La noche del 29 de octubre de 2026, Binance, el mayor exchange de criptomonedas del mundo, sufrió el mayor robo cibernético de su historia. Según datos de varias firmas de análisis de blockchain, entre ellas TRM Labs, Chainalysis y Elliptic, los atacantes retiraron de las billeteras calientes de Binance activos por valor de entre 6.300 y 6.400 millones de dólares, a través de al menos 10 cadenas, en unos 20 minutos. La magnitud del robo supera ampliamente los 1.500 millones de dólares sustraídos a Bybit en 2025.
La investigación preliminar oficial de Binance señala que el incidente pudo haber comenzado con la intrusión en el portátil de un ingeniero de DevOps. Los hackers consiguieron acceder a un contenedor de servicios y enviar transacciones de retiro no autorizadas. La empresa destacó que, por el momento, no ha encontrado indicios de que se hayan filtrado las claves privadas de las billeteras. En una investigación posterior se descubrieron «más puntos de intrusión», y Binance afirmó que no se trató de una operación que una sola persona pudiera ejecutar con un solo clic. La empresa se ha comprometido a reembolsar íntegramente las pérdidas de los usuarios con fondos de SAFU y recursos propios. Ya se han congelado en la cadena activos por valor de unos 3.000 millones de dólares.
1. Al menos 36 horas de preparación, señal de un alto grado de organización
El análisis on-chain de TRM Labs muestra que no fue un ataque improvisado:
• Desde la mañana del 28 de octubre, el atacante recibió tres pequeñas cantidades de fondos de Tornado Cash en una billetera que controlaba.
• A primera hora del 29 de octubre, desplegó la primera versión del código del ataque y la probó en dos billeteras.
• Más tarde ese mismo día, ensayó la versión final en una tercera billetera y luego devolvió los fondos de prueba.
• Unas 4 horas después de terminar el ensayo, instaló el mismo código en la billetera caliente de Binance.
En Ethereum, el atacante utilizó el mecanismo de delegación EIP-7702 y preparó de antemano 50 autorizaciones prefirmadas con nonce consecutivos, para asegurarse de que una de ellas pudiera entrar en vigor. Solo tres minutos después comenzó a vaciar billeteras a gran escala. Este proceso de «probar primero, ensayar después y, por último, saquear de forma coordinada» guarda gran similitud con varios casos anteriores atribuidos a organizaciones vinculadas con Corea del Norte.
2. Flujo de fondos y atribución
TRM Labs y Chainalysis atribuyeron este caso con «alto grado de confianza» a TraderTraitor, una unidad de élite de hackers norcoreanos vinculada a Lazarus Group. Entre los principales indicios figuran los métodos de preparación, el patrón de financiación a través de Tornado Cash y las características de los retiros sincronizados en varias cadenas, que coinciden con el caso de Bybit de 2025, atribuido por el FBI al mismo grupo.
Aún más llamativo: el investigador on-chain ZachXBT y Chainalysis descubrieron que una parte de los fondos robados a Binance pasó por THORChain y llegó a la misma dirección que recibió fondos relacionados con el robo de unos 388 millones de dólares a Bitget en septiembre de 2026. Anteriormente, varias partes también habían atribuido el caso de Bitget a la misma organización.
3. El momento anómalo de las operaciones en el mercado de opciones
Este es el aspecto que más atención está suscitando por ahora. Según explicó a CoinDesk Nicolas Quatravaux, responsable de EMEA de Paradigm (una red de liquidez institucional):
• La primera operación en bloque de opciones de venta de gran volumen se produjo a las 20:38 UTC, unos 15 minutos después de la primera salida de fondos de la billetera de Binance, cuando la noticia aún no era pública.
• La operación consistió en comprar 250 opciones de venta de BTC con vencimiento el 31 de octubre y un precio de ejercicio de 78.000 dólares (unos 20 millones de dólares de valor nocional).
• Tres minutos después se volvió a negociar el mismo contrato por el mismo volumen, con una prima pagada por el comprador aproximadamente un 35 % mayor.
• En las 8 horas posteriores al incidente, Paradigm ejecutó operaciones en bloque de opciones de BTC por un valor nocional de unos 590 millones de dólares, con un marcado sesgo bajista.
• Las compras se concentraron principalmente en opciones cercanas al precio de mercado, en el rango de 74.000–78.000 dólares, y el período de mayor actividad incluso se produjo antes de que Binance emitiera un comunicado.
Estas grandes compras de opciones de venta a corto plazo, que aparecieron después de que los fondos comenzaran a salir de la cadena y antes de que la noticia se difundiera ampliamente, podrían haber sido una cobertura rápida de operadores profesionales que detectaron transferencias inusualmente grandes, o una operación anticipada de alguien con información privilegiada. Actualmente no hay pruebas públicas que demuestren directamente esta última posibilidad, pero la ventana temporal fue ciertamente muy estrecha.
4. Cuestiones que aún deben aclararse
• ¿Cómo fue vulnerado el portátil del ingeniero?
• ¿Cuáles son los detalles técnicos concretos del «punto de intrusión adicional»?
• ¿Cuál fue el recorrido completo del uso indebido del sistema de firmas?
• ¿Quién compró aquellas opciones tan pronto y de dónde procedían los fondos?
• ¿Cuál será el destino posterior de los aproximadamente 2.400 millones de dólares que no fueron congelados (principalmente ETH y BTC)?
Binance ha dicho que publicará un informe técnico detallado y actualizará su Proof of Reserves una vez concluida la investigación.
Este incidente presenta características de un alto grado de organización y planificación previa, tanto en la preparación técnica como en el ritmo de ejecución y los vínculos de los fondos con casos anteriores. El momento anómalo de las operaciones en el mercado de opciones es, por ahora, el aspecto más llamativo y también el más difícil de explicar por completo como una simple coincidencia. No necesariamente constituye una prueba irrefutable de uso de información privilegiada, pero sí es una señal de alerta que merece un análisis más profundo.
En el mercado de las criptomonedas, la seguridad y la transparencia de la información son siempre fundamentales. Este incidente nos recuerda una vez más que conviene seguir prestando atención a los controles de acceso interno de los exchanges, la infraestructura de firma y el comportamiento del mercado antes y después de acontecimientos importantes.
¿Qué crees que merece una investigación más profunda en este incidente: la vulnerabilidad técnica o la coincidencia temporal? Deja tu opinión en los comentarios.
\u003ct-189/\u003e\u003ct-190/\u003e\u003ct-191/\u003e\u003ct-192/\u003e \u003ct-194/\u003e
\u003cc-197/\u003e
