El 30 de octubre de 2026 (hora UTC+8), Binance sufrió un incidente de seguridad grave y muy complejo. Esto no debería haber ocurrido. Pedimos sinceras disculpas por la preocupación, las interrupciones y la incertidumbre que este incidente ha causado a nuestros usuarios, socios y a toda la industria.
Proteger a los usuarios es nuestra responsabilidad primordial. Binance asumirá la totalidad de las pérdidas de los fondos robados en este incidente; los usuarios no tendrán que hacerlo. Hemos reservado fondos por más del 100 % para cubrir las pérdidas causadas por este incidente. Al 31 de octubre de 2026 (hora UTC+8), se había completado la reposición del 98 % de los activos de los tokens afectados, y los usuarios pueden verificarlo en nuestra página de Prueba de Reservas. Estamos comprando los activos restantes, que tienen menor liquidez.
El valor de los activos digitales involucrados en este incidente asciende a aproximadamente 6.340 millones de dólares. A la fecha de esta actualización, aproximadamente 2.850 millones de dólares en activos digitales han sido congelados o interceptados; el monto exacto aún debe verificarse y podría verse afectado por las fluctuaciones del precio de mercado.
Hemos actuado de inmediato para contener el impacto del incidente y reforzar la seguridad de los sistemas implicados. Todos los puntos de intrusión explotados en este ataque han sido bloqueados, y los sistemas afectados por la ruta de ataque han sido reconstruidos o sustituidos. Además, hemos reforzado aún más el control de dispositivos, los sistemas de control de riesgos de los servicios de billetera y la capacidad de detección de anomalías de comportamiento basada en IA.
Este es nuestro informe preliminar de investigación, que abarca la información que hemos reunido hasta la fecha y las mejoras que ya hemos completado. La investigación sigue en curso, y los resultados correspondientes serán sometidos a una revisión independiente adicional. Para evitar que atacantes maliciosos utilicen la información para planear más ataques, algunos detalles técnicos seguirán siendo confidenciales. Estamos invitando a una empresa independiente de seguridad a realizar una revisión adicional.
Según la información más reciente publicada por la Oficina Federal de Investigaciones (FBI), la República Popular Democrática de Corea (RPDC) es responsable de este incidente.
Publicamos este informe porque solo cuando todo el sector aprende en conjunto y comparte experiencias puede seguir mejorando el nivel de seguridad.
Repaso del incidente del 30 de octubre
Este ataque se extendió rápidamente a través de múltiples redes blockchain.
Los atacantes utilizaron acceso no autorizado a un servicio interno de firma de la billetera para iniciar transacciones y eludir el proceso normal de retiro.
Entre las 04:05 y las 04:09 (hora del huso UTC+8), cinco billeteras calientes de Binance transfirieron 233,46 millones de XRP a direcciones controladas por los atacantes.
Las billeteras calientes de Binance en las redes Solana y Optimism transfirieron respectivamente alrededor de 970.500 SOL y 44,2 millones de OP a direcciones controladas por los atacantes.
Posteriormente, Binance recibió alertas internas sobre transferencias de gran importe e inició de inmediato una investigación.
Las billeteras calientes de Binance transfirieron 18.270 BTC a direcciones controladas por los atacantes.
Después, los atacantes utilizaron el servicio de firma para abusar del mecanismo de autorización EIP-7702 de Ethereum. EIP-7702 permite que una cuenta delegue parte de sus permisos de ejecución a un contrato inteligente sin exponer la clave privada. En este incidente, los atacantes utilizaron ese mecanismo para hacer que el contrato inteligente que controlaban obtuviera permisos parciales de ejecución sobre las billeteras calientes afectadas de Binance.
Binance activó de inmediato múltiples medidas de respuesta, entre ellas suspender los retiros para evitar más salidas de fondos, coordinar con socios el congelamiento de los tokens afectados y tomar medidas para revocar los permisos no autorizados. Estas acciones permitieron congelar aproximadamente 2.850 millones de dólares en activos.
Sin embargo, la simple suspensión de los retiros no fue suficiente para impedir todas las transferencias no autorizadas de activos. La autorización maliciosa EIP-7702 ya existía en la cadena y funcionaba de forma independiente de la infraestructura normal de retiros de Binance. Los atacantes enviaron 50 transacciones firmadas para manipular el nonce de la cuenta y establecer una autorización delegada maliciosa. Una vez establecidas esas autorizaciones, los atacantes pudieron eludir la infraestructura normal de retiros de Binance y continuar transfiriendo activos. Binance tuvo entonces que realizar transacciones adicionales en cadena para revocar esas autorizaciones.
La contención del incidente también implicó otras complejidades técnicas. Dado que las billeteras calientes afectadas utilizaban tecnología de computación multipartita (MPC), no existía una única clave privada que pudiera usarse directamente para revocar de inmediato la autorización maliciosa EIP-7702. Por ello, el equipo necesitó tiempo adicional para diseñar y ejecutar por separado un proceso especial de revocación. Además, suspender los retiros y desactivar los servicios de las billeteras calientes no invalida automáticamente las autorizaciones en cadena ya existentes.
Los retos mencionados prolongaron el tiempo necesario para controlar por completo las transferencias no autorizadas de activos. Estamos revisando el proceso de respuesta a incidentes, el alcance de la cobertura de las estrategias de firma y los mecanismos de control de las billeteras calientes, e identificando los aspectos que pueden reforzarse para mejorar nuestra capacidad de respuesta rápida ante futuras amenazas de seguridad.
La última transferencia no autorizada de 2.961,9 ETH se confirmó finalmente en la cadena a las 07:56 (hora del huso UTC+8). Esta transacción ya había sido transmitida a la red y permanecía en estado pendiente de confirmación antes de completarse la confirmación final. Desde entonces, no se han detectado más transferencias no autorizadas.
El 30 de octubre de 2026 a las 08:10 (hora del huso UTC+8), Binance realizó una nueva operación de autorización desde la billetera caliente Binance14 hacia una dirección vacía, eliminando el código delegado EIP-7702.
Proceso de preparación del ataque
Los resultados de la investigación actual muestran que este incidente fue una operación de ataque compleja y multifase, no una intrusión aislada en un solo punto ni un simple ataque de phishing. Los atacantes combinaron múltiples técnicas, entre ellas ataques de ingeniería social mediante falsas entrevistas de trabajo, descargas de software malicioso, intrusión en herramientas internas de IA, compromiso de dispositivos de terminal y métodos avanzados de autorización de transacciones.
Junio de 2026 — Ataque a la cadena de suministro. El ingeniero A del equipo de desarrollo y operaciones de la billetera, para instalar una popular herramienta de programación de IA, buscó y descargó a través de un motor de búsqueda un instalador de Homebrew alterado. Nuestro equipo de seguridad detectó de forma proactiva esta anomalía, reemplazó el dispositivo y rotó todas las credenciales relacionadas. Aun así, la información del puesto del ingeniero A, así como la de sus colegas relevantes del equipo de infraestructura de billeteras, ya había quedado expuesta a los atacantes.
Desde 2026, el equipo de seguridad de Binance ha detectado y bloqueado 57 incidentes de amenazas cibernéticas presuntamente vinculadas a Corea del Norte. Estos ataques reflejan la amenaza continua que representan los actores respaldados por estados para la industria de las criptomonedas. Entre las técnicas utilizadas figuran falsas entrevistas de trabajo, malware disfrazado de herramientas de desarrollo populares, paquetes de software y extensiones de navegador alterados, aplicaciones falsas de videoconferencia y ataques de ingeniería social diseñados para robar credenciales de cuentas o desplegar malware de acceso remoto.
Septiembre — Ataque de ingeniería social. El ingeniero de software B recibió contacto, a través de una plataforma legítima de búsqueda de empleo, de una persona que se hacía pasar por un director de proyecto. En el perfil personal del ingeniero B en esa plataforma se mencionaba su experiencia laboral en Binance. La otra parte organizó, haciéndose pasar por el director de proyecto, una primera ronda de entrevistas en la que participó un representante de recursos humanos; posteriormente, programó una segunda entrevista en la que el entrevistador se presentó como el CEO de esa empresa ficticia.
En la primera ronda de entrevistas, la persona que se hacía pasar por representante de recursos humanos realizó una entrevista por video en tiempo real con el ingeniero B. Para generar confianza, el entrevistador también compartió con el ingeniero B su cuenta en redes sociales, cuyo perfil incluía fotos y videos de su vida personal. Este enfoque fue más complejo y engañoso que los métodos de ingeniería social utilizados anteriormente.
La segunda entrevista se realizó a través de una popular aplicación de chat social. Al acercarse el final de la entrevista, se pidió al ingeniero B que descargara en su ordenador de trabajo una “tarea” que contenía un repositorio de código. Ese repositorio incluía código malicioso que se ejecutaba durante la instalación, desencadenando una serie de acciones no autorizadas.
El malware empleó técnicas sofisticadas de ofuscación de código y evasión de detección, entre ellas sustituir un componente legítimo de una herramienta de desarrollo por una versión maliciosa para ejecutar comandos y establecer comunicación con un servidor externo controlado por los atacantes. En ese momento, las herramientas de protección de seguridad de endpoint no lograron detectar este malware de día cero. Los atacantes también adoptaron medidas como ocultar su comportamiento malicioso y borrar rastros de la intrusión, lo que incrementó aún más la dificultad de detección y de la investigación posterior.
Este script eludió la detección de seguridad mediante técnicas de ofuscación de código y ejecutó las siguientes operaciones:
CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3,414 B
DELETE .../libexec/pyenv (3,344 B) ← eliminar el pyenv válido
RENAME pyenv_ → pyenv (3,414 B) ← reemplazarlo con una versión maliciosa
DELETE /opt/homebrew/bin/pyenv (3,414 B)
ln (crear un nuevo enlace simbólico) + iniciar zsh
20 de octubre — Uso de una herramienta interna de IA como trampolín del ataque. Los atacantes aprovecharon el ordenador comprometido del ingeniero B para controlar, mediante una herramienta interna de IA, los dispositivos del ingeniero A de desarrollo y operaciones de la billetera y de otro ingeniero de software de la billetera, C. Los atacantes descubrieron rápidamente que el ordenador del ingeniero A contenía un token con permisos para desplegar contenedores.
30 de octubre — Compromiso de la operación de firma de la billetera. Entre las 01:15 y las 03:56 del 30 de octubre (hora del huso UTC+8), los atacantes iniciaron sesión en el ordenador del ingeniero de software C, desplegaron un contenedor usando credenciales robadas al ingeniero A y ejecutaron un script malicioso, desencadenando así este ataque.
Medidas que hemos tomado
A fecha de 3 de noviembre de 2026, hemos tomado las siguientes medidas:
Reconstrucción de los sistemas de billetera afectados en un entorno completamente nuevo.
Reconstrucción de la herramienta interna de IA afectada y refuerzo de los controles de acceso relacionados.
Sustitución de los dispositivos afectados.
Desactivación de las credenciales y tokens de los ingenieros afectados.
Finalización de un escaneo de seguridad reforzado de todos los dispositivos de los empleados.
Mejora de la capacidad de detección de anomalías de comportamiento basada en IA.
Fortalecimiento de las medidas de control de riesgos para los servicios de billetera.
Colaboración con las fuerzas del orden, organismos de inteligencia blockchain y socios del sector para rastrear y congelar los activos afectados.
A medida que la investigación continúa, seguiremos reforzando nuestras medidas de seguridad. Algunas de las medidas de seguridad que ya hemos completado y que estamos implementando seguirán siendo confidenciales para evitar que atacantes maliciosos utilicen la información para eludir nuestras defensas.
Próximas acciones
Avanzaremos de inmediato en los siguientes trabajos:
1. Realizar una revisión independiente de ciberseguridad
Estamos invitando a expertos independientes de ciberseguridad de terceros para realizar una revisión exhaustiva de este incidente, verificar nuestros resultados de investigación y formular recomendaciones adicionales de mejora de la seguridad. El alcance de esta revisión y sus resultados servirán de base para continuar impulsando nuestro trabajo de remediación.
2. Ampliar la inversión en seguridad y prevención basadas en IA
Aumentaremos la inversión en áreas como la detección de amenazas impulsada por IA, la protección de endpoints, la seguridad del entorno de desarrollo y la monitorización de anomalías de comportamiento.
3. Establecer un fondo de investigación en seguridad y promover la colaboración sectorial
Estamos colaborando con empresas líderes de IA, participantes de la industria e instituciones de seguridad para preparar el establecimiento de un fondo de investigación en seguridad y poner en marcha una iniciativa específica centrada en la seguridad de la IA en entornos blockchain.
Seguiremos compartiendo de forma proactiva la información más reciente que vayamos obteniendo.