Binance afirmó el 30 de octubre de 2026 que había reservado más de 6.300 millones de USD para cubrir las pérdidas del hackeo de criptomonedas de Binance ocurrido el día anterior. TRM Labs rastreó aproximadamente 6.360 millones de USD robados en diez cadenas de bloques, la mayor parte en unos 20 minutos, en el mayor robo de criptomonedas que ha registrado.

Conclusiones clave

• Binance se comprometió a usar fondos de la empresa para cubrir todas las pérdidas.

• TRM atribuye el robo a TraderTraitor, de Corea del Norte, con un alto grado de confianza.

• Una delegación maliciosa de Ethereum permitió vaciar repetidamente las billeteras.

• La última estimación de Binance sobre los activos congelados alcanzó alrededor de 3.000 millones de USD.

Un hackeo de criptomonedas a Binance vació carteras en diez cadenas

El robo comenzó el 29 de octubre de 2026 a las 20:05 UTC, y la mayoría de las salidas se concentraron en unos 20 minutos, según TRM. Su valoración de 6.360 millones de USD se basa en los precios de los activos en el momento de cada transferencia y equivale a unas cuatro veces el robo de 1.500 millones de USD a Bybit en febrero de 2025.

Ethereum representó 3.790 millones de USD, incluidos 200.630 ETH y otros 185 tokens. Entre estos había 1.875 millones de USDT, 823 millones de USDC y 88,5 millones de RLUSD, mientras que las salidas de bitcoin sumaron 18.270 BTC, equivalentes a unos 1.470 millones de USD.

TRM rastreó aproximadamente 628 millones de USD en Tron, 296 millones de USD en XRP Ledger y 96 millones de USD en Solana. Arbitrum, Optimism y Base perdieron en conjunto unos 39 millones de USD; Avalanche perdió unos 28 millones de USD y Polygon, unos 10 millones. Otra oleada llegó a Avalanche y Polygon alrededor de las 23:05 UTC.

Binance confirmó un incidente de seguridad, suspendió los retiros en varias redes y afirmó que los fondos de los usuarios estaban a salvo. El 30 de octubre dijo que 5.000 millones de USD de sus reservas de reemplazo ya correspondían a los tokens afectados y que estaba comprando el resto. Estas reservas excluyen los activos congelados sujetos a recuperación y verificación.

Cómo las autorizaciones de Ethereum permitieron robos reiterados

Según TRM, el atacante utilizó delegaciones EIP-7702 para hacer que una cartera caliente de Ethereum de Binance ejecutara código bajo su control. Esta función de Ethereum permite que una cartera convencional autorice a un contrato inteligente a controlar su comportamiento.

A las 20:20 UTC, el operador presentó 50 autorizaciones prefirmadas que abarcaban números de transacción consecutivos. Una coincidía con el número actual de la cartera y activó un contrato de barrido que aceptaba únicamente las instrucciones del operador.

Tras un intervalo de tres minutos y 24 segundos, una operación de barrido transfirió 167.464 ETH junto con 63 tokens, entre ellos 1.615 millones de USDT, y la delegación siguió activa, lo que permitió seis barridos adicionales a medida que llegaban más depósitos. La cartera comprometida también controlaba una cuenta inteligente independiente que contenía 823 millones de USDC, que Circle congeló posteriormente.

En otras cadenas se utilizaron transferencias firmadas convencionales. Según la evaluación de TRM, es probable que el atacante obtuviera acceso a la infraestructura de firma de las carteras calientes de Binance en distintas cadenas. Binance dijo que su investigación inicial apuntaba a un portátil comprometido, mientras que la investigación posterior identificó otros puntos de intrusión.

TRM vincula el ataque con TraderTraitor

TRM atribuye el hackeo de criptomonedas a Binance a TraderTraitor, una unidad de piratería patrocinada por Corea del Norte, con un alto grado de confianza y basándose en información dentro y fuera de la cadena. Por separado, Jonathan Levin, director ejecutivo de Chainalysis, evaluó que probablemente TraderTraitor llevó a cabo el ataque.

TRM rastreó los preparativos hasta al menos 36 horas antes, incluidas pequeñas retiradas de Tornado Cash, código de ataque desplegado y ensayos. Identificó similitudes con robos anteriores vinculados a Corea del Norte. El FBI atribuyó previamente al mismo grupo el ataque a Bybit de febrero de 2025.

Las congelaciones bloquearon miles de millones, pero la recuperación es un proceso aparte

TRM calculó que se habían congelado unos 2.700 millones de USD hasta el 30 de octubre a las 00:30 UTC; Binance elevó posteriormente el total a alrededor de 3.000 millones de USD. El recuento de TRM incluía 2.670 millones de USD en monedas estables y unos 30 millones de USD asegurados en Arbitrum.

Tether congeló unos 1.770 millones de USDT, Circle alrededor de 825 millones de USDC, Ripple 40,5 millones de RLUSD y World Liberty Financial 27,8 millones de USD1. El Consejo de Seguridad de Arbitrum retiró 8.426 ETH y 74,6 millones de ARB del control del atacante.

El atacante vendió unos 325 millones de USDT a través de creadores de mercado y contratos basados en intenciones, a cambio de aproximadamente 122.300 ETH. También depositó 60 millones de USDT en Aave y pidió prestados unos 19.760 ETH; Aave congeló entonces los mercados afectados.

TRM rastreó más de 420.000 ETH y 18.270 BTC —aproximadamente 2.400 millones de USD que excedían las facultades de congelación de los emisores—. El bitcoin se dividió mediante «cadenas de pelado» para dificultar el rastreo.

Ari Redbord, de TRM, explicó que recuperar los fondos congelados requiere procedimientos legales. Eric Jardine, responsable de investigación de Chainalysis, dijo que su devolución puede tardar meses o años.

Se insta a los exchanges a revisar los depósitos y los controles de firma

TRM recomienda verificar los depósitos y las contrapartes comparándolos con las direcciones identificadas del atacante y vigilar las carteras de tesorería para detectar delegaciones EIP-7702 inesperadas. También aconseja rechazar autorizaciones imprevistas y separar la infraestructura de firma según la cadena y el nivel de la cartera.

Binance dijo el 30 de octubre que había empezado a recuperar los activos afectados y que trabajaba con las fuerzas del orden y sus socios para rastrear, congelar y recuperar fondos adicionales.

Artículo elaborado con la ayuda de inteligencia artificial y revisado por el equipo editorial.