Binance confirmó una brecha de seguridad de 6.300 millones de dólares; se congelaron aproximadamente 2.700 millones en activos robados.
El atacante aún conserva más de 2.400 millones de dólares en ETH y BTC tras mover los fondos para evitar que los congelaran.
TRM Labs vinculó el ataque al grupo TraderTraitor de Corea del Norte e identificó una posible vulneración de la infraestructura de firma de la billetera caliente de Binance.
Binance confirmó una importante brecha de seguridad que involucró aproximadamente 6.300 millones de dólares en criptomonedas, de los cuales casi 3.000 millones en activos afectados quedaron congelados tras los esfuerzos del exchange y de varias empresas de criptomonedas para impedir que se movieran los fondos robados.
El ataque tuvo lugar el 29 de octubre, cuando se transfirieron sin autorización miles de millones de dólares en activos digitales desde monederos de Binance a través de 10 redes blockchain. El incidente se considera ahora el mayor robo de criptomonedas del que se tiene constancia, superando el hackeo de Bybit de 1.500 millones de dólares ocurrido en febrero de 2025.
Binance dijo que su investigación inicial apunta a que se vulneró el portátil de un ingeniero de DevOps. Al parecer, el atacante utilizó el acceso obtenido a través del dispositivo para entrar en un contenedor de servicio y enviar transacciones de retiro no autorizadas.
La investigación inicial de Binance sugiere que el incidente de seguridad podría estar relacionado con el portátil vulnerado de un ingeniero de DevOps, lo que permitió a un atacante acceder a un contenedor de servicio y enviar transacciones de retiro no autorizadas. No hemos encontrado indicios de que se haya filtrado ninguna clave privada de los monederos. Compartiremos un informe técnico detallado una vez que la investigación haya concluido y los hechos se hayan verificado por completo. El impacto total estimado asciende a unos 6.300 millones de dólares. Hemos colaborado con socios de blockchain para congelar los activos afectados; hasta ahora se han congelado unos 3.000 millones de dólares en la cadena. Binance cubrirá todas las pérdidas con el fondo SAFU y los fondos de la empresa. Los fondos de los usuarios están seguros. También publicaremos una actualización de la Prueba de Reservas una vez que se hayan completado las medidas correctivas. Como precaución inmediata, Binance ha: – suspendido temporalmente los depósitos y retiros mientras se completan las comprobaciones de seguridad; – revocado la autorización de la dirección afectada; – contactado a las fuerzas del orden y a socios de inteligencia blockchain para rastrear y recuperar los fondos. Nuestros equipos trabajan sin descanso para resolver este problema de forma segura y exhaustiva. Colaboramos estrechamente con nuestros socios de las fuerzas del orden para confirmar la identidad de estos delincuentes y llevarlos ante la justicia. Para obtener novedades, consulta únicamente los canales oficiales de Binance. Si tienes más preguntas, no dudes en ponerte en contacto con el servicio de atención al cliente de Binance. https://t.co/ywB2mKFy0p
— Binance (@binance) 30 de octubre de 2026
Tras descubrir el incidente, Binance suspendió temporalmente los depósitos y retiros mientras realizaba comprobaciones de seguridad. El exchange también revocó la autorización de la dirección afectada y se puso en contacto con organismos encargados de hacer cumplir la ley y empresas de inteligencia blockchain para rastrear los activos robados.
Binance dijo que no encontró indicios de que se hubieran filtrado claves privadas de los monederos. También aseguró a los usuarios que sus fondos seguían seguros y confirmó que el Fondo Seguro de Activos para Usuarios (SAFU) y los fondos de la empresa cubrirían todas las pérdidas.
Hackers norcoreanos vinculados al ataque mientras se congelan 3.000 millones de dólares en activos
TRM Labs identificó a TraderTraitor, una unidad de hackers norcoreana, como el grupo responsable del incidente. El mismo grupo ya había sido vinculado al hackeo de Bybit de 1.500 millones de dólares en febrero de 2025, que el FBI atribuyó a hackers norcoreanos.
Según TRM Labs, se transfirieron activos digitales por un valor aproximado de 6.360 millones de dólares a monederos controlados por el atacante, y la mayor parte de los fondos se movió en aproximadamente 20 minutos.
La investigación también reveló cómo el atacante pudo haber obtenido el control de la infraestructura de monederos de Binance. En Ethereum, según se informa, el atacante utilizó la autorización EIP-7702 para hacer que un monedero caliente de Binance ejecutara un contrato inteligente malicioso. El atacante había preparado 50 autorizaciones firmadas previamente, lo que permitió que una coincidiera con la secuencia de transacciones del monedero y ejecutara la transferencia.
(Fuente: TRM Labs)
Los activos robados se distribuyeron entre varias redes, como Ethereum, Bitcoin, Tron, XRP Ledger y Solana. Ethereum representó aproximadamente 3.790 millones de dólares de las transferencias, seguido de Bitcoin, con 1.470 millones, y Tron, con unos 628 millones.
TRM Labs informó que, para el 30 de octubre, se habían congelado aproximadamente 2.700 millones de dólares en activos en la cadena. Binance informó por separado que el total congelado había alcanzado unos 3.000 millones de dólares.
Empresas de criptomonedas congelan miles de millones mientras la investigación revela cómo se produjo el ataque
Tras el incidente, varias empresas de criptomonedas intervinieron para impedir que el atacante moviera los activos robados. Tether, Circle, Ripple y World Liberty Financial congelaron 2.670 millones de dólares en monedas estables vinculadas al ataque. El Consejo de Seguridad de Arbitrum también intervino y congeló 8.426 ETH y 74,6 millones de ARB.
Sin embargo, el atacante actuó rápidamente para eludir los esfuerzos de congelación. TRM Labs dijo que vendió USDT a creadores de mercado y pidió ETH prestado usando USDT como garantía a través del protocolo de préstamos Aave. Estas transacciones ayudaron al atacante a convertir parte de los fondos robados en activos que los emisores de monedas estables no podían congelar directamente.
El atacante todavía posee más de 420.000 ETH y 18.270 BTC, por un valor aproximado de 2.400 millones de dólares. A diferencia de USDT y otras monedas estables centralizadas, sus emisores no pueden congelar directamente estos activos, lo que dificulta su recuperación.
(Fuente: TRM Labs)
Las transferencias a través de otras redes blockchain también incluyeron firmas válidas, lo que apunta a una posible vulneración de la infraestructura de firma de transacciones de Binance.
Binance no ha confirmado oficialmente la identidad de los atacantes. El exchange dijo que su investigación sigue en curso y que publicará un informe técnico detallado una vez que se hayan verificado los hechos.
El incidente también afectó al sentimiento general del mercado de criptomonedas. Bitcoin cayó a 76.000 dólares, mientras que Ether bajó más de un 3%, ya que las noticias sobre la brecha suscitaron preocupación por la seguridad de los exchanges.