A las 20:05 UTC del 29 de octubre (17:05 en Brasilia), alguien empezó a mover dinero de las carteras de Binance en diez blockchains diferentes. En unos 20 minutos salieron US$ 6,36 mil millones, según TRM Labs. Es casi cuatro veces el robo a Bybit en 2025 (US$ 1,5 mil millones) y el mayor desvío de criptomonedas jamás registrado.

Cómo entraron. La primera versión de Binance apuntaba al portátil de un ingeniero de DevOps comprometido: con él, el atacante llegó a un contenedor de servicio y empezó a enviar retiros no autorizados. El viernes, el codirector ejecutivo Richard Teng confirmó que la investigación encontró otros puntos de intrusión y que el ataque eludió el flujo normal de aprobación usando EIP-7702 de Ethereum, la función de delegación de cuentas. Se puede autorizar a otra dirección a actuar en tu cartera sin cambiar la clave, y así fue como se tomó una cartera caliente de la plataforma sin pasar por los aprobadores. Binance dice que no encontró pruebas de que se filtrara ninguna clave privada. El grupo también usó un mecanismo de autodestrucción para borrar el rastro de las herramientas mientras actuaba.

Quién fue. Nadie ha sido acusado oficialmente. TRM Labs atribuyó el ataque a TraderTraitor, una unidad norcoreana también llamada Lazarus o APT38, con «un alto grado de confianza»; Chainalysis coincidió con el mismo grado de confianza. Binance no confirma quién fue y dice que trabaja con la policía. En EE. UU., el Servicio Secreto lidera la investigación, el FBI dice estar al tanto y Trump respondió que el gobierno «está observando» a Corea del Norte.

Lo que ya se ha bloqueado. Los emisores de stablecoins bloquearon cerca de US$ 2,7 mil millones: Tether, US$ 1,56 mil millones; Circle, US$ 800 millones; además de Ripple y World Liberty. El consejo de seguridad de Arbitrum bloqueó 8.426 ETH y 74,6 millones de ARB. Lo que ningún emisor puede alcanzar sigue en manos del atacante: más de 420 mil ETH y 18.270 BTC, cerca de US$ 2,4 mil millones. Mientras se efectuaban los bloqueos, vendía USDT a creadores de mercado y pedía ETH prestado en Aave usando USDT como garantía.

Las cuentas de Binance. La plataforma dice que cubrirá todo con el SAFU y fondos propios. Reservó US$ 6,34 mil millones y ya tiene US$ 5 mil millones en las mismas monedas robadas, cerca del 80%; el resto lo comprará en el mercado y en operaciones OTC. Los retiros siguen suspendidos y se reanudarán por fases, con un plazo objetivo de 34 horas. Los depósitos nunca se detuvieron. Prueba de reservas para el lunes 2 de noviembre y el informe técnico en unas 48 horas.

El mercado. Lo medí ahora en Binance: el BTC pasó de US$ 81.343 al abrir el 29/10 a US$ 77.424, una caída del 4,8%, con un mínimo de US$ 76.326, un 6,2% menos. El ETH cayó un 4,9% y tocó los US$ 2.174; el SOL, un 6,7%; y el token de la propia plataforma, el BNB, un 8,1% el día del ataque. La capitalización total es de US$ 2,60 billones, un 2,85% menos en 24 horas, con una dominancia del BTC del 59,85%. No fue pánico: el volumen de las últimas 24 horas es de US$ 72,4 mil millones. Reuters registró la caída junto con la noticia, así como el retroceso de Coinbase, Strategy y Robinhood en bolsa.

Lo que observo ahora. Dos puntos. La prueba de reservas se hará después de la recompra, así que mostrará que el agujero se cerró, no el tamaño que tenía ese día. Quienes hablan de un servicio interno usan exactamente ese argumento, y Binance solo responderá en el informe técnico. El segundo punto es EIP-7702: es un estándar de la red, no una falla de la plataforma. Cualquier cuenta que delegue permisos queda expuesta de la misma manera, y una cartera caliente es una hot wallet con un nombre elegante. El ataque no tocó ninguna clave privada ni cartera fría, y aun así movió US$ 6,3 mil millones en 20 minutos.

Cambié una cosa en mi rutina: el saldo que dejo en una plataforma de intercambio ahora tiene fecha de caducidad. Si quieres comprobar las cifras del día, toca $BTC aquí en el texto y compáralas con lo que está escrito arriba.