El 29 de octubre, en unos veinte minutos, 6.300 millones de dólares salieron de las billeteras de Binance. El mayor robo de criptomonedas de la historia, más de cuatro veces mayor que el hackeo de Bybit de febrero de 2025.
El punto de entrada, según la propia plataforma de intercambio, fue el ordenador de un ingeniero, infectado tras una falsa entrevista de trabajo.
Dos días después, Binance anunció que había restituido el 98 % de los activos con fondos propios; al día siguiente, reanudó los retiros.
Quédate con ese último dato. Es el más importante y del que menos se habla.
A quien solo tiene un martillo, todo le parece un clavo
Mt. Gox, 2014. QuadrigaCX, 2019. FTX, 2022. Bybit, 2025. Binance, 2026, por mencionar solo los casos más notorios. Problemas distintos, siempre la misma respuesta: la autocustodia, porque, al fin y al cabo, si no tienes tus claves, no tienes tus monedas.
La premisa es técnicamente cierta. Si no tienes la clave privada, no controlas el activo: tienes un derecho de reclamación frente a quien sí la tiene.
La conclusión que suele extraerse de esto no es que la autocustodia sea necesariamente más segura.
Cuando atacan una plataforma de intercambio, el mundo entero se entera. Hay miles de millones en juego, un comunicado oficial y cobertura internacional.
Cuando una persona pierde todo, casi nadie se entera. Incluso si la pérdida queda registrada en la cadena y es totalmente pública, ¿quién del público en general sigue las investigaciones sobre la cadena de bloques? El público en general sigue la prensa.
Muchas de estas víctimas ni siquiera presentan una denuncia policial, por vergüenza o incredulidad.
De este lado, el de los investigadores, la escena es familiar: la víctima aparece con hashes de transacciones y la esperanza de que alguien «congele los bitcoins».
Y, a menos que se alineen los planetas (una víctima que denuncia rápido y con claridad, un funcionario público competente, fondos que acaban en una plataforma de intercambio o en tokens que se puedan congelar), el desenlace es terrible.
Los ataques a las grandes plataformas de intercambio no son los más frecuentes. Simplemente son los que todo el mundo ve.
Entregar la frase semilla. El 10 de enero de 2026, un inversor leyó en voz alta la frase semilla de su billetera física a un estafador que se hizo pasar por el servicio de asistencia de Trezor. Perdió 1.459 BTC y 2,05 millones de LTC, más de 282 millones de dólares. El dispositivo funcionó a la perfección. Su dueño, no.
Filtración de la frase semilla. Una foto en el teléfono, una nota en la nube, un correo electrónico que te enviaste a ti mismo. Nadie pidió las palabras: simplemente se filtraron.
Suplantación mediante firmas. Firmas un mensaje fuera de la cadena que autoriza a terceros a mover tus tokens, y estos pueden llevárselos cuando el atacante quiera. Imagina un cheque en blanco firmado, olvidado en el cajón de un desconocido. Solo en enero de 2026, eso sumó 6,3 millones de dólares.
La ironía: el hackeo de Binance también se llevó a cabo mediante firmas. Engañaron al sistema de la plataforma para que firmara 50 autorizaciones de una sola vez, y bastó una para entregarle al atacante una billetera de la que sustrajo 2.200 millones de dólares en una sola transacción.
Ataque con llave inglesa. El nombre viene de la llave inglesa. Ninguna criptografía resiste una amenaza física contra ti o tu familia. En el primer semestre de 2026, CertiK contabilizó 52 casos, por un total de 124 millones de dólares; 33 solo en Francia.
Envenenamiento de direcciones. El estafador introduce en tu historial una dirección casi idéntica a una legítima. En tu siguiente transferencia, copias la equivocada. Un solo caso, en enero, costó 12,25 millones de dólares.
Fallo del dispositivo. El 29 de julio, a usuarios de ColdCard que nunca habían conectado su dispositivo a internet les vaciaron los fondos debido a un fallo de aleatoriedad en la generación de claves. Más de mil bitcoins. Analicé el caso en «Si no tienes tus claves, no tienes tus monedas: pero ¿sabes cómo se generan tus claves?»
Fíjate: en cada caso, la víctima confió en algo. En el servicio de asistencia, la nube, el sitio web, su propio criterio, el historial de transacciones, el firmware. Y, en todos los casos, confió en su propia capacidad.
¿Autocustodia o plataforma de intercambio? El falso dilema
Toda forma de custodia conlleva riesgos. Quien deja sus activos en una plataforma de intercambio confía en su gestión y solvencia. Quien los custodia por su cuenta confía en sí mismo, en el dispositivo, en el software y en quienes saben que posee bitcoins. El problema es reconocer lo primero e ignorar lo segundo.
No hay ninguna opción sin confianza. Existe la confianza consciente y la confianza ignorada. Y el riesgo más costoso es el que no ves.
Nadie debería guardar todo su patrimonio debajo del colchón, ni tenerlo todo en un solo banco.
Con los criptoactivos, la lógica debería ser la misma: una parte en una plataforma de intercambio sólida (o en tres), otra en autocustodia bien hecha y otra en ETF; por ejemplo, un 30 %, un 40 % y un 30 %.
La distribución depende de tus conocimientos, tu perfil y tus objetivos. Esa responsabilidad no se puede delegar. Perdona las malas noticias, pero mejor ahora que más adelante.
El día después de mañana
La responsabilidad reduce los riesgos, pero no los elimina. Así que no preguntes solo «¿qué opción es la más segura para mí?», sino también «¿qué me pasaría después de un ataque?»
En la autocustodia, no hay nadie a quien llamar. Enseguida empezaron a convertir en Monero los 282 millones de dólares robados en enero (BTC, BTC, LTC). Los congelamientos se producen cuando el dinero llega a un emisor de monedas estables o a una plataforma de intercambio. La recuperación total es la excepción.
En una plataforma de intercambio, hay una contraparte. Bybit restableció el respaldo de los activos de sus clientes en tres días. Bitget cubrió los 388 millones de dólares sustraídos en septiembre con su fondo de protección.
Binance asumió el 100 % de la pérdida y ya ha restituido el 98 %, algo que se puede verificar en su prueba de reservas.
Una contraparte, por supuesto, solo vale algo si es solvente. Y no siempre te devuelve exactamente lo que tenías.
Los acreedores de Mt. Gox esperaron una década y recuperaron apenas alrededor del 15 % de los bitcoins que «tenían». Sin embargo, gracias a la revalorización durante ese período, esa fracción valía muchas veces más que todo su saldo de 2014.
Los acreedores de FTX recibieron dinero en efectivo, no los criptoactivos que figuraban en sus saldos: alrededor del 120 % de su valor cuando la plataforma colapsó, en noviembre de 2022, con el bitcoin cerca de los 16.000 dólares. Más de lo que valían entonces; mucho menos de lo que valdrían hoy.
De ahí la importancia, en Brasil, de las Resoluciones 519, 520 y 521 del Banco Central (BCB), de 2025.
Para los inversores, lo que más importa no es que la plataforma responda ante el Banco Central, sino los requisitos que debe cumplir: los activos de los clientes separados de los de la empresa, en billeteras distintas, con pruebas de reservas y auditorías independientes, y sin poder utilizarse en las operaciones propias de la empresa
En resumen
Si no tienes tus claves, no tienes tus monedas es una máxima sobre el control, no sobre la seguridad.
Quien retira todo su patrimonio de las plataformas de intercambio no deja de confiar. Simplemente deposita esa confianza en otra parte, casi siempre en sí mismo, sin preguntarse jamás si se la merece.
La custodia no consiste en elegir en quién no confiar. Consiste en elegir, conscientemente, en quién confiar, qué