Binance publicó un informe preliminar de investigación sobre un grave incidente de seguridad ocurrido el 29 de octubre de 2026, en el que indicó que se trató de un ataque muy sofisticado y llevado a cabo en varias etapas.
Binance se disculpa ante sus usuarios, socios y la comunidad cripto por la preocupación y las molestias ocasionadas.
💰 1. Valor de las pérdidas y compensación
Se vieron afectados activos digitales por un valor aproximado de 6,34 mil millones de USD
Se congelaron o bloquearon aproximadamente 2,85 mil millones de USD; la cifra podría cambiar según las auditorías y los precios de mercado
Binance confirmó que cubrirá el valor de las pérdidas, sin que los usuarios tengan que asumirlas
Al 31 de octubre de 2026, ya se había recuperado el 98 % de los activos token afectados, que pueden verificarse en la página de Prueba de Reservas (PoR)
Para los activos restantes, que tienen poca liquidez, Binance está realizando compras adicionales
🔍 2. ¿Cómo se produjo el ataque?
El atacante obtuvo acceso no autorizado al sistema interno utilizado para firmar transacciones de Wallet (servicio de firma de Wallet) y lo usó para transferir activos al margen del proceso habitual de retiro.
Entre los principales activos transferidos se encuentran:
XRP: 233,46 millones de XRP
SOL: aproximadamente 970.500 SOL
OP: aproximadamente 44,2 millones de OP
BTC: 18.270 BTC
ETH: la última transacción, de 2.961,9 ETH, se completó en la blockchain a las 23:56 UTC
Uno de los métodos utilizados por el atacante fue aprovechar el mecanismo EIP-7702 de Ethereum para otorgar ciertos permisos a un contrato inteligente bajo su control, permitiéndole operar con la Wallet objetivo.
El punto clave es que esta autorización se produjo en la blockchain y podía funcionar independientemente del sistema habitual de retiros de Binance.
Por lo tanto, aunque Binance detuvo los retiros, también tuvo que aplicar pasos técnicos adicionales para revocar los permisos maliciosos que ya se habían creado.
Otro desafío era que esta Wallet utilizaba un sistema de computación multipartita (MPC), por lo que no había una única clave privada que pudiera utilizarse para revocar esos permisos de inmediato. El equipo tuvo que desarrollar un procedimiento especial para cancelar dicha autorización.
🕵️ 3. ¿Cómo preparó el atacante el ataque?
La investigación preliminar de Binance reveló que este ataque no fue un hackeo aislado ni un caso común de phishing, sino una operación de varias etapas.
Junio de 2026 – Ataque a la cadena de suministro
Un empleado del equipo de Wallet DevOps descargó un instalador de Homebrew manipulado para instalar una popular herramienta de programación con IA. Aunque el equipo de seguridad detectó la anomalía, sustituyó el dispositivo y cambió las credenciales, parte de la información sobre las funciones de los empleados quedó expuesta al atacante.
Septiembre de 2026 – Ingeniería social
Otro empleado de ingeniería de software recibió un mensaje a través de una plataforma de empleo de alguien que afirmaba ser director de proyectos de una empresa ficticia.
El atacante utilizó una entrevista por videollamada para ganarse su confianza y luego engañó al empleado para que descargara en su computadora de trabajo un archivo de asignación que contenía código malicioso.
Este malware utiliza técnicas para ocultar su identidad y evadir la detección, sustituyendo componentes legítimos del programa por código malicioso para ejecutar comandos y comunicarse con el servidor del atacante.
20 de octubre de 2026 – Uso de una herramienta interna de IA como vía de acceso
El atacante utilizó la computadora ya comprometida junto con una herramienta interna de IA de Binance para ampliar su acceso a otro empleado y descubrir un token con permisos para desplegar contenedores.
29 de octubre de 2026 – Acceso al sistema de firma de transacciones de Wallet
Entre las 17:15 y las 19:56 UTC, el atacante accedió a la computadora de otro ingeniero de software utilizando credenciales robadas para desplegar un contenedor y ejecutar un script malicioso, lo que acabó dando lugar al ataque a Wallet.
Binance también indicó que, en 2026, el equipo de seguridad detectó y bloqueó 57 intentos de ciberataque que se sospecha estaban vinculados a Corea del Norte.
La información más reciente del FBI señala que el grupo responsable de este incidente es la República Popular Democrática de Corea (DPRK).
🛡️ 4. ¿Qué medidas ha tomado Binance?
Al 3 de noviembre de 2026, Binance había tomado varias medidas para cerrar brechas y evitar que se repitiera el robo de activos:
Reconstruir el sistema de Wallet afectado en un nuevo entorno
Reconstruir la herramienta interna de IA y mejorar los controles de acceso
Reemplazar los dispositivos afectados
Revocar las credenciales y los tokens relacionados
Analizar los dispositivos de todos los empleados para verificar su seguridad
Añadir un sistema de IA para detectar comportamientos anómalos
Reforzar los controles de riesgo de Wallet
Colaborar con las fuerzas del orden, empresas de análisis de blockchain y otras partes para rastrear y congelar los activos
🔐 5. Próximos planes de mejora
Binance anunció que seguirá trabajando en otros tres ámbitos clave:
1. Auditoría por expertos externos
Contratar a una empresa independiente de ciberseguridad para auditar el incidente, confirmar los resultados de la investigación y recomendar medidas de protección adicionales.
2. Aumentar la inversión en seguridad de IA
Desarrollar IA para detectar amenazas, mejorar la protección de los dispositivos, la seguridad de los sistemas de desarrollo de software y la supervisión de comportamientos anómalos.
3. Crear un fondo de investigación en seguridad
Colaborar con empresas líderes de IA, participantes de la industria blockchain y empresas de seguridad para promover la investigación y el desarrollo de la seguridad de la IA en sistemas blockchain.
💡 Resumen de los puntos clave
Este incidente demuestra que los riesgos de ciberseguridad en la industria cripto no se limitan al robo de claves privadas o al phishing, sino que también incluyen ataques a empleados, sistemas internos, herramientas de IA y mecanismos de autorización de transacciones en la blockchain.
Los próximos aspectos que conviene seguir son:
Resultados de la auditoría de expertos externos
Recuperación de los activos que aún faltan
Seguimiento y congelación de los activos robados
Mejoras de las medidas de seguridad a largo plazo
Binance indicó que seguirá comunicando las novedades a la comunidad cuando haya información que pueda divulgarse.
⚠️ Aviso: Esta información se ha preparado únicamente con fines educativos e informativos y se basa en informes de Binance. Invertir en criptomonedas conlleva un alto riesgo; los precios de los activos pueden fluctuar drásticamente. Investiga y evalúa los riesgos antes de tomar una decisión de inversión.
#Binance #Binancesecurity #CryptoSecurity #blockchain #SAFU🙏