El hackeo de Binance se llevó unos 6.300 millones de dólares en menos de tres horas la noche del jueves, y los registros de la cadena de bloques muestran ahora adónde fue a parar la mayor parte: aproximadamente la mitad está congelada, unos 480 millones de dólares en Ether están en dos billeteras controladas por el atacante y el resto está repartido entre otras cadenas.

Puntos clave

  • Binance cifra el impacto total en unos 6.300 millones de dólares, de los cuales hasta ahora se han congelado unos 3.000 millones

  • Una sola transacción de Ethereum vació la billetera caliente conocida como Binance 14, llevándose 167.464 ETH, 1.600 millones de USDT y otros 62 tokens

  • El atacante utilizó EIP-7702, una función de Ethereum incorporada en 2025, y 50 autorizaciones firmadas que había recopilado con antelación

  • Las stablecoins eran el punto débil del atacante: Tether y Circle bloquearon unos 2.000 millones de dólares dentro de su billetera principal en cuestión de horas

  • Se han transferido unos 214.700 ETH, con un valor aproximado de 480 millones de dólares, a dos nuevas billeteras que nadie puede congelar

Fathom fue el primero en informar sobre las salidas de fondos a medida que ocurrían el jueves por la noche. Este es el panorama completo tras una noche rastreando el dinero en la cadena de bloques.

La noche, hora por hora

Las horas provienen de registros de la cadena de bloques o de las publicaciones enlazadas a continuación.

Hora (UTC) Qué ocurrió Jue 15:59 El atacante implementa el contrato que más tarde instalará en Binance 14 Jue 20:10 Se producen las primeras salidas de las billeteras calientes de Binance, según Arkham Jue 20:24 Binance 14 queda vaciada en una sola transacción Jue 20:38 El atacante mueve 195.460 ETH a una billetera nueva Jue 20:41 Binance Hot Wallet 34 envía 780 millones de USDC al atacante Jue 21:25 Tether anuncia que ha congelado más de 1.567 millones de USDT Jue 23:05 Arkham contabiliza la última salida de una billetera caliente Vie 00:52 Binance dice que hay «unos 3.000 millones de dólares» congelados Vie 02:25 Binance cifra el impacto en unos 6.300 millones de dólares y culpa a la computadora portátil de un ingeniero comprometida Vie 04:36 Binance dice que los retiros deberían reanudarse en un plazo de 48 horas Vie 05:15 El atacante envía 17.260 ETH procedentes de la venta de tokens a otra billetera nueva

Lea también: 2.800 millones de dólares salen de las billeteras de Binance en una sola noche en un presunto hackeo

Cuánto se llevaron

Binance dijo que «el impacto total estimado ronda los 6.300 millones de dólares». La firma de análisis de cadenas de bloques Arkham contabilizó 6.010 millones de dólares que salieron de las billeteras calientes de Binance en nueve cadenas de bloques, mientras que Chainalysis calculó la cifra en 6.400 millones. La diferencia se debe principalmente a los precios que usó cada firma y a cuáles cadenas más pequeñas incluyó en el recuento.

Ethereum es donde fue a parar la mayor parte, y todas las transferencias allí son públicas. En el único barrido de Binance 14 se llevaron:

  • 167.464,25 ETH, con un valor aproximado de 388 millones de dólares al precio de 2.315 dólares de ese momento

  • 1.615.409.498,97 USDT

  • 62,6 millones de RLUSD, 27,8 millones de USD1 y 9,7 millones de USDe en otras stablecoins

  • 7,18 billones de PEPE, 198,4 millones de ENA, 6,19 millones de UNI, 2,26 millones de LINK y 127.853 AAVE

  • 11.372 onzas de oro tokenizado en XAUt y 1.898 en PAXG, además de 82,5 WBTC

Otras dos billeteras de Binance fueron vaciadas y los fondos se enviaron a la misma dirección. Una envió 28.005,6 ETH y 55,7 millones de USDT, y Binance Hot Wallet 34 envió 780 millones de USDC y luego otros 43 millones. El atacante también volvió dos veces a Binance 14 y se llevó otros 1.699,9 ETH y 204,3 millones de USDT.

En total, la dirección principal del atacante en Ethereum recibió de Binance 197.169,8 ETH, 1.875 millones de USDT y 823 millones de USDC. Eso equivale a unos 3.100 millones de dólares solo en Ethereum, sin contar las decenas de tokens más pequeños ni las pérdidas en Bitcoin, TRON, Solana y otras cadenas.

Dónde está ahora el dinero

Seguir la dirección principal en Etherscan permite ver claramente cómo se repartieron los fondos.

Stablecoins congeladas. Los contratos de USDT y USDC incluyen la dirección principal en sus listas negras. Todavía contiene 1.175.464.712 USDT y 823.000.000 USDC, unos 2.000 millones de dólares que no se pueden mover. Otros 700 millones de USDT se enviaron a dos direcciones distintas que también están en la lista negra. El director ejecutivo de Circle, Jeremy Allaire, dijo que la congelación de USDC se hizo «en coordinación con las fuerzas del orden».

Otras congelaciones. La cofundadora de Binance, Yi He, agradeció a Ripple por congelar unos 200 millones de dólares, a World Liberty Financial por congelar 27 millones de dólares en USD1 y unos 2 millones en WLFI, y al Consejo de Seguridad de Arbitrum por congelar unos 30,5 millones de dólares.

Ether que el atacante aún controla. La billetera que recibió 195.460 ETH, más otros 2.000 posteriormente, tiene 197.460 ETH, con un valor aproximado de 442 millones de dólares el viernes por la mañana. No ha movido ni una moneda desde entonces.

Tokens vendidos. Las stablecoins quedaron bloqueadas, pero todavía se podían vender los tokens más pequeños. Durante la noche, la dirección principal realizó más de 500 operaciones a través de routers de Uniswap y unas 90 mediante otros routers de intercambio, vendiendo PEPE, SHIB, ENA, RSR, SAND y decenas de tokens más. Los registros de Etherscan muestran que las ventas generaron unos 17.200 ETH, con un valor aproximado de 38 millones de dólares. A las 05:15 UTC, ese Ether se envió a una nueva dirección, que ahora tiene 17.260 ETH. En la billetera principal solo quedan 3 ETH.

Otras cadenas. Arkham dijo que el viernes por la mañana todavía se podían mover unos 2.900 millones de dólares en ETH, BTC, TRX, SOL y otros tokens. Binance aún no ha desglosado sus pérdidas por cadena.

Cómo se llevó a cabo el ataque

Binance dijo que sus primeras conclusiones apuntan a «la computadora portátil de un ingeniero de DevOps comprometida», lo que permitió al atacante acceder a un contenedor de servicio y «enviar transacciones de retiro no autorizadas». Afirmó que no encontró «indicios de filtración de las claves privadas de ninguna billetera» y que publicará un informe técnico completo.

Los registros de Ethereum muestran cómo una computadora portátil robada podría vaciar una billetera sin que se robaran sus claves. El investigador de seguridad 0xQuit rastreó el barrido hasta EIP-7702, una actualización de Ethereum de 2025 que permite a una billetera normal tomar prestado el código de un contrato inteligente una vez que su propietario firma una autorización. El atacante implementó su contrato a las 15:59 UTC. Unas cuatro horas después, utilizó una autorización firmada para instalar ese contrato en Binance 14, y el contrato envió todos los fondos de una sola vez.

Las autorizaciones se recopilaron con antelación. 0xQuit descubrió que la transacción de vaciado incluía 50 autorizaciones con números consecutivos, señal de que el atacante reunió las firmas a lo largo del tiempo antes de usarlas. La cuenta desde la que se enviaron las transacciones recibió fondos a través de Tornado Cash, una herramienta de privacidad, por lo que es difícil rastrear a su propietario.

En pocas palabras, el atacante no necesitaba las claves de Binance. Necesitaba que los propios sistemas de Binance firmaran algo incorrecto, y la computadora portátil de un ingeniero le dio una vía de acceso.

Quién está detrás del ataque

Chainalysis dijo tener «un alto grado de confianza» en que Corea del Norte llevó a cabo el ataque. Sus investigadores observaron que fondos robados en el hackeo de Bitget del mes pasado «se mezclaban con fondos robados a Binance». De confirmarse, sería el segundo robo récord de criptomonedas consecutivo vinculado a Corea del Norte, después de que el FBI la responsabilizara del hackeo de Bybit, de unos 1.500 millones de dólares, en febrero de 2025. Binance no ha señalado a ningún sospechoso.

Más que todos los hackeos de 2026 juntos

Víctima Fecha Cantidad sustraída Fuente Binance 29 oct. 2026 Unos 6.300 millones de dólares Binance Bybit (récord anterior) 21 feb. 2025 Unos 1.500 millones de dólares FBI Bitget 24 sept. 2026 387,5 millones de dólares Bitget Kelp DAO 18 abr. 2026 Unos 291 millones de dólares (déficit de 163.200 ETH) CertiK, Kelp DAO Drift Protocol abril de 2026 Unos 285 millones de dólares CertiK

La firma de seguridad CertiK contabilizó pérdidas de 1.315.676.432 dólares en 344 incidentes de seguridad durante todo el primer semestre de 2026. Binance perdió casi cinco veces esa cantidad en una sola noche. Incluso el Ether que el atacante aún controla —unos 480 millones de dólares— supera el valor de cualquier otro hackeo de este año.

Por qué se pudo congelar la mitad

El hackeo de Bybit de 2025 afectó a una billetera de Ether, y ninguna empresa puede congelar Ether. Este atacante sustrajo muchas stablecoins, y eso resultó ser su punto débil. Tether y Circle pueden bloquear cualquier dirección en los contratos de sus tokens, y ambas lo hicieron en aproximadamente una hora. Ripple, World Liberty Financial y el Consejo de Seguridad de Arbitrum utilizaron facultades similares.

Por eso el total congelado por Binance pasó de 2.540 millones de dólares a las 23:22 UTC a unos 3.000 millones a las 00:52 UTC. También por eso el atacante pasó la noche vendiendo tokens más pequeños a cambio de Ether, que no se puede congelar.

Qué pasa con los clientes

Binance dijo que «cubrirá todas las pérdidas con el fondo SAFU y los fondos de la empresa» y que los fondos de los usuarios están seguros. SAFU es el fondo de emergencia que Binance creó en 2018 para cubrir los hackeos. La plataforma también tiene previsto publicar una prueba de reservas actualizada. Los depósitos funcionan, mientras que los retiros siguen en pausa mientras reconstruye su sistema de retiros; se espera que se reanuden en un plazo de 48 horas.

El fundador Changpeng Zhao, que ya no dirige la plataforma, escribió el viernes: «Duele, pero sobreviviremos».

Los mercados reaccionaron con calma. El viernes por la mañana, BNB bajaba un 5,2 % en 24 horas, hasta los 715 dólares; Ether caía un 3,6 %, hasta los 2.237 dólares, y Bitcoin bajaba un 2,2 %, hasta los 78.409 dólares, según datos de CoinGecko.

Lea también: Solana alcanza los 5.000 millones de dólares en tokens al estilo de Wall Street

Lo que todavía no sabemos

  • Cómo convirtió el atacante el acceso a una computadora portátil en 50 autorizaciones firmadas; el informe técnico de Binance debería explicarlo

  • Cuánto se perdió en cada cadena fuera de Ethereum

  • Si los 3.000 millones de dólares congelados se devolverán a Binance y con qué rapidez

  • Adónde irán los 214.700 ETH de las dos billeteras del atacante