El 29 de octubre de 2026, Binance sufrió un incidente de seguridad grave y altamente sofisticado. Esto no debió haber ocurrido y ofrecemos una disculpa por la preocupación, las interrupciones y la incertidumbre que ocasionó a nuestros usuarios, socios y al sector en general.
Nuestra responsabilidad principal es proteger a los usuarios. Binance asumirá el impacto financiero de los fondos robados, no nuestros usuarios. Ya hemos reservado más del 100% de los fondos necesarios para cubrir las pérdidas. Al 31 de octubre de 2026, se había restituido el 98 % de los activos en tokens afectados, los cuales pueden verificarse en nuestra página de Prueba de Reservas (Proof of Reserves). Actualmente estamos en proceso de adquirir los activos restantes, cuya liquidez es menor.
El incidente afectó aproximadamente USD 6,340 millones en activos digitales. A la fecha de esta actualización, se han congelado o interceptado aproximadamente USD 2,850 millones en activos digitales, sujetos a conciliación y a la volatilidad de los precios del mercado.
Hemos tomado medidas inmediatas para contener el incidente y reforzar los sistemas involucrados. Se cerraron los puntos de acceso identificados como utilizados en el ataque. Los sistemas involucrados en la ruta del ataque se reconstruyeron o reemplazaron. También implementamos controles más estrictos sobre los dispositivos, reforzamos los controles de riesgo de los servicios de billetera y ampliamos la detección de anomalías de comportamiento basada en inteligencia artificial (IA).
Este es nuestro informe inicial. En él presentamos lo que sabemos hasta el momento y las mejoras que ya hemos implementado. La investigación continúa y nuestros hallazgos estarán sujetos a una revisión independiente adicional. Algunos detalles técnicos permanecerán confidenciales para evitar que actores maliciosos puedan utilizarlos para planificar ataques. Estamos colaborando con empresas independientes especializadas en seguridad para realizar una revisión adicional.
La información más reciente publicada por la Oficina Federal de Investigación de Estados Unidos (FBI) indica que la República Popular Democrática de Corea es responsable de este incidente.
Compartimos este informe inicial porque la seguridad mejora cuando la industria aprende y comparte conocimientos de manera conjunta.
Qué ocurrió el 29 de octubre
El ataque se desarrolló rápidamente a través de varias redes.
El atacante aprovechó el acceso no autorizado a un servicio interno de firma de transacciones de billeteras para iniciar operaciones fuera del proceso habitual de retiros.
Entre las 20:05 y las 20:09 UTC, cinco billeteras calientes de Binance enviaron 233.46 millones de XRP a una dirección controlada por el atacante.
Las billeteras calientes de Binance en Solana y Optimism enviaron aproximadamente 970,500 SOL y 44.2 millones de OP a direcciones controladas por el atacante.
Posteriormente, Binance recibió una alerta interna relacionada con transferencias de grandes volúmenes e inició de inmediato una investigación.
Una billetera caliente de Binance envió 18,270 BTC a una dirección controlada por el atacante.
A continuación, el atacante utilizó el servicio de firma para explotar el mecanismo de autorización EIP-7702 de Ethereum. EIP-7702 permite que una cuenta delegue determinados derechos de ejecución a un contrato inteligente sin exponer su clave privada. En este caso, el atacante utilizó este mecanismo para otorgar a un contrato inteligente bajo su control derechos parciales de ejecución sobre una billetera caliente de Binance.
Binance inició de inmediato varias medidas de contención, entre ellas la suspensión de los retiros para limitar nuevas salidas de fondos, la coordinación con socios para congelar los tokens afectados y la implementación de medidas para revocar los permisos no autorizados. Estos esfuerzos permitieron congelar un total de USD 2,850 millones en activos.
Sin embargo, la suspensión de los retiros por sí sola no podía detener todos los movimientos de activos no autorizados. Las autorizaciones maliciosas de EIP-7702 ya existían en la cadena de bloques (on-chain) y operaban de manera independiente de la infraestructura habitual de retiros de Binance.
Los atacantes enviaron 50 transacciones de firma para manipular el nonce de la cuenta y establecer autorizaciones de delegación maliciosas. Una vez establecidas, estas autorizaciones permitieron a los atacantes seguir transfiriendo activos de manera independiente de la infraestructura habitual de retiros de Binance. Por ello, Binance necesitó ejecutar transacciones adicionales para revocar dichas autorizaciones en la cadena de bloques.
El proceso de contención implicó complejidades técnicas adicionales. Debido a que la billetera caliente utilizaba computación multipartita (MPC), no existía una única clave privada que pudiera utilizarse para revocar de inmediato las autorizaciones maliciosas de EIP-7702. Por lo tanto, el equipo desarrolló y ejecutó un procedimiento especializado para revocar estas autorizaciones, lo que requirió tiempo adicional. Asimismo, la suspensión de los retiros y el cierre de los servicios de billeteras calientes no invalidaban automáticamente las autorizaciones existentes en la cadena de bloques.
Estos desafíos prolongaron el tiempo necesario para contener por completo los movimientos de activos no autorizados. Estamos revisando el proceso de respuesta al incidente, la cobertura de las políticas de firma y los controles de las billeteras calientes, además de identificar oportunidades para reforzar nuestra capacidad de responder rápidamente a futuras amenazas.
La última transferencia no autorizada, por un total de 2,961.9 ETH, se confirmó en la cadena de bloques a las 23:56 UTC. La transacción se había transmitido previamente y permaneció pendiente antes de confirmarse. Después de esta operación, no se observaron nuevas transferencias no autorizadas.
A las 00:10 UTC del 30 de octubre de 2026, Binance ejecutó una nueva autorización desde la billetera caliente Binance14 hacia la dirección cero, con lo que eliminó el código de delegación EIP-7702.
Preparación del ataque
Nuestra investigación actual indica que se trató de una campaña sofisticada y de múltiples etapas. No fue una intrusión aislada ni un simple incidente de suplantación de identidad (phishing). Los atacantes combinaron diversas técnicas, entre ellas ingeniería social mediante falsas entrevistas de trabajo, descargas de software malicioso, herramientas internas de IA comprometidas, vulneración de dispositivos y un método avanzado de autorización de transacciones.
Junio de 2026: ataque a la cadena de suministro de software
El ingeniero A, del equipo de DevOps de Billeteras, descargó una instalación modificada de Homebrew para instalar una popular herramienta de programación basada en IA, después de buscarla en un motor de búsqueda.
Nuestro equipo de seguridad detectó la anomalía, reemplazó el dispositivo y renovó todas las credenciales relacionadas como medida preventiva de seguridad. Sin embargo, el puesto del ingeniero A y el de sus colegas relacionados con el equipo de infraestructura de billeteras quedaron expuestos al atacante.
Durante 2026, el equipo de seguridad de Binance detectó y evitó 57 posibles ciberamenazas vinculadas con Corea del Norte. Estos intentos reflejan la amenaza persistente que representan los actores patrocinados por Estados contra la industria de las criptomonedas.
Entre las técnicas utilizadas se encuentran entrevistas de trabajo fraudulentas, software malicioso disfrazado de herramientas populares para desarrolladores, paquetes de software y extensiones de navegador comprometidos, aplicaciones falsas de videoconferencias y campañas de ingeniería social diseñadas para robar credenciales o instalar programas maliciosos de acceso remoto.
Septiembre de 2026: ingeniería social
El ingeniero de software B fue contactado a través de una plataforma legítima de búsqueda de empleo por una persona que se hizo pasar por director de proyectos. El ingeniero B tenía un perfil en dicha plataforma en el que mencionaba su experiencia en Binance.
El supuesto director de proyectos organizó una primera entrevista con un representante de Recursos Humanos, seguida de una segunda entrevista con una persona que afirmó ser el director ejecutivo de una empresa ficticia.
Durante la primera entrevista, el supuesto representante de Recursos Humanos realizó una videollamada en directo con el ingeniero de software B. Para generar confianza, el entrevistador compartió con él una cuenta de redes sociales que incluía fotografías y videos personales publicados en la plataforma. Este método fue más avanzado y engañoso que las técnicas de ingeniería social observadas anteriormente.
La segunda entrevista se realizó a través de una popular aplicación de mensajería social. Hacia el final de la entrevista, se indicó al ingeniero B que descargara en su computadora de trabajo una «prueba técnica» que contenía un repositorio de código malicioso. El repositorio incluía código malicioso que se ejecutó durante el proceso de configuración y puso en marcha una serie de actividades no autorizadas.
El malware empleaba técnicas sofisticadas de ofuscación y evasión, entre ellas la sustitución de un componente legítimo de una herramienta de desarrollo por una versión maliciosa para ejecutar comandos y establecer comunicación con un servidor externo controlado por el atacante.
El malware de día cero (zero-day) no fue detectado en ese momento por las herramientas de protección de seguridad de los dispositivos. El atacante también tomó medidas para ocultar la actividad maliciosa y eliminar rastros de la intrusión, lo que dificultó tanto su detección como la investigación posterior.
El script ejecutó los siguientes pasos mediante técnicas de ofuscación para evadir los mecanismos de detección de seguridad:
text
CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3,414 B
DELETE .../libexec/pyenv (3,344 B)
← eliminar el archivo pyenv legítimo
RENAME pyenv_ → pyenv (3,414 B)
← sustituirlo por una versión maliciosa
DELETE /opt/homebrew/bin/pyenv (3,414 B)
ln (crear un nuevo enlace simbólico) + spawn zsh
20 de octubre de 2026: uso de una herramienta interna de IA como punto de entrada
El atacante aprovechó la computadora comprometida del ingeniero B y utilizó una herramienta interna de IA para obtener el control sobre el ingeniero A, de DevOps de Billeteras, y otro ingeniero de software de Billeteras, identificado como ingeniero C.
Poco después, el atacante descubrió que el ingeniero A tenía en su computadora un token con permisos para implementar contenedores.
29 de octubre de 2026: acceso a las operaciones de firma de billeteras
El 29 de octubre, entre las 17:15 y las 19:56 UTC, el atacante inició sesión en la computadora del ingeniero de software C, utilizó las credenciales robadas al ingeniero A, de DevOps de Billeteras, implementó un contenedor y ejecutó un script malicioso para poner en marcha el ataque.
Medidas que hemos implementado
Al 3 de noviembre de 2026, hemos llevado a cabo las siguientes acciones:
Reconstruimos el sistema de billeteras afectado en un nuevo entorno.
Reconstruimos la herramienta interna de IA afectada y reforzamos sus controles de acceso.
Reemplazamos los dispositivos afectados.
Desactivamos las credenciales y los tokens relacionados con los ingenieros afectados.
Completamos análisis de seguridad reforzados en los dispositivos de todos los empleados.
Mejoramos la detección de anomalías de comportamiento basada en IA.
Reforzamos los controles de riesgo de los servicios de billetera.
Colaboramos con las autoridades, empresas de inteligencia de cadenas de bloques y socios de la industria para rastrear y congelar los activos afectados.
Seguiremos reforzando nuestras medidas a medida que avance la investigación. Hemos implementado y estamos implementando diversas medidas de seguridad que permanecerán confidenciales para evitar que actores maliciosos puedan comprometer nuestros sistemas.
Próximas medidas
Estamos tomando de inmediato las siguientes medidas:
1. Revisión independiente de ciberseguridad
Estamos contratando a expertos independientes en ciberseguridad para que realicen una revisión integral del incidente, validen nuestros hallazgos y recomienden medidas adicionales.
El alcance y los resultados de esta revisión servirán de base para nuestras actividades continuas de corrección y mejora.
2. Mayor inversión en seguridad y prevención mediante IA
Estamos incrementando nuestra inversión en detección basada en inteligencia artificial, protección de dispositivos, seguridad de los entornos de desarrollo y monitoreo de anomalías de comportamiento.
3. Fondo de investigación en seguridad e iniciativas para la industria
Estamos trabajando en la creación de un fondo de investigación en seguridad y en el desarrollo de iniciativas específicas junto con empresas líderes de IA, participantes de la industria y firmas especializadas en seguridad, con un enfoque particular en la seguridad de la IA en entornos de cadenas de bloques.
Seguiremos compartiendo información de manera proactiva a medida que esté disponible.