El 29 de octubre de 2026, Binance sufrió una importante brecha de seguridad que involucró transferencias no autorizadas de criptomonedas por un valor estimado de 6.300 millones de dólares. El incidente afectó a varias redes blockchain y desencadenó un esfuerzo de toda la industria para rastrear y congelar los activos robados.
La investigación preliminar de Binance señala que el punto de entrada pudo haber sido el portátil de un ingeniero de DevOps comprometido. La plataforma ha informado que no hay indicios de que se hayan filtrado claves privadas de monederos y se ha comprometido a cubrir todas las pérdidas con su Fondo de Activos Seguros para los Usuarios (SAFU) y sus fondos corporativos.
1. ¿Cómo comenzó el incidente?
Los sistemas de monitoreo de cadenas de bloques detectaron movimientos sospechosos desde billeteras vinculadas a Binance el 29 de octubre. Las investigaciones iniciales se centraron en transferencias basadas en Ethereum, pero análisis posteriores identificaron actividad en Bitcoin, Tron, Solana, XRP Ledger y otras redes.
A medida que los investigadores rastrearon transacciones adicionales, el impacto estimado aumentó, y Binance calculó por su parte que ascendía a 6.300 millones de dólares.
El incidente se convirtió rápidamente en una importante investigación entre cadenas, en la que firmas de inteligencia de cadenas de bloques y empresas de criptomonedas colaboraron para identificar las billeteras afectadas y evitar que los activos siguieran moviéndose.
2. Cómo presuntamente hackearon Binance los atacantes
El presunto punto de entrada
La investigación preliminar de Binance sugiere que la computadora portátil de un ingeniero de DevOps pudo haber sido comprometida, lo que permitió al atacante acceder a un contenedor de servicio interno. Es posible que este acceso se utilizara para enviar transacciones de retiro no autorizadas.
No se ha establecido públicamente el método exacto utilizado para comprometer el dispositivo. Binance tampoco ha informado de indicios de que se hayan filtrado las claves privadas de las billeteras.
Cómo pudieron realizarse retiros no autorizados
Los hallazgos preliminares sugieren que el atacante pudo haber aprovechado el acceso a un servicio interno autorizado, en lugar de extraer directamente las claves privadas de las billeteras.
Esta distinción es importante porque los retiros de criptomonedas dependen de varios sistemas interconectados, incluidos los servicios internos, los permisos de acceso y la infraestructura de firma de transacciones. Comprometer uno de estos sistemas puede dar lugar al uso indebido de procesos de transacción legítimos.
La secuencia completa de cómo el atacante obtuvo acceso y permisos suficientes sigue bajo investigación.
La técnica de la billetera de Ethereum
Un análisis independiente de seguridad de cadenas de bloques identificó el uso del mecanismo de delegación de cuentas EIP-7702 de Ethereum en el ataque contra la billetera caliente de Ethereum de Binance.
EIP-7702 permite que las cuentas de Ethereum controladas externamente deleguen ciertas funciones de ejecución a código de contratos inteligentes. La actividad reportada sugiere que este mecanismo pudo haberse utilizado indebidamente para facilitar transferencias de activos no autorizadas.
Esto no indica que Ethereum en sí haya sido comprometido. El papel exacto del mecanismo y la forma en que se explotó deberán establecerse mediante el análisis técnico posterior al incidente de Binance.
3. La magnitud y cronología del ataque
El análisis de cadenas de bloques publicado el 30 de octubre ofrece una visión preliminar del desarrollo del incidente.
Fecha y hora (UTC)Desarrollo28 de octubreSe identificó actividad preliminar en la cadena vinculada a billeteras que posteriormente se asociaron con el incidente.29 de octubreAparecieron importantes transferencias sospechosas en XRP Ledger.29 de octubreSe detectó actividad adicional en Solana y otras redes.29 de octubreSe produjeron transferencias importantes relacionadas con Bitcoin, Tron y billeteras vinculadas a Ethereum.29 de octubreUna importante transacción de Ethereum movió cantidades sustanciales de ETH, USDT y otros tokens.29 de octubre, más tarde por la nocheTether, Circle y otros participantes del ecosistema comenzaron a congelar o restringir los activos afectados.30 de octubreBinance identificó una computadora portátil de DevOps potencialmente comprometida como posible punto de entrada e informó que se habían congelado aproximadamente 3.000 millones de dólares en activos.30 de octubre, actualización posteriorBinance confirmó que los depósitos funcionaban con normalidad, mientras que los retiros seguían pausados durante una revisión de seguridad.
La cronología refleja la actividad reportada en las cadenas de bloques y las actualizaciones de las empresas. La secuencia definitiva de los acontecimientos sigue sujeta a una investigación forense.
4. ¿Qué criptomonedas se vieron afectadas?
El incidente afectó a varias criptomonedas, monedas estables y activos digitales menores en diversas redes de cadenas de bloques.
Principales activos identificados en el análisis de cadenas de bloques
ActivoCantidad reportadaValor aproximadoBitcoin (BTC)18.270 BTC1.470 millones de dólaresEthereum (ETH)200.630 ETHIncluido en el total de la red EthereumTether (USDT)1.875 millones en Ethereum y 612,7 millones en TronMás de 2.400 millones de dólares en totalUSD Coin (USDC)Aproximadamente 823 millonesAproximadamente 823 millones de dólaresRipple USD (RLUSD)Aproximadamente 88,5 millonesIncluido en el total de la red EthereumXRP233,46 millones de XRPAproximadamente 296 millones de dólaresSolana (SOL)Aproximadamente 970.500 SOLAproximadamente 96 millones de dólaresTRXAproximadamente 46,4 millones identificados directamenteTRX adicionales adquiridos mediante intercambios posterioresArbitrum (ARB)Aproximadamente 74,6 millones de ARBParte del total general entre cadenas
Otros tokens implicados
Entre los activos adicionales identificados en las billeteras afectadas se encontraban Wrapped Beacon ETH (wBETH), Tether Gold (XAUt), Uniswap (UNI), Ethena (ENA), Pepe (PEPE), World Liberty Financial USD (USD1), Chainlink (LINK), Aave (AAVE), Avalanche (AVAX), Optimism (OP), USDT0, Paxos Gold (PAXG), Zama (ZAMA) y Lagrange, además de varios tokens menores.
Arkham Intelligence ha etiquetado varias direcciones asociadas al presunto atacante, lo que ayuda a los investigadores a monitorear los movimientos posteriores. La lista de tokens puede cambiar a medida que se identifiquen nuevas transacciones.
Sigue al hacker de Binance en Arkham:https://t.co/hp8dDvAdQl
— Arkham (@arkham) 30 de octubre de 2026
5. ¿Quién hackeó Binance?
La conexión norcoreana
Nuestros investigadores observaron que los fondos robados por la RPDC en el exploit de Bitget del mes pasado se mezclaban con fondos robados de Binance.
Tenemos un alto grado de confianza en que la RPDC es responsable del hackeo de Binance, valorado en 6.400 millones de dólares. https://t.co/xj9dQYcbKr
— Chainalysis (@chainalysis) 30 de octubre de 2026
El 30 de octubre, la firma de análisis de cadenas de bloques Chainalysis dijo tener un alto grado de confianza en que Corea del Norte era responsable del incidente de Binance. Sus investigadores informaron que identificaron fondos de un exploit anterior de Bitget que se mezclaban con fondos asociados al robo de Binance.
Estas evaluaciones apuntan a una posible conexión norcoreana, pero no se ha establecido públicamente la identidad de las personas responsables. Binance ha dicho que está colaborando con las fuerzas del orden para identificar a los implicados y llevarlos ante la justicia.
Por lo tanto, la atribución debe considerarse una evaluación de inteligencia y no una conclusión jurídica definitiva.
Actualización: El total verificado actual de fondos congelados asciende a unos 3.000 millones de dólares.
Nuestros equipos siguen colaborando estrechamente con las fuerzas del orden, emisores, firmas de inteligencia de cadenas de bloques y socios del sector para rastrear y congelar activos adicionales.
Solo compartiremos cifras confirmadas y… pic.twitter.com/e5RHM1VwOU
— Binance (@binance) 30 de octubre de 2026
6. ¿Cuánto dinero se ha congelado y recuperado?
Binance informó inicialmente que se habían congelado aproximadamente 3.000 millones de dólares en activos afectados mediante la coordinación con socios de cadenas de bloques, emisores de tokens y otros participantes del sector.
Varias empresas y redes contribuyeron a la operación:
Tether (USDT): Informó que había congelado más de 1.567 millones de dólares vinculados al incidente; análisis posteriores identificaron USDT adicionales restringidos en varias direcciones.
Circle (USDC): Congeló aproximadamente 823 millones de dólares en USDC asociados al incidente.
Ripple (RLUSD): Confirmó que estaba monitoreando el incidente y congelando activamente los fondos afectados.
Arbitrum: Su Consejo de Seguridad ejecutó una acción para congelar aproximadamente 30,5 millones de dólares asociados al exploit.
Otros emisores y socios: Se congelaron o sometieron a otras restricciones activos adicionales, incluidos USD1, FDUSD y tokens respaldados por oro.
Por qué es importante congelar los fondos
Los emisores de monedas estables como USDT y USDC pueden congelarlas, ya que tienen la capacidad de restringir las transferencias desde direcciones específicas. Esto ayudó a impedir que el presunto atacante moviera algunos de los activos afectados.
¡Los fondos de los usuarios están a salvo!
Sí parece que Binance sufrió un hackeo. Agradezco la rápida congelación por parte de Tether (~971 millones de dólares) y Circle (~823 millones de dólares).
Ya no gestiono Binance (.com), pero como accionista, espero que todos los fondos de los usuarios estén totalmente cubiertos. https://t.co/oufpyNChxI
— CZ 🔶 BNB (@cz_binance) 29 de octubre de 2026
Bitcoin y Ether no tienen un emisor central con la misma capacidad para incluir direcciones en listas negras. Su recuperación depende en mayor medida del seguimiento de las transacciones, la cooperación con exchanges e intermediarios y las acciones legales.
Es importante distinguir entre activos congelados y fondos recuperados. Las criptomonedas congeladas pueden seguir siendo inaccesibles mientras los investigadores establecen quién es su propietario y determinan cómo pueden devolverse legalmente.
Estamos al tanto de las distintas cifras que circulan públicamente sobre el monto congelado, incluidas las referencias a 1.800 millones de dólares.
Para mayor claridad, el total verificado actual de fondos congelados es de 2.540 millones de dólares. Esta cifra podría seguir aumentando mientras nuestros equipos trabajan estrechamente con las fuerzas del orden,… pic.twitter.com/Kx68qptfXk
— Binance (@binance) 29 de octubre de 2026
7. ¿Qué ocurrió con los fondos robados?
Los investigadores de cadenas de bloques rastrearon fondos que se movían entre Ethereum, Bitcoin, Tron, Solana, XRP Ledger y varias redes de capa 2.
Algunos activos se convirtieron en otras criptomonedas mediante intercambios y se movieron entre varias direcciones. Entre las actividades reportadas hubo transacciones con Ether y TRX, además de interacciones con exchanges descentralizados y otros servicios de cadenas de bloques.
Estos movimientos dificultan la recuperación, aunque los registros públicos de las cadenas de bloques permiten a los investigadores rastrear las transacciones e identificar conexiones entre billeteras.
El movimiento de fondos no significa necesariamente que el atacante haya logrado convertirlos en dinero en efectivo. Al 30 de octubre, aún no se había establecido el destino final de todos los activos afectados.
8. ¿Qué ocurrió con los clientes de Binance?
¿Se perdieron fondos de los clientes?
Binance afirmó que los fondos de los clientes siguen estando a salvo y se comprometió a cubrir todas las pérdidas con su fondo SAFU y fondos corporativos. Además, según se informó, el exchange reservó 6.340 millones de dólares de fondos de la empresa para cubrir las pérdidas derivadas del incidente, reafirmando su compromiso de proteger a los clientes.
El compromiso es importante para los clientes, pero su cumplimiento deberá evaluarse mediante la prueba de reservas actualizada que el exchange prometió y las divulgaciones posteriores.
¿Se vieron afectados los retiros?
Binance suspendió temporalmente los depósitos y retiros mientras realizaba controles de seguridad.
En su actualización del 30 de octubre, el exchange dijo que los depósitos funcionaban con normalidad, mientras que los retiros seguían pausados durante una revisión de seguridad del servicio de retiros y las direcciones relacionadas. Preveía reanudar los retiros en un plazo de 48 horas.
¿Y qué pasó con las operaciones?
También se suspendieron temporalmente las operaciones de Binance Alpha y algunos servicios relacionados de compra instantánea y mercados de predicción que utilizan fondos de las billeteras spot.
El exchange dijo que estos servicios se reanudarían una vez resuelto el problema de seguridad. Las restricciones formaron parte de su respuesta preventiva general.
9. La respuesta de Binance y el apoyo de todo el sector
La respuesta de Binance incluyó tanto medidas de seguridad internas como la colaboración con empresas de todo el sector de las criptomonedas.
Changpeng Zhao (CZ), cofundador y exdirector ejecutivo de Binance, aseguró a los usuarios que sus fondos estaban a salvo. También reconoció la labor de los empleados que trabajaron toda la noche para abordar el incidente y agradeció la ayuda de los participantes del sector, incluidos sus competidores.
Yi He, cofundadora y codirectora ejecutiva de Binance, agradeció el apoyo de la comunidad y dijo que el equipo estaba realizando controles de seguridad antes de reanudar los retiros.
La respuesta del exchange se ha centrado en:
Revocar la autorización asociada a la dirección afectada.
Restringir temporalmente los servicios afectados.
Colaborar con las fuerzas del orden y firmas de inteligencia de cadenas de bloques.
Coordinarse con emisores de tokens y socios del sector para congelar activos.
Reforzar el servicio de retiros y las direcciones relacionadas.
Preparar un análisis técnico detallado posterior al incidente.
Publicar una prueba de reservas actualizada una vez completadas las medidas correctivas.
Tether, Circle, Ripple y Arbitrum también contribuyeron a la respuesta mediante restricciones y medidas para congelar activos. Las firmas de inteligencia de cadenas de bloques siguieron rastreando transacciones e identificando direcciones relacionadas.
La operación coordinada demuestra cómo los exchanges, los emisores de tokens, las redes de cadenas de bloques y los investigadores pueden colaborar durante un incidente de seguridad importante.
10. Por qué el incidente importa para el conjunto del sector de las criptomonedas
El incidente pone de relieve los riesgos asociados al acceso privilegiado de los empleados y a los sistemas internos de retiro.
Aunque las claves privadas de las billeteras sigan seguras, los servicios internos comprometidos pueden dar pie a transacciones no autorizadas. Por ello, la seguridad de los dispositivos de los empleados, los permisos de acceso y los sistemas de aprobación de retiros son tan importantes como la protección de las claves privadas.
El incidente también plantea interrogantes sobre las salvaguardas que utilizan los exchanges para impedir que un sistema interno comprometido apruebe por sí solo retiros de grandes cantidades.
Controles de acceso más estrictos para los empleados, validación independiente de transacciones, límites de retiro y monitoreo en tiempo real pueden ayudar a reducir el riesgo de incidentes similares.
Para el sector en general, el incidente recuerda que la seguridad de los exchanges sigue siendo un riesgo importante, incluso cuando las redes de cadenas de bloques subyacentes funcionan con normalidad.
11. Impacto en el mercado y preguntas pendientes
El incidente aumentó la incertidumbre en los mercados de criptomonedas. Según informes publicados en ese momento, Bitcoin cayó por debajo de los 77.000 dólares, junto con Ether y otros activos. Aunque las preocupaciones de seguridad pudieron haber contribuido a la presión sobre el mercado, los movimientos de precios no pueden atribuirse por completo al incidente de Binance.
También quedan varias preguntas importantes sin respuesta:
¿Cómo se comprometió la computadora portátil del ingeniero de DevOps?
¿Cómo obtuvo el atacante acceso suficiente al sistema de retiros?
¿Cuánto de las criptomonedas afectadas se recuperará finalmente?
¿Qué revelará la investigación técnica final sobre el ataque?
¿Demostrará la prueba de reservas actualizada que los activos de los clientes siguen estando respaldados adecuadamente?
¿Cuándo volverán a la normalidad todos los servicios afectados?
Las prioridades inmediatas de Binance son completar la revisión de seguridad, reanudar los retiros de forma segura, seguir coordinándose con los investigadores y publicar su análisis técnico posterior al incidente.
12. Evaluación final
Estamos trabajando sin descanso para resolver este problema. Binance cubrirá todas las pérdidas.
Como medida de precaución, todos los depósitos y retiros están suspendidos temporalmente mientras nuestro equipo realiza controles de seguridad, congela fondos y colabora con las fuerzas del orden.
Estamos trabajando día y noche y… pic.twitter.com/zufWJ6V05D
— Binance (@binance) 30 de octubre de 2026
El incidente de Binance representa una grave falla de seguridad de un exchange, con un impacto estimado de aproximadamente 6.300 millones de dólares. Los hallazgos preliminares sugieren que una infraestructura interna comprometida pudo haber permitido retiros no autorizados sin que se filtraran directamente las claves privadas de las billeteras.
La congelación coordinada de aproximadamente 3.000 millones de dólares en activos demuestra la importancia de la cooperación de todo el sector en las investigaciones sobre criptomonedas. Sin embargo, el monto final recuperado, la identidad de los responsables y el método exacto del ataque siguen siendo objeto de investigación.
El compromiso de Binance de cubrir todas las pérdidas tranquiliza a los clientes, pero la credibilidad del exchange a largo plazo dependerá de que reanude los retiros de forma segura, publique una prueba de reservas actualizada y ofrezca una explicación técnica transparente.
El incidente debe considerarse una importante brecha de seguridad que está siendo investigada, y no una prueba de que los fondos de los clientes se hayan perdido definitivamente o de que se hayan recuperado todos los activos afectados. El informe técnico final, las cifras de recuperación verificables de forma independiente y la restauración de los servicios normales serán los acontecimientos más importantes que habrá que seguir.