Binance ha sufrido el mayor robo de criptomonedas jamás registrado: unos 6.300 millones de dólares salieron de sus wallets la noche del 29 de octubre. Lo inquietante es tanto la cifra, como el método. Los atacantes, a los que las firmas de análisis blockchain sitúan en Corea del Norte, lograron algo más eficaz que descifrar una clave privada: que los propios sistemas de Binance firmaran por ellos.
¿Qué ha pasado en Binance?
Binance, la mayor plataforma de intercambio de criptomonedas del mundo con más de 300 millones de usuarios, confirmó en la madrugada del 29 -30 de octubre un incidente de seguridad que afecta a unos 6.300 millones de dólares en activos de clientes. La compañía suspendió depósitos y retiradas, prometió cubrir todas las pérdidas y ha reservado 6.340 millones para hacerlo.
Los emisores de stablecoins y otros socios han congelado en torno a 3.000 millones. El resto sigue en manos del atacante, sobre todo en ether y bitcoin. Según los análisis on-chain, la mayor parte de los fondos salió en unos 20 minutos y desde diez blockchains distintas.
La cifra multiplica por cuatro el anterior récord: los 1.500 millones robados a Bybit en febrero de 2025, que el FBI atribuyó a Corea del Norte. Binance prevé reabrir las retiradas en unas 48 horas, cuando termine de rehacer la seguridad de ese servicio.
¿Qué pasa ahora con el dinero de los usuarios de Binance?
Binance ha prometido que sus clientes no asumirán las pérdidas del hackeo: las cubrirá con su fondo de emergencia SAFU y con recursos propios, y ha reservado 6.340 millones de dólares para hacerlo. Mientras tanto, depósitos y retiradas siguen suspendidos, y la plataforma calcula reabrirlas en unas 48 horas, cuando termine de rehacer la seguridad de ese servicio. Además, publicará una prueba de reservas actualizada cuando cierre la incidencia. Ojo estos días: la propia Binance ha alertado de estafas, y un robo de este tamaño es el caldo de cultivo perfecto para falsos soportes técnicos y webs de «recuperación de fondos». Ninguna plataforma legítima pide claves, códigos ni transferencias para devolverte tu dinero. Para quien opera desde la UE hay un matiz más: Binance no figura en el registro de la ESMA, así que esa compensación depende de su palabra, no de una obligación legal.
¿Cómo se hackeó Binance? Del portátil de un ingeniero a la hot wallet
La investigación preliminar de Binance apunta a un punto de entrada muy poco cinematográfico: el portátil comprometido de un ingeniero de DevOps. Desde ahí, el atacante llegó a un contenedor de servicios y envió órdenes de retirada que la plataforma nunca autorizó. Binance asegura que no hay indicios de que se filtrara ninguna clave privada.
Ese matiz lo cambia todo. Una hot wallet es la cartera que el exchange mantiene conectada para atender retiradas al momento, y su seguridad depende de quién puede pedirle que firme. Según el análisis on-chain recogido por The Hacker News, el atacante preparó el golpe al menos 36 horas antes y ejecutó de golpe un lote de autorizaciones firmadas de antemano por la propia wallet de Binance.
El co-CEO de Binance, Richard Teng, ha precisado que no bastó con los permisos de un solo ingeniero ni fue cosa de un clic, sino un ataque complejo. La compañía ha encontrado ya otros puntos de intrusión además del portátil y publicará un análisis técnico completo cuando cierre la investigación, según Euronews.
Corea del Norte y Lazarus: el sospechoso habitual y su puerta de entrada favorita
Nos toca volver a hablar de espías, y es que las firmas de análisis blockchain atribuyen el ataque, con alta confianza, a TraderTraitor, una unidad vinculada al grupo Lazarus y al régimen de Pyongyang. Es la misma a la que el FBI señaló por el robo a Bybit. Conviene ir con cautela: ni Binance ni ningún gobierno han confirmado la autoría, y algunos analistas advierten de que el blanqueo no sigue del todo los patrones habituales del grupo.
Lo que sí está documentado es cómo suelen entrar. En agosto de 2025, el jefe de seguridad de Binance explicó a Decrypt que la plataforma recibe cada día currículums falsos de presuntos agentes norcoreanos, que llegan a las entrevistas con deepfakes y cambiadores de voz. Añadió que casi todos los grandes hackeos atribuidos a Corea del Norte han contado con un falso empleado. La otra vía es la oferta de trabajo falsa: una entrevista, un supuesto fallo de vídeo y un enlace para «actualizar» la aplicación que infecta el equipo.
Los analistas apuntan a que este ataque pudo empezar igual, con una prueba técnica o un proyecto falso que llevó a un empleado a ejecutar malware, como ya ocurrió en DMM Bitcoin y Bybit. Si se confirma la autoría, no hablamos de ciberdelincuencia oportunista: Pyongyang usa estos robos para financiar su economía y su programa nuclear bajo sanciones de la ONU. Es una operación de Estado, con paciencia, presupuesto y método.
Binance y MiCA: la diferencia entre una promesa y un derecho
En julio contábamos aquí que Binance había dejado de poder dar servicio en la Unión Europea por no tener licencia MiCA, y que sin licencia lo que se pierde no es el acceso, es la protección. Este hackeo pone esa frase a prueba. Binance sigue fuera del registro de proveedores autorizados de la ESMA, y la AMF francesa dio de baja de oficio a su filial en Francia el 2 de julio.
Binance ha prometido cubrir todas las pérdidas y ha reservado fondos para hacerlo, algo que hay que reconocerle. Pero fuera de MiCA esa cobertura es una decisión de la empresa; dentro, es una obligación. El artículo 75 del reglamento hace responsables a los custodios ante sus clientes por la pérdida de criptoactivos en incidentes que les sean imputables, hasta el valor de mercado de lo perdido. También les exige una política de custodia que minimice el riesgo por fraude, ciberamenazas o negligencia, y detallar en el contrato el sistema de autenticación del cliente.
Que nadie lo lea al revés: ninguna licencia frena a un actor estatal. Lo que cambia es quién responde cuando ocurre y qué estándar de seguridad se exige antes. Para quien todavía tenga saldo en Binance desde la UE, la diferencia entre una promesa y un derecho acaba de dejar de ser teórica.
La lección del hackeo a Binance: la identidad es el nuevo perímetro
El caso deja una idea incómoda para todo el sector: se puede blindar la criptografía y aun así perderlo todo si no se blinda la identidad de quien opera. Esa identidad se juega en tres momentos.
- Quién entra. Si el atacante llega como candidato con un deepfake en la entrevista, o como reclutador con una oferta irresistible, verificar que la persona al otro lado de la cámara es real y es quien dice ser deja de ser un trámite de selección y pasa a ser un control de seguridad.
- Quién firma. Una retirada millonaria no debería depender solo de que un sistema confíe en otro. Autenticar a la persona en cada operación crítica y vigilar su comportamiento de forma continua en los accesos privilegiados es lo que puede convertir un portátil comprometido en una alarma y no en un robo.
- Quién cobra. 6.300 millones no se gastan solos: el botín necesita salidas, y el KYC y la detección de cuentas mula en los exchanges de destino son su cuello de botella. La congelación de unos 3.000 millones por parte de emisores de stablecoins demuestra que el compliance no solo previene, también contiene.
No basta con verificar la identidad del cliente, hay que verificar a todo aquel que puede mover su dinero, quién puede firmar por ti e incluso se nos empieza a colar en la conversación el reto pendiente de acreditar en nombre de quién actúan los agentes de IA.
