El hackeo a Binance no rompió la criptografía. Rompió el control
El 29 de octubre de 2026, alrededor de las 20:05 UTC, salieron de las hot wallets de Binance aproximadamente 6.300 millones de dólares en cripto a través de unas diez cadenas. Es el mayor robo de criptomonedas registrado hasta ahora.
Binance ha confirmado que absorberá el 100 % del impacto. Ya reservó más de 6.340 millones de dólares de fondos propios y del fondo SAFU. De esos, 5.000 millones ya están en los mismos activos afectados, y alrededor de 3.000 millones fueron congelados on-chain. Los usuarios no pierden su saldo.
Pero el dato más importante no es el monto. Es cómo ocurrió.
Según la propia investigación de Binance, no hay evidencia de que se hayan filtrado las claves privadas de las billeteras. La investigación inicial apuntó a un laptop de un ingeniero DevOps comprometido, pero posteriormente se identificaron otros puntos de acceso. Lo que sí se confirmó on-chain es que el sistema de firmas de Binance generó firmas válidas que el atacante utilizó.
En Ethereum, el atacante usó EIP-7702, una mejora activada en mayo de 2025 con la actualización Pectra. Esta funcionalidad permite que una cuenta normal delegue temporalmente su ejecución a un contrato inteligente. El atacante obtuvo 50 autorizaciones firmadas con la clave de una hot wallet de Binance, cada una con un nonce consecutivo diferente. Una de ellas coincidió. Tres minutos después, una sola transacción vació cientos de miles de $ETH y más de 1.600 millones de USDT.
EIP-7702 no es el problema. Es un amplificador. Cuando el sistema que genera las firmas se compromete, una herramienta diseñada para mejorar la experiencia de usuario se convierte en un multiplicador de daño. La delegación se mantuvo activa durante horas, y los sistemas automatizados de Binance siguieron enviando depósitos a la misma wallet mientras el atacante los barría. $XRP
Este patrón no es nuevo. TRM Labs y Chainalysis han atribuido el ataque, con alta confianza, a TraderTraitor, la unidad de Lazarus Group especializada en criptomonedas. El mismo grupo fue atribuido por el FBI al hackeo de Bybit en 2025. Meses antes, Bitget sufrió un ataque de naturaleza similar (compromiso del backend de firmas, no de las claves). El monto fue de alrededor de 387 millones, no de 6.300. La diferencia no fue solo de tamaño: fue de arquitectura de control y de capacidad de contención entre las capas hot, warm y cold.
Las cold wallets de Binance no fueron tocadas. El daño se concentró donde el sistema de firmas tiene que operar todos los días para procesar retiros. Ese es el verdadero punto débil: no la criptografía, sino el control operativo que decide qué se firma y cuándo se firma.
Binance ha dicho que espera compartir más hallazgos técnicos y un informe post-mortem. También planea reanudar los retiros de forma gradual y publicar una Proof of Reserves actualizada. Esos datos ayudarán a verificar el respaldo. Pero el mecanismo que hizo posible el ataque es el que seguirá importando meses después.
La lección no es que las exchanges sean inseguras por definición. Es que la seguridad de una plataforma centralizada depende tanto de sus claves en frío como de los controles que protegen el sistema que las usa. Cuando ese sistema se compromete, el tamaño del balance y la velocidad de ejecución se convierten en el mayor riesgo.
Entender ese patrón es más útil que seguir el monto del día.