los fondos de los usuarios no sufrieron pérdidas directas y los retiros se reanudaron una vez confirmada la seguridad. Aún no se ha revelado la identidad del atacante ni el método concreto utilizado para obtener la autorización; la investigación y el rastreo de los fondos siguen en curso.