El 30 de octubre de 2026 (hora UTC+8), Binance sufrió un incidente de seguridad grave y altamente complejo. Esto no debería haber ocurrido. Lamentamos profundamente la preocupación, las interrupciones y la incertidumbre que este incidente ha causado a nuestros usuarios, socios y a todo el sector.
Proteger a nuestros usuarios es nuestra responsabilidad primordial. Binance asumirá la totalidad de las pérdidas de los fondos robados en este incidente, no los usuarios. Hemos reservado fondos por valor de más del 100 % de las pérdidas ocasionadas por este incidente. A 31 de octubre de 2026 (hora UTC+8), se había completado la reposición del 98 % de los activos en tokens afectados. Los usuarios pueden verificarlo en nuestra página de Prueba de Reservas. Estamos comprando los activos restantes, que tienen menor liquidez.
El valor de los activos digitales implicados en este incidente asciende a unos 6.340 millones de dólares. A fecha de esta actualización, se han congelado o interceptado activos digitales por un valor aproximado de 2.850 millones de dólares. El importe exacto aún debe verificarse y puede verse afectado por las fluctuaciones del mercado.
Actuamos de inmediato para contener el impacto del incidente y reforzar la seguridad de los sistemas pertinentes. Se cerraron todos los puntos de entrada aprovechados en este ataque, y los sistemas implicados en la ruta del ataque se reconstruyeron o sustituyeron. Además, reforzamos los controles de los dispositivos y el sistema de gestión de riesgos de los servicios de billeteras, y ampliamos nuestra capacidad de detección de anomalías de comportamiento basada en IA.
Este es nuestro informe preliminar de investigación, que recoge lo que sabemos hasta la fecha y las mejoras que ya hemos implementado. La investigación sigue en curso y sus resultados serán objeto de una revisión independiente adicional. Mantendremos confidenciales algunos detalles técnicos para evitar que los atacantes maliciosos los utilicen para planear nuevos ataques. Estamos invitando a empresas de seguridad independientes a realizar una revisión adicional.
Según la información más reciente publicada por la Oficina Federal de Investigación de Estados Unidos (FBI), la República Popular Democrática de Corea (RPDC) es responsable de este incidente.
Publicamos este informe porque solo podemos seguir mejorando la seguridad si todo el sector aprende y comparte experiencias en conjunto.
Resumen del incidente del 30 de octubre
El ataque se desarrolló rápidamente en varias redes blockchain.
Los atacantes aprovecharon el acceso no autorizado al servicio interno de firma de billeteras para iniciar transacciones saltándose el proceso habitual de retirada.
Entre las 04:05 y las 04:09 (hora UTC+8), cinco billeteras calientes de Binance transfirieron 233,46 millones de XRP a direcciones controladas por los atacantes.
Las billeteras calientes de Binance en las redes Solana y Optimism transfirieron, respectivamente, unos 970.500 SOL y 44,2 millones de OP a direcciones controladas por los atacantes.
Poco después, Binance recibió una alerta interna sobre transferencias de gran volumen e inició una investigación de inmediato.
Las billeteras calientes de Binance transfirieron 18.270 BTC a direcciones controladas por los atacantes.
A continuación, los atacantes utilizaron el servicio de firma para abusar del mecanismo de autorización EIP-7702 de Ethereum. EIP-7702 permite delegar parte de los permisos de ejecución de una cuenta a un contrato inteligente sin revelar la clave privada. En este incidente, los atacantes utilizaron este mecanismo para otorgar a un contrato inteligente bajo su control permisos parciales de ejecución sobre las billeteras calientes afectadas de Binance.
Binance puso en marcha de inmediato varias medidas de control de emergencia, entre ellas suspender las retiradas para impedir nuevas salidas de fondos, coordinarse con sus socios para congelar los tokens afectados y tomar medidas para revocar los permisos no autorizados. Estas acciones permitieron congelar activos por un valor aproximado de 2.850 millones de dólares.
Sin embargo, suspender las retiradas no bastó para detener todas las transferencias de activos no autorizadas. Las autorizaciones EIP-7702 maliciosas ya estaban en la cadena y operaban de forma independiente de la infraestructura habitual de retiradas de Binance. Los atacantes enviaron 50 transacciones firmadas para manipular el nonce de la cuenta (account nonce) y establecer autorizaciones de delegación maliciosas. Una vez establecidas estas autorizaciones, pudieron seguir transfiriendo activos eludiendo la infraestructura habitual de retiradas de Binance. Binance tuvo que realizar transacciones adicionales en la cadena para revocarlas.
La contención del incidente también presentó otras complejidades técnicas. Como las billeteras calientes afectadas utilizan computación multipartita segura (MPC), no había una única clave privada que pudiera utilizarse directamente para revocar de inmediato las autorizaciones EIP-7702 maliciosas. Por ello, el equipo necesitó tiempo adicional para diseñar y ejecutar por separado un procedimiento especial de revocación. Además, suspender las retiradas y cerrar los servicios de billeteras calientes no invalida automáticamente las autorizaciones que ya existen en la cadena.
Estos desafíos prolongaron el tiempo necesario para controlar por completo las transferencias de activos no autorizadas. Estamos revisando el proceso de respuesta a emergencias, el alcance de las políticas de firma y los mecanismos de control de las billeteras calientes, e identificando aspectos que podemos reforzar para mejorar nuestra capacidad de responder con rapidez a futuras amenazas de seguridad.
La última transferencia no autorizada, de 2.961,9 ETH, se confirmó definitivamente en la cadena a las 07:56 (hora UTC+8). La transacción ya se había difundido en la red y permaneció pendiente de confirmación antes de confirmarse definitivamente. Desde entonces, no se han detectado otras transferencias no autorizadas.
El 30 de octubre de 2026 a las 08:10 (hora UTC+8), Binance ejecutó una nueva operación de autorización desde la billetera caliente Binance14 hacia una dirección vacía, eliminando el código de delegación EIP-7702.
Preparativos del ataque
Los resultados de la investigación hasta la fecha indican que este incidente fue una operación de ataque compleja y de varias etapas, no una intrusión aislada ni un simple ataque de phishing. Los atacantes combinaron diversas técnicas, entre ellas ataques de ingeniería social mediante falsas entrevistas de trabajo, descargas de software malicioso, intrusión en herramientas internas de IA, vulneración de dispositivos terminales y métodos avanzados de autorización de transacciones.
Junio de 2026: ataque a la cadena de suministro. Para instalar una popular herramienta de programación con IA, el ingeniero A, del equipo de desarrollo y operaciones de billeteras, buscó en un motor de búsqueda y descargó un instalador de Homebrew manipulado. Nuestro equipo de seguridad detectó proactivamente esta anomalía, sustituyó el dispositivo y rotó todas las credenciales pertinentes. Aun así, la información sobre el puesto del ingeniero A y la de sus compañeros del equipo de infraestructura de billeteras quedó expuesta a los atacantes.
Desde principios de 2026, el equipo de seguridad de Binance ha detectado y prevenido 57 incidentes de amenazas cibernéticas presuntamente vinculados a Corea del Norte. Estos ataques reflejan la amenaza persistente que representan para el sector de las criptomonedas los atacantes respaldados por Estados. Entre las tácticas empleadas se incluyen falsas entrevistas de trabajo, malware disfrazado de herramientas de desarrollo populares, paquetes de software y extensiones de navegador manipulados, aplicaciones falsas de videoconferencia y ataques de ingeniería social destinados a robar credenciales de cuentas o desplegar malware de acceso remoto.
Septiembre: ataque de ingeniería social. El ingeniero de software B recibió un mensaje a través de una plataforma legítima de búsqueda de empleo de una persona que se hacía pasar por director de proyectos. En su perfil de la plataforma, el ingeniero B mencionaba su experiencia laboral en Binance. La otra persona, haciéndose pasar por director de proyectos, organizó una primera entrevista con la participación de un representante de recursos humanos; después, organizó una segunda entrevista con una persona que afirmó ser el director ejecutivo de esa empresa ficticia.
Durante la primera entrevista, la persona que se hacía pasar por representante de recursos humanos realizó una videollamada en directo con el ingeniero B. Para ganarse su confianza, también compartió sus cuentas de redes sociales, donde había fotos y vídeos de su vida personal. Este método fue más complejo y engañoso que las tácticas de ingeniería social utilizadas anteriormente.
La segunda entrevista se realizó a través de una popular aplicación de mensajería social. Cerca del final de la entrevista, se pidió al ingeniero B que descargara en su ordenador de trabajo una «prueba» que contenía un repositorio de código. El repositorio contenía código malicioso que se ejecutó durante la instalación y desencadenó una serie de operaciones no autorizadas.
El malware empleaba técnicas sofisticadas de ofuscación de código y evasión de la detección. Entre ellas, sustituía un componente legítimo de una herramienta de desarrollo por una versión maliciosa para ejecutar comandos y comunicarse con un servidor externo controlado por los atacantes. En ese momento, las herramientas de protección de terminales no detectaron este malware de día cero. Los atacantes también ocultaron las actividades maliciosas y eliminaron rastros de la intrusión, lo que dificultó aún más la detección y la investigación posterior.
El script eludió los controles de seguridad mediante técnicas de ofuscación de código y realizó las siguientes operaciones:
CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3,414 B
DELETE .../libexec/pyenv (3,344 B) ← elimina el pyenv legítimo
RENAME pyenv_ → pyenv (3,414 B) ← lo sustituye por una versión maliciosa
DELETE /opt/homebrew/bin/pyenv (3,414 B)
ln (crea un nuevo enlace simbólico) + inicia zsh
20 de octubre: uso de una herramienta interna de IA como trampolín para el ataque. Los atacantes utilizaron el ordenador vulnerado del ingeniero B y una herramienta interna de IA para tomar el control de los dispositivos del ingeniero A, del equipo de desarrollo y operaciones de billeteras, y del ingeniero de software de billeteras C. Pronto descubrieron que el ordenador del ingeniero A contenía un token con permisos para desplegar contenedores.
30 de octubre: infiltración en las operaciones de firma de billeteras. Entre la 01:15 y las 03:56 del 30 de octubre (hora UTC+8), los atacantes iniciaron sesión en el ordenador del ingeniero de software C, desplegaron un contenedor usando credenciales robadas al ingeniero A y ejecutaron un script malicioso, dando inicio al ataque.
Medidas que hemos adoptado
A fecha del 3 de noviembre de 2026, hemos adoptado las siguientes medidas:
Reconstruir los sistemas de billeteras afectados en un entorno nuevo.
Reconstruir las herramientas internas de IA afectadas y reforzar los controles de acceso pertinentes.
Sustituir los dispositivos afectados.
Revocar las credenciales y los tokens asociados a los ingenieros afectados.
Completar un análisis de seguridad reforzado de los dispositivos de todos los empleados.
Mejorar la capacidad de detección de anomalías de comportamiento basada en IA.
Reforzar las medidas de gestión de riesgos de los servicios de billeteras.
Colaborar con las fuerzas del orden, las empresas de inteligencia blockchain y los socios del sector para rastrear y congelar los activos afectados.
A medida que avance la investigación, seguiremos reforzando nuestras medidas de seguridad. Mantendremos confidenciales algunas de las medidas de seguridad ya completadas y en curso para impedir que los atacantes maliciosos aprovechen esta información para superar nuestras defensas.
Próximos pasos
Llevaremos a cabo de inmediato las siguientes acciones:
Realizar una revisión independiente de ciberseguridad
Estamos invitando a expertos independientes de ciberseguridad externos a realizar una revisión exhaustiva del incidente, verificar los resultados de nuestra investigación y recomendar nuevas mejoras de seguridad. El alcance y los resultados de esta revisión servirán de base para nuestro trabajo continuo de reparación.
Ampliar la inversión en seguridad y prevención de la IA
Aumentaremos la inversión en detección de amenazas basada en IA, protección de terminales, seguridad de entornos de desarrollo y supervisión de anomalías de comportamiento.
Crear un fondo de investigación en seguridad e impulsar la colaboración sectorial
Estamos colaborando con empresas líderes de IA, participantes del sector e instituciones de seguridad para preparar la creación de un fondo de investigación en seguridad y poner en marcha iniciativas especializadas en seguridad de la IA en entornos blockchain.
Seguiremos compartiendo proactivamente la información más reciente de la que dispongamos.