Todo sobre el hackeo a Binance, el mayor robo de criptomonedas de la historia con pérdidas de US$6.300 millones
La operación obligó a suspender retiros, movilizó a emisores de stablecoins como Tether y Circle para congelar activos y puso en marcha una investigación internacional con participación del FBI y el Servicio Secreto estadounidense. El impacto sobre el Bitcoin, las hipótesis sobre cómo se realizó el golpe y las consecuencias a futuro.
El ecosistema de las criptomonedas acaba de recibir uno de los golpes más importantes de su historia. Binance, la mayor plataforma de intercambio de activos digitales del mundo, confirmó que fue víctima de un ataque informático que provocó pérdidas estimadas en US$6.300 millones. La cifra no solo convierte al incidente en el mayor robo de criptomonedas registrado hasta ahora, sino que lo coloca entre los mayores desfalcos financieros conocidos, independientemente de la tecnología utilizada.
La magnitud del ataque obligó a activar una respuesta de emergencia que involucró a la propia Binance, empresas de análisis forense de blockchain, emisores de monedas estables y organismos de seguridad de Estados Unidos. Mientras los investigadores intentaban reconstruir el recorrido de los fondos sustraídos, Binance suspendió temporalmente los retiros en distintas redes y sus socios comenzaron a bloquear activos vinculados con la operación.
El episodio también dejó al descubierto una contradicción central del negocio cripto: aunque estas plataformas promueven una arquitectura financiera descentralizada, buena parte de su funcionamiento depende de grandes intermediarios, custodios y proveedores capaces de tomar decisiones centralizadas cuando se produce una crisis.
Un ataque que comenzó en las billeteras calientes
Fundada en 2017 por Changpeng Zhao, conocido como CZ, Binance se convirtió en el principal centro de operaciones del mercado global de criptomonedas. Su plataforma reúne a más de 300 millones de usuarios e instituciones que negocian activos como Bitcoin, Ethereum y stablecoins vinculadas al dólar. Su volumen de operaciones y su liquidez tienen una influencia considerable sobre el conjunto del mercado.
Precisamente por esa escala, el ataque tuvo consecuencias que trascendieron a la compañía. Los primeros indicios del incidente aparecieron cuando usuarios y observadores del mercado detectaron movimientos anormales de fondos desde las billeteras de Binance. La plataforma reconoció que estaba investigando un posible problema de seguridad y posteriormente confirmó que había sufrido un incidente que afectó sus reservas.
El punto de entrada del ataque estuvo en las denominadas hot wallets o billeteras calientes. Se trata de sistemas de almacenamiento de criptomonedas conectados a Internet, diseñados para facilitar las operaciones cotidianas de depósitos, retiros y transferencias.
Su principal ventaja es también su mayor vulnerabilidad: al permanecer conectadas a las redes, permiten mover activos con rapidez, pero están más expuestas a ataques informáticos que las billeteras frías, que mantienen las claves privadas fuera de línea.
Los análisis iniciales de blockchain mostraron un panorama que fue cambiando a medida que avanzaban las investigaciones. Las primeras estimaciones hablaban de unos US$3.520 millones comprometidos. Posteriormente, distintas firmas de análisis forense identificaron flujos sospechosos que elevaban el monto a entre US$5.500 millones y US$6.000 millones, distribuidos a través de varias redes blockchain.
Finalmente, Binance situó el impacto total estimado en alrededor de US$6.300 millones.
La diferencia entre las primeras cifras y la estimación final refleja una dificultad habitual en los grandes robos de criptomonedas: el dinero no desaparece en una única transferencia ni necesariamente permanece en una sola red. Los atacantes pueden dividir los fondos, trasladarlos entre diferentes blockchains y utilizar múltiples direcciones para dificultar su seguimiento y eventual recuperación.
Por eso, el análisis de las transacciones en la cadena de bloques se convirtió en una pieza central de la respuesta. A diferencia de las transferencias bancarias tradicionales, los movimientos de criptomonedas quedan registrados públicamente, aunque identificar quién controla cada dirección y conseguir que los activos sean inmovilizados constituye un desafío diferente.
La puerta de entrada: una computadora comprometida
Uno de los aspectos más inquietantes del incidente es que, según la investigación preliminar de Binance, el ataque podría haber comenzado con un dispositivo aparentemente mucho menos sofisticado que la infraestructura financiera afectada: la computadora portátil de un ingeniero de DevOps.
DevOps es el conjunto de prácticas y herramientas que permite integrar el desarrollo de software con las operaciones tecnológicas de una organización. Los profesionales de esta área suelen tener acceso privilegiado a sistemas críticos, entornos de producción y procesos automatizados. Por eso, comprometer el dispositivo de uno de ellos puede abrir una puerta hacia recursos mucho más sensibles.
Binance explicó que la computadora comprometida habría permitido al atacante acceder a un contenedor de servicio y enviar transacciones de retiro no autorizadas. La compañía aseguró que, hasta el momento, no había encontrado evidencias de que las claves privadas de sus billeteras hubieran sido filtradas.
Esta distinción es importante. No necesariamente se trató de un robo convencional de credenciales o de la extracción directa de las claves criptográficas que permiten controlar los fondos. La hipótesis apunta a que los atacantes habrían conseguido utilizar mecanismos legítimos de operación para ejecutar instrucciones fraudulentas.
Una de las posibilidades es que los delincuentes hayan abusado de una función que permite delegar la ejecución de determinadas operaciones de una billetera a un contrato inteligente. Mediante una secuencia de autorizaciones firmadas, habrían conseguido activar un contrato no verificado capaz de transferir automáticamente grandes cantidades de activos.
La reconstrucción técnica elaborada por diversos medios describe una secuencia de aproximadamente 50 autorizaciones firmadas y el uso de un contrato de barrido (sweeper contract), que habría extraído millones de dólares en USDT, Ethereum y otras criptomonedas en cuestión de minutos.
La operación se habría concentrado en dos billeteras calientes identificadas como Binance 14 y Binance 16. Firmas especializadas como Blockaid, Arkham y Unchained detectaron movimientos anormales y transferencias de una frecuencia extraordinaria desde esas direcciones. El grueso del robo se habría ejecutado en aproximadamente 20 minutos.
La velocidad fue determinante. En un sistema financiero tradicional, una transferencia de semejante magnitud podría activar controles adicionales, procedimientos de verificación y mecanismos de reversión. En una blockchain, una vez confirmada una operación, revertirla no es una posibilidad ordinaria. Los investigadores pueden seguir los fondos, pero necesitan la colaboración de intermediarios o mecanismos específicos para impedir que los activos sean utilizados.
Tether, Circle y Ripple: la paradoja de congelar una moneda descentralizada
La respuesta más significativa al ataque no provino exclusivamente de Binance. La emergencia puso en primer plano el poder que tienen los emisores de stablecoins para intervenir sobre activos que circulan en redes blockchain.
Las stablecoins son criptomonedas diseñadas para mantener una cotización estable, generalmente vinculada al dólar estadounidense. Se utilizan para transferencias, operaciones comerciales, resguardo de valor y negociación dentro de los mercados digitales. USDT, emitida por Tether, y USDC, de Circle, se encuentran entre las más utilizadas.
A diferencia de Bitcoin, estas monedas incorporan mecanismos de control que permiten a sus emisores bloquear determinadas direcciones o impedir que ciertos tokens puedan transferirse.
Esa característica resultó decisiva para contener el ataque. Según Reuters, Tether congeló aproximadamente US$1.570 millones en activos relacionados con el incidente, mientras que Circle bloqueó más de US$800 millones. Ripple también intervino y congeló alrededor de US$200 millones en fondos vinculados con el robo.
World Liberty Financial, por su parte, informó que trabajó con el custodio BitGo para inmovilizar activos. Binance también comunicó que se habían bloqueado fondos adicionales, incluidos unos US$27 millones en stablecoins y aproximadamente US$2 millones en tokens de World Liberty.
En conjunto, las estimaciones de los activos localizados y congelados se situaban entre US$2.500 millones y US$3.000 millones. Binance informó que había conseguido congelar alrededor de US$3.000 millones mediante la colaboración con sus socios del ecosistema.
La dimensión de esta respuesta merece atención. Una parte sustancial del dinero robado pudo ser inmovilizada no porque la blockchain permitiera cancelar las transacciones originales, sino porque determinadas empresas privadas tenían capacidad técnica para impedir que los tokens continuaran circulando.
Es una de las grandes contradicciones del modelo cripto. Las stablecoins funcionan sobre redes descentralizadas, pero su emisión y administración dependen de organizaciones que conservan facultades de intervención. En una situación de emergencia, esa centralización se convierte en una herramienta de seguridad.
También introduce preguntas sobre el alcance del poder de esas compañías. Si pueden congelar fondos identificados como robados, también pueden intervenir sobre activos de usuarios y organizaciones por decisiones regulatorias, judiciales o de cumplimiento normativo. La misma capacidad que permite responder a un delito plantea interrogantes sobre quién controla el dinero digital y bajo qué condiciones.
La reacción alcanzó incluso al ecosistema de las finanzas descentralizadas (DeFi). Plataformas como Aave suspendieron determinadas operaciones de préstamo para impedir que los atacantes utilizaran los activos sustraídos como garantía y obtuvieran a cambio Ethereum u otros tokens que no podían ser congelados directamente.
Una pista norcoreana y la intervención del FBI
La investigación también adquirió una dimensión geopolítica. Distintas firmas especializadas en inteligencia blockchain atribuyeron el ataque a grupos vinculados con Corea del Norte. TRM Labs y Chainalysis señalaron que existía una alta confianza en esa hipótesis, mientras que la firma británica Elliptic también consideró que el régimen norcoreano estaría detrás de la operación.
TRM Labs vinculó el incidente con una unidad de élite de ciberdelincuencia norcoreana. La metodología detectada presenta similitudes con ataques anteriores contra plataformas de intercambio, particularmente el robo sufrido por Bybit en 2025, que el FBI atribuyó a Corea del Norte.
El interés de Pyongyang por los activos digitales no es nuevo. Durante años, organismos estadounidenses y surcoreanos, junto con especialistas en ciberseguridad, han denunciado que unidades informáticas vinculadas al Estado norcoreano participan en operaciones de espionaje, sabotaje y robo de criptomonedas para obtener recursos financieros.
Sin embargo, la atribución todavía no constituye una conclusión oficial de la investigación. Binance indicó que su propia pesquisa no había identificado a un responsable individual y que continuaba reconstruyendo la secuencia del ataque.
La dimensión del caso llevó a que organismos de seguridad estadounidenses se involucraran en la investigación. El FBI y el Servicio Secreto de Estados Unidos estaban trabajando con Binance, dentro de una colaboración que también incluye a autoridades de otros países.
La participación de ambas agencias refleja que el incidente dejó de ser un problema exclusivamente corporativo. El robo de miles de millones de dólares, las posibles conexiones con organizaciones estatales y la circulación internacional de los fondos convierten la investigación en un asunto de seguridad financiera y ciberseguridad internacional.
Por el momento, no se habían difundido públicamente detalles sobre las líneas específicas de investigación ni sobre eventuales detenciones.
Binance promete cubrir todas las pérdidas
En medio de la crisis, Binance intentó transmitir un mensaje de tranquilidad a sus clientes: los fondos de los usuarios no estarían comprometidos y la compañía asumiría cualquier pérdida que no pudiera recuperarse.
El compromiso es particularmente relevante porque el monto estimado del robo supera ampliamente el tamaño del fondo de protección SAFU (Secure Asset Fund for Users), creado por Binance para responder ante situaciones extraordinarias y proteger los activos de sus clientes.
Ese fondo cuenta con aproximadamente US$1.000 millones en bitcoin. Sin embargo, Reuters informó que Binance había reservado internamente unos US$6.340 millones de fondos propios para cubrir las pérdidas derivadas del incidente.
La compañía no detalló públicamente el origen de esos recursos ni cómo se distribuirían las compensaciones. Su fundador, Changpeng Zhao, también señaló que Binance tenía participaciones en SpaceX valoradas en más de US$1.000 millones, aunque ese dato no constituye por sí mismo una explicación sobre la composición de la reserva destinada a afrontar el ataque.
El compromiso financiero busca evitar que el incidente se transforme en una crisis de solvencia o desencadene una retirada masiva de fondos.
La dimensión del problema puede comprenderse mejor al observar el tamaño de la plataforma. Binance tenía 335 millones de usuarios registrados en todo el mundo y mantenía aproximadamente US$162.800 millones en activos bajo custodia, según su informe anual de 2025.
En ese contexto, los US$6.300 millones representan una pérdida extraordinaria, pero también un desafío para la credibilidad de una empresa cuya actividad depende de que millones de personas confíen en que sus activos estarán disponibles cuando quieran retirarlos.
Binance anunció que esperaba restablecer los servicios de retiro dentro de las siguientes 48 horas. También anticipó que publicaría una actualización de su Prueba de Reservas una vez finalizadas las tareas de remediación.
La Prueba de Reservas es un mecanismo utilizado por los exchanges para ofrecer evidencia sobre los activos que mantienen bajo custodia y su capacidad para respaldar los saldos de sus clientes. Su actualización será una de las instancias más relevantes para evaluar cómo quedó la posición financiera de la plataforma después del ataque.
El mercado reaccionó antes de conocer todas las respuestas
La noticia tuvo un impacto inmediato sobre los precios de las criptomonedas. La preocupación no se limitó a los activos que habían sido sustraídos, sino que se extendió a la seguridad de los fondos depositados en los exchanges centralizados.
Bitcoin llegó a caer hasta los US$76.368, su nivel más bajo en seis semanas, mientras que Ethereum perdió más del 3% y tocó los US$2.178, un mínimo de dos meses. El token BNB, vinculado al ecosistema de Binance, registró una caída del 5,3%, hasta los US$699,54, según datos de CoinGecko citados por Reuters.
Durante las primeras horas posteriores al ataque, el bitcoin había caído por debajo de los US$80.000 y se habían registrado más de US$1.000 millones en liquidaciones.
El movimiento refleja un fenómeno habitual en los mercados digitales: cuando se compromete la seguridad de una plataforma de gran tamaño, los inversores no necesariamente esperan a conocer el alcance definitivo de las pérdidas para reducir su exposición.
El temor también alcanza a otros exchanges centralizados. Si una de las plataformas con mayor infraestructura, liquidez y capacidad de inversión en seguridad puede sufrir un ataque de esta magnitud, los participantes del mercado tienen motivos para revisar los riesgos asociados a mantener sus activos bajo custodia de terceros.
Tim Sun, investigador sénior de HashKey Group, señaló a Reuters que el incidente podría reducir el apetito por el riesgo y llevar a los inversores a reconsiderar la seguridad de los activos depositados en exchanges centralizados.
El impacto sobre el sector dependerá, entre otros factores, de cuánto dinero pueda recuperarse, qué contrapartes resulten afectadas y si el episodio genera nuevas interrupciones o una pérdida más amplia de confianza, advirtió Cristiano Ventricelli, vicepresidente de activos digitales de Moody's Ratings.
El antecedente inmediato es el ataque a Bybit, ocurrido en febrero de 2025, cuando fueron robados aproximadamente US$1.500 millones en criptomonedas. El FBI atribuyó aquella operación a Corea del Norte. El caso Binance supera ampliamente ese récord y vuelve a poner bajo presión los mecanismos de protección de las principales plataformas.
La seguridad del ecosistema cripto vuelve a quedar bajo examen
El robo a Binance no es solamente una historia sobre la capacidad de un grupo de atacantes para vulnerar una infraestructura tecnológica. Es también una prueba de estrés para el modelo de negocios de los grandes exchanges y para las promesas de seguridad sobre las que se construyó buena parte de la industria de los activos digitales.
La blockchain ofrece transparencia sobre las transacciones, pero esa característica no garantiza que los sistemas que interactúan con ella sean seguros. El registro distribuido puede conservar de manera inalterable cada movimiento, pero no impide que una persona no autorizada consiga utilizar los mecanismos operativos de una plataforma para ordenar transferencias fraudulentas.
El incidente también demuestra que la seguridad no depende exclusivamente de proteger las claves privadas. Los dispositivos de los empleados, los accesos privilegiados, los entornos de desarrollo, los contenedores de servicios y los procesos automatizados forman parte de una superficie de ataque que puede resultar tan crítica como la propia infraestructura de custodia.
Si se confirma la hipótesis de la computadora comprometida de un ingeniero, el caso dejará una advertencia para toda la industria financiera: una organización puede invertir miles de millones en infraestructura, almacenamiento y controles criptográficos, pero seguir expuesta si no consigue proteger adecuadamente los accesos internos y las operaciones que conectan sus sistemas.
Para los exchanges, el desafío será demostrar que pueden ofrecer algo más que liquidez, variedad de activos y velocidad de ejecución. Necesitan acreditar que cuentan con mecanismos de control capaces de detectar comportamientos anómalos antes de que se conviertan en pérdidas multimillonarias.
Para los reguladores, el episodio vuelve a poner sobre la mesa la necesidad de establecer estándares más exigentes de gestión de riesgos, custodia, segregación de activos, auditoría y respuesta ante incidentes. La participación de autoridades internacionales y emisores de stablecoins muestra que la protección de los usuarios ya no puede analizarse como una responsabilidad aislada de cada plataforma.
Y para los inversores, el mensaje es todavía más directo: tener criptomonedas en un exchange no equivale a controlar directamente esas criptomonedas. Mientras permanezcan bajo la custodia de una plataforma, su disponibilidad depende también de la seguridad, la solvencia y la capacidad operativa de esa organización.
El mayor robo de la historia cripto deja así una paradoja difícil de ignorar. Una industria que nació cuestionando la dependencia de los intermediarios financieros terminó necesitando la intervención coordinada de algunos de los mayores intermediarios del sector para intentar recuperar miles de millones de dólares.
La pregunta que queda abierta es mucho más importante que el destino de los US$6.300 millones: si una plataforma con 335 millones de usuarios puede sufrir una brecha de esta magnitud, ¿qué garantías reales tiene el resto del sistema financiero digital?
Comentarios