Desde Mt. Gox hasta Bitfinex, y desde Bybit hasta Bitget, los puntos de entrada de los ataques contra los exchanges no han dejado de evolucionar; tras sufrir una brecha de seguridad en 2019, Binance vuelve a enfrentarse a la misma pregunta: ¿quién asumirá las pérdidas?
Si situamos en una misma línea temporal los robos sufridos por los exchanges durante los últimos diez años, se observa un cambio evidente:
Las pérdidas son cada vez mayores, pero los atacantes recurren cada vez menos a vulnerar directamente las cold wallets. Lo que realmente suele estar en el punto de mira son las hot wallets, las claves privadas, los procesos de firma, los dispositivos internos y las conexiones entre los exchanges y los servicios de terceros.
——
De las hot wallets a las claves privadas: los primeros puntos de entrada de los ataques
En febrero de 2014, se informó de la desaparición de unos 850.000 bitcoins de Mt. Gox, valorados en unos 450 millones de dólares al precio de entonces. Los activos no se transfirieron de una sola vez, sino que fueron desapareciendo gradualmente durante un periodo prolongado. La falta de control sobre los monederos calientes y la protección insuficiente de las claves privadas acabaron llevando a la quiebra al que entonces era el mayor exchange de Bitcoin.
En agosto de 2016, robaron 119.756 bitcoins de Bitfinex, valorados en unos 72 millones de dólares al precio de entonces. Los atacantes vulneraron los procesos de custodia y autorización multifirma del exchange e iniciaron transferencias no autorizadas. Aunque posteriormente se recuperó parte de los activos, los usuarios tuvieron que afrontar el reparto de las pérdidas y un largo proceso de indemnización.
En enero de 2018, robaron unos 523 millones de dólares en NEM del exchange japonés Coincheck. Una gran cantidad de activos se almacenaba en monederos calientes conectados a internet y no se utilizaba la firma múltiple. Tras la filtración de las claves privadas, los activos se transfirieron de una sola vez y Coincheck acabó indemnizando a los usuarios con fondos de la empresa.
El rasgo común de esta etapa está claro:
Los activos seguían en el exchange, pero las claves, los monederos y los procesos de autorización no estaban realmente aislados.
En mayo de 2019, Binance también sufrió un ataque a gran escala. Los hackers transfirieron 7.000 bitcoins desde el monedero caliente de Binance, valorados entonces en unos 40 millones de dólares. Binance afirmó que los atacantes obtuvieron datos como claves API de usuarios e información de verificación en dos pasos mediante phishing, virus y otros métodos, y luego iniciaron retiradas en bloque.
En ese caso, las pérdidas fueron cubiertas por el fondo SAFU y los usuarios no sufrieron pérdidas directas. Binance reanudó sus operaciones tras realizar una revisión de seguridad y así estableció un modelo de gestión de incidentes en el que «la plataforma paga y los usuarios no sufren pérdidas».
——
Del robo de claves al ataque a los procesos
A partir de entonces, los atacantes empezaron a eludir los monederos individuales y a atacar los procesos operativos y los sistemas de permisos de los exchanges.
En septiembre de 2020, se filtraron las claves privadas de los monederos calientes de KuCoin, con pérdidas de unos 280 millones de dólares. Los proyectos afectados, los exchanges y las entidades de seguridad rastrearon conjuntamente los fondos y recuperaron alrededor del 84 % de los activos; el resto se cubrió con seguros y fondos de la empresa.
En diciembre de 2021, BitMart sufrió un ataque a sus monederos calientes, con pérdidas estimadas de entre 150 y 196 millones de dólares. La información pública relacionó el incidente con la filtración de claves privadas de los monederos calientes. Posteriormente, BitMart se comprometió a indemnizar a los usuarios afectados con fondos de la empresa y seguros.
En 2023, se transfirieron unos 70 millones de dólares en activos de CoinEx y se consideró ampliamente que el incidente estaba relacionado con la filtración de claves privadas de los monederos calientes. Ese mismo año, robaron unos 125 millones de dólares en activos de Poloniex. Los atacantes transfirieron activos de varias cadenas, pero la plataforma no divulgó por completo el punto de entrada definitivo del ataque.
Los métodos de ataque están cambiando:
De «obtener la clave privada» → a «eludir los permisos» → a «falsificar transacciones».
——
El software de terceros también se convierte en un punto de entrada para los ataques
Los dos incidentes de 2024 se acercan más a los métodos de ataque actuales.
En mayo, robaron unos 4.502,9 bitcoins del exchange japonés DMM Bitcoin, valorados en unos 305 millones de dólares al precio de entonces. La empresa no divulgó por completo el método inicial de intrusión. Más adelante, el FBI atribuyó el ataque al grupo TraderTraitor, vinculado a Corea del Norte.
En julio, robaron unos 235 millones de dólares en activos de WazirX. Al parecer, los atacantes aprovecharon las discrepancias entre la interfaz de transacciones del monedero multifirma y los datos de firma para inducir a las personas implicadas a aprobar transacciones maliciosas. Posteriormente, WazirX y el proveedor de servicios de custodia Liminal discreparon sobre quién era responsable.
En febrero de 2025, robaron entre 1.460 y 1.500 millones de dólares en activos de Bybit, lo que lo convirtió en el mayor robo a un exchange hasta entonces.
Bybit dejó algo claro:
La firma múltiple no equivale a seguridad absoluta.
Los atacantes no se limitaron a vulnerar las claves privadas de los monederos fríos, sino que aprovecharon las discrepancias entre la visualización de las transacciones y los datos del proceso de firma para inducir a los firmantes a aprobar transacciones maliciosas. Más adelante, el FBI atribuyó el ataque al grupo TraderTraitor, vinculado a Corea del Norte.
El monedero frío no fue vulnerado directamente, pero aun así se aprobaron las transacciones. Por eso, la cuestión de seguridad pasó de ser «dónde se almacenan los activos» a centrarse también en «quién aprueba las transacciones y qué es lo que ve».
——
Bitget: una advertencia antes del incidente de Binance
El 24 de septiembre de 2026, a las 18:31 UTC, los atacantes iniciaron transferencias no autorizadas desde algunos monederos calientes y templados de Bitget. A las 19:05 UTC, el sistema de conciliación de fondos de Bitget detectó anomalías y suspendió de inmediato las retiradas en toda la plataforma.
Bitget estimó inicialmente las pérdidas en unos 351,6 millones de dólares. Tras reclasificar las transacciones en cadena de Zcash, TRON y otras redes, la cifra se corrigió posteriormente a unos 387,5 millones de dólares. Finalmente, la página oficial indicó que el importe verificado era de unos 388 millones de dólares.
Según Bitget, el ataque se produjo de la siguiente manera: el atacante aprovechó una vulnerabilidad de día cero en un producto de seguridad de terceros para robar credenciales de acceso a la red interna. Después falsificó instrucciones de retirada, eludió los sistemas de control de riesgos y escribió directamente órdenes de transferencia en el sistema de monederos.
El incidente no afectó a los monederos fríos y, según la empresa, tampoco se vulneraron las claves privadas. Los saldos de los usuarios de Bitget no se vieron afectados; el fondo de protección de usuarios cubrió las pérdidas y el servicio de retiradas se restableció por fases antes del 2 de octubre.
La señal que dejó Bitget es clara:
El verdadero peligro quizá no esté en el monedero en sí, sino en el software, los dispositivos y los permisos que hay detrás.
——
Binance: los límites de seguridad vuelven a ser traspasados
En la madrugada del 30 de octubre de 2026, según la reconstrucción basada en información pública de la cadena, el monedero caliente de Binance identificado como «Binance 14» recibió una autorización anómala. Unos minutos después, se transfirieron en bloque varios activos del monedero y, a continuación, se registraron transferencias consecutivas desde varios monederos calientes en distintas cadenas.
Esa mañana, Binance suspendió los depósitos y las retiradas y afirmó que los fondos de los usuarios estaban seguros y que la empresa asumiría todas las pérdidas.
La investigación preliminar de Binance indicó que el incidente podría estar relacionado con el hackeo del portátil de un ingeniero de DevOps. El atacante aprovechó esto para acceder a un contenedor de servicios e iniciar transacciones de retirada no autorizadas.
Binance afirmó que, por el momento, no había encontrado pruebas de que se hubieran filtrado claves privadas de los monederos. Sin embargo, en la investigación posterior se descubrieron otros puntos de entrada, por lo que el ordenador del empleado es solo una pista preliminar, no la causa definitiva.
En cuanto al importe, Chainalysis calcula que se robaron activos por unos 5.900 millones de dólares, mientras que TRM Labs estima que la cifra supera los 6.000 millones. La cifra oficial que maneja Binance por el momento es:
El impacto total del incidente asciende a unos 6.300 millones de dólares.
Binance afirmó que unos 3.000 millones de dólares en activos ya habían sido congelados o protegidos. Además, la empresa ha reservado más de 6.340 millones de dólares de sus propios fondos para cubrir el incidente, de los cuales unos 5.000 millones ya se han asignado en los tokens correspondientes a los afectados.
Este dinero es una reserva para indemnizaciones, no un nuevo importe robado, y tampoco debe sumarse directamente a los 3.000 millones de dólares congelados.
Las declaraciones de CZ giraron principalmente en torno a tres puntos:
Los fondos de los usuarios están seguros; todo apunta a que se trató de un ataque informático;
Binance no sufrió un colapso como el de FTX, ya que parece tratarse de un incidente de seguridad aislado que la empresa puede absorber con su balance;
La recuperación de los activos ya ha comenzado y Binance puede reponer gradualmente los tokens afectados mediante las comisiones de trading y las operaciones del mercado.
A última hora del 30 de octubre de 2026: se vieron afectados activos por unos 6.300 millones de dólares; unos 3.000 millones ya habían sido congelados o protegidos; Binance había preparado más de 6.340 millones de dólares de fondos propios para cubrir las pérdidas. Sin embargo, todavía no se han confirmado las pérdidas netas definitivas, el importe realmente recuperado ni la ruta completa del ataque.
Por lo tanto, no se puede interpretar este incidente simplemente como que «Binance perdió finalmente 6.300 millones de dólares».
En 2019, Binance utilizó el fondo SAFU para cubrir pérdidas de unos 40 millones de dólares. Esta vez, el incidente alcanza una escala de 6.300 millones de dólares y el punto de entrada del ataque se ha ampliado: de las API de usuario y los monederos calientes a los dispositivos internos, el software de terceros y los permisos de los sistemas de backend.
Desde Mt. Gox y Bitget hasta Binance, la seguridad de los exchanges ya no se reduce a la diferencia entre monederos fríos y calientes.
La verdadera pregunta que plantea este incidente no es solo si Binance puede pagar las indemnizaciones.
Cuando los límites de seguridad de un exchange se traspasan una y otra vez, ¿quién acaba asumiendo las pérdidas: la plataforma o los usuarios?