Ataque a Binance: el mayor robo cripto de la historia empezó en un portátil (2026)

El jueves 29 de octubre de 2026, Binance — el mayor exchange de criptomonedas del mundo — sufrió lo que ya se llama el mayor robo de activos digitales de la historia. La propia empresa estima el impacto en unos US$ 6.300 millones. El detalle que más importa para quien trabaja en seguridad no es el tamaño: es cómo empezó. Según Binance, no rompieron la criptografía ni filtraron claves — la puerta de entrada fue el portátil de un empleado. Este artículo explica qué pasó, cómo funcionó el ataque, qué se está recuperando, quién sería el responsable y cuál es la lección — incluso para empresas que no tienen nada que ver con cripto.

Qué pasó

En cuestión de horas — y, según los reportes, con el grueso saliendo en minutos — un atacante drenó las hot wallets (las carteras “calientes”, conectadas a internet para operar retiros) de Binance en 11 blockchains distintas. La firma de análisis on-chain Elliptic estima el total en US$ 6.430 millones; Binance, en torno a US$ 6.300 M. Las cifras aún se revisan conforme avanza la investigación, pero el orden de magnitud ya es inédito: a modo de comparación, el robo a Bybit en 2025 — hasta ayer el mayor de la historia — fue de US$ 1.460 M, más de cuatro veces menor.

Según la reconstrucción de Elliptic, el daño se repartió entre varios activos: cerca de US$ 3.800 M en Ethereum (repartidos en 186 tokens distintos), 18.270 bitcoins (unos US$ 1.480 M) y cientos de millones en stablecoins (USDT y USDC). No fue un objetivo específico: fue un barrido de las reservas operativas del exchange, al mayor volumen posible, en el menor tiempo posible.

Cómo funcionó el ataque

Binance publicó que su investigación inicial “sugiere que el incidente puede involucrar el portátil de un ingeniero de DevOps comprometido”, lo que “permitió a un atacante obtener acceso a un contenedor de servicio y enviar transacciones de retiro no autorizadas”. Y fue explícita en un punto crucial: “no encontramos evidencia de filtración de clave privada de ninguna cartera”. Después, en un segundo comunicado, habló de “puntos adicionales de intrusión” y de un “ataque complejo”, sin detallar.

Y ahí está justamente la parte interesante. Si no se filtró ninguna clave, ¿cómo salió el dinero? El análisis on-chain de Elliptic responde: el atacante hizo que los propios sistemas de Binance firmaran las transacciones maliciosas. En un caso, una sola transacción en Ethereum cargó 50 autorizaciones válidamente firmadas usando el EIP-7702 — una función reciente de Ethereum que permite a una cartera delegar temporalmente el control a un contrato. Solo que el contrato al que se delegó el control era un “sweeper”: un contrato hecho para barrer y vaciar la cartera. Con el acceso interno, el atacante no necesitó la clave — necesitó que el sistema que usa la clave firmara lo que él quería.

Por qué “ninguna clave se filtró” no es un alivio

Es común leer “las claves están seguras” y respirar tranquilo. Aquí es al revés: la frase describe exactamente el problema. Proteger la clave en una bóveda (HSM, cartera fría, multisig) resuelve el robo de la clave — pero no impide que alguien con acceso al sistema que usa la clave le ordene a ese sistema firmar una transferencia. El control real no estaba en poseer la clave; estaba en quién podía pedir una firma. Y es un patrón que ya vimos: en el robo a Bybit, en 2025, la mecánica fue la misma — la máquina de un desarrollador (de un proveedor) fue comprometida y una transacción legítima fue manipulada antes de firmarse.

La respuesta: qué se congeló (y qué no se puede)

Binance suspendió temporalmente retiros y depósitos mientras corre verificaciones de seguridad, congela fondos y trabaja con las autoridades. Con ayuda de socios de blockchain, se congelaron unos US$ 3.000 millones on-chain (Elliptic verificó US$ 2.840 M, ~44% del total). La mayor parte de lo que se pudo congelar son stablecoins: Circle (USDC) congeló más de US$ 800 millones y Tether (USDT) más de US$ 1.500 M. Es posible porque las stablecoins tienen un emisor central capaz de bloquear direcciones.

El problema es el resto. Cerca de US$ 3.280 millones en activos no congelables — Bitcoin, XRP, Ethereum nativo, entre otros — siguen bajo control del atacante, repartidos en decenas de direcciones. Esos activos no tienen un “botón de congelar”: son descentralizados por naturaleza, y nadie puede revertirlos. Sobre los clientes, Binance dice que “los fondos de los usuarios están completamente seguros”, y el fundador Changpeng Zhao (que ya no dirige la empresa) dijo esperar, como accionista, que los fondos se cubran por completo — una expectativa suya, no un compromiso formal ya detallado por la compañía.

¿Quién fue?

Aquí hace falta cautela. Elliptic evalúa como probable que el ataque lo hayan ejecutado actores vinculados a Corea del Norte — el perfil de quienes convierten el robo cripto en financiamiento estatal. Los indicios: parte de los fondos llegó a la misma dirección asociada a un exploit anterior sospechoso de vínculos norcoreanos (la pista inicial es del investigador ZachXBT), y el método recuerda a robos anteriores atribuidos al país, como el de Bybit. Pero conviene separar el hecho de la sospecha: ningún gobierno ni autoridad confirmó la autoría, y Binance no nombró a nadie. Hay incluso señales atípicas (la conversión lenta de las stablecoins no es el patrón usual de esos grupos). Es decir: la hipótesis es fuerte, pero sigue siendo hipótesis.

Qué enseña esto — aunque no seas un exchange

Es tentador leerlo como un “problema de cripto” y seguir adelante. Sería un error. Quita la palabra “blockchain” y queda una historia que podría pasar en cualquier empresa que mueve dinero o datos por software:

1. El endpoint de un desarrollador es superficie de producción. El portátil de quien tiene acceso a sistemas críticos vale tanto como un servidor de producción. Necesita EDR, disco cifrado, menor privilegio, y separación entre la máquina del día a día y el acceso a lo sensible. Bybit cayó así; Binance, al parecer, también.
2. La automatización que mueve valor es una cuenta privilegiada. Un pipeline, un contenedor de servicio o un bot que puede firmar transacciones (o aprobar pagos, o exportar una base de datos) merece los mismos controles que un administrador: menor privilegio, aprobación de más de una persona para operaciones de alto impacto, y límites que un compromiso aislado no pueda superar.
3. Protege la operación, no solo el secreto. Guardar la clave en una bóveda no basta si el sistema que la usa puede ser inducido a firmar lo que el atacante quiera. Conviene tener allowlists de destino, límites por ventana de tiempo y verificación independiente de lo que se está firmando — para que “la clave está segura” signifique de verdad que el dinero lo está.
4. Radio de explosión y segmentación. Un solo portátil no debería poder alcanzar un sistema capaz de drenar las reservas en 11 blockchains. Segmentar accesos y aislar lo crítico es lo que convierte un incidente en un susto, en lugar de un titular.
5. Tu ventana de respuesta es corta. Salieron miles de millones en minutos. La detección y la contención deben ser casi en tiempo real — y, como se vio, buena parte de la recuperación dependió de terceros (emisores de stablecoin) actuando rápido, no de revertir lo irreversible.

El mensaje final es el de siempre, solo que con un cero más en la cuenta: los ataques grandes rara vez nacen de una técnica mágica. Nacen de un punto de entrada común — un endpoint, una credencial, una automatización con demasiado poder — que nadie trató como crítico. Probar tu superficie como lo haría un adversario real, incluyendo los caminos que van de un portátil a lo que mueve valor, es lo que revela esos atajos antes de que alguien los use.

Si quieres entender dónde tiene tu empresa ese tipo de exposición, habla con un investigador. Y, de forma más amplia, un pentest periódico encuentra los caminos entre “un acceso comprometido” y “dinero saliendo” — antes de que se vuelva el mayor robo de alguna historia.

Fuentes: comunicado de Binance (vía AP/PBS), Elliptic, TechCrunch y TRM Labs. Las cifras son estimaciones y pueden revisarse conforme avanza la investigación; la atribución a Corea del Norte es una evaluación de firmas de análisis, no una confirmación oficial.