El 29 de octubre a las 20:05 UTC empezaron a salir fondos de las billeteras calientes de Binance en diez redes, y la mayor parte se fue en unos 20 minutos. Binance estima el impacto en 6.300 millones de dólares. TRM Labs, que siguió los fondos en cadena, lo calcula en 6.360 millones al precio del momento. Es el mayor robo de criptomonedas registrado: unas cuatro veces el de Bybit de febrero de 2025, que el FBI calculó en 1.500 millones.
Binance dice que va a cubrir todas las pérdidas. Los retiros están suspendidos desde el incidente y los depósitos siguen funcionando. En su tercera actualización, publicada hoy a las 14:24 UTC, informó que ya repuso el 90% de lo robado y que planea reabrir los retiros el domingo 1 de noviembre.
TRM Labs y Chainalysis, dos firmas de análisis de blockchain, atribuyen el robo a TraderTraitor, el grupo de Corea del Norte que el FBI señaló por el caso Bybit. Y la entrada, según Binance, fue la notebook comprometida de un ingeniero DevOps. Es el perfil que un aviso conjunto del FBI, CISA y el Tesoro de Estados Unidos describe como blanco de ese grupo desde 2022.
¿Cuánto se robó en el hackeo a Binance y en qué redes?
Las tres cifras que circulan miden lo mismo con cortes distintos: 6.300 millones según Binance, 6.360 millones según TRM Labs y unos 6.400 millones según Chainalysis. TRM es la única que publica el desglose por red, valuado al precio de cada activo cuando salió. A precios del 30 de octubre, lo mismo valía 6.230 millones.
En Ethereum se fueron 200.630 ETH, 1.875 millones de USDT, 823 millones de USDC y 88,5 millones de RLUSD, más otros 185 tokens. En Bitcoin, 18.270 BTC. En Tron, 612,7 millones de USDT y 46,4 millones de TRX. En XRP Ledger, 233,46 millones de XRP, y en Solana, 970.500 SOL.
Ethereum concentra seis de cada diez dólares, y es también la red donde el mecanismo del robo está mejor documentado.
¿Cómo entraron los atacantes a Binance?
La primera explicación de Binance llegó el 30 de octubre a las 02:23 UTC. Su investigación inicial sugiere que el incidente "may involve a compromised DevOps engineer's laptop, which allowed an attacker to gain access to a service container and submit unauthorized withdrawal transactions". Es decir: una notebook comprometida dio acceso a un contenedor de servicio, y desde ahí se enviaron retiros no autorizados.
Diecisiete horas después, en la segunda actualización, Binance amplió: "our subsequent investigation has uncovered additional points of breach". Hubo puntos de intrusión adicionales además de la notebook. En las dos actualizaciones repite que no encontró evidencia de que se filtraran claves privadas, y promete los hallazgos técnicos en unas 48 horas.
TRM Labs describe el mismo hecho desde la cadena. En Ethereum, el atacante usó 50 autorizaciones EIP-7702 prefirmadas. EIP-7702 es una función de Ethereum que permite que una cuenta delegue su ejecución en el código de un contrato. Con esas autorizaciones válidas, la billetera caliente de Binance pasó a obedecer a un contrato barredor del atacante, que la vació cada vez que entraban fondos nuevos. Chainalysis coincide: las autorizaciones eran firmas válidas, enviadas desde una billetera del atacante financiada a través de Tornado Cash.
En las otras nueve redes no hubo nada parecido: los fondos salieron como transferencias firmadas comunes. Por eso TRM concluye que lo comprometido fue la infraestructura de firma de las billeteras calientes de Binance.
Las dos versiones encajan. Binance dice que no se filtraron claves, y TRM dice que lo que cayó fue el sistema que firma. Para mover fondos sin tener la clave alcanza con lograr que el sistema firme por vos. Binance todavía no publicó la causa raíz completa, y nadie explicó cómo se comprometió la notebook.
Por qué TRM Labs y Chainalysis señalan a TraderTraitor, de Corea del Norte
TRM atribuye el robo a TraderTraitor "with high confidence", con inteligencia de la cadena y de fuera de ella. Señala tres rasgos que comparte con Bybit y con el robo a KelpDAO de abril de 2026: retiros chicos de Tornado Cash para financiar la billetera del operador, una preparación que empezó mucho antes del robo, y firmas obtenidas de antemano y ejecutadas en una sola ráfaga.
Chainalysis llega al mismo nombre por otro camino: los fondos de Binance se mezclaron en cadena, en tiempo real, con los del robo a Bitget del mes pasado, que ya estaba atribuido a Corea del Norte. Lo anunció el 30 de octubre a las 04:30 UTC.
No se encontró un comunicado del FBI que atribuya este robo. El FBI sí atribuyó el de Bybit: el 26 de febrero de 2025 dijo que Corea del Norte era responsable y llamó al grupo TraderTraitor.
El nombre viene del aviso AA22-108A, publicado en abril de 2022 por el FBI, CISA y el Tesoro. Describe cómo entra el grupo: mensajes masivos a empleados de empresas cripto, "often working in system administration or software development/IT operations (DevOps)", que imitan una búsqueda laboral con sueldos altos. El objetivo es que la víctima instale una aplicación troyanizada. Binance no dijo cómo se comprometió la notebook de su ingeniero, pero el perfil coincide con el que el aviso describe.
¿Dónde está la plata robada a Binance?
Una parte quedó congelada, y casi toda es stablecoin. Un emisor como Tether o Circle puede bloquear sus tokens en una dirección; nadie puede hacer eso con Bitcoin o con Ether. El primer congelamiento fue de Tether: 971,1 millones de USDT a las 21:01 UTC, 37 minutos después del barrido principal. Circle congeló 823 millones de USDC a los pocos minutos.
El atacante corrió contra esos congelamientos. Vendió unos 325 millones de USDT a creadores de mercado a cambio de unos 122.300 ETH, tomó ETH prestado contra USDT en Aave hasta que Aave congeló esos mercados, y en Tron movió 300 millones de USDT a JustLend. Los 18.270 BTC empezó a partirlos en piezas de 1.000 y de 100 BTC, una técnica que dificulta el seguimiento.
Según TRM, al corte de las 00:30 UTC del 30 de octubre el atacante tenía más de 420.000 ETH y los 18.270 BTC: unos 2.400 millones de dólares fuera del alcance de cualquier emisor.
¿Perdí plata si tengo cuenta en Binance?
Según Binance, no. Su compromiso, repetido en las tres actualizaciones, es que la empresa absorbe la pérdida y no los usuarios. Lo que informó hasta ahora:
- 90% repuesto al 31 de octubre, contra 80% del día anterior. BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD y ZEC están respaldados al 100%. El 10% pendiente son tokens fuera de esos diez, menos líquidos.
- De dónde sale la plata: una parte del fondo SAFU, una parte del fondo de seguro de futuros y la tesorería de la empresa. El SAFU es un fondo de emergencia creado en julio de 2018, de unos 1.000 millones de dólares. Cubre como mucho una sexta parte del robo: el grueso sale de la tesorería.
- Retiros: suspendidos desde el incidente, con reapertura prevista por etapas el domingo 1 de noviembre. Los depósitos nunca se cortaron.
- Prueba de reservas: Binance tomó una foto de sus reservas el 31 de octubre a las 00:00 UTC. La prueba de conocimiento cero completa, que permite a cada usuario verificar que su saldo está respaldado 1:1, estaría lista el martes 3 de noviembre.
Binance pide seguir solo sus canales oficiales. En ninguno de sus tres comunicados pide a los usuarios un trámite para cubrir la pérdida: la reposición la hace la empresa sobre sus propias reservas. Un mensaje que pida claves, frases semilla o una transferencia para «recuperar» el saldo no sale de ese proceso.
¿Qué aprende una empresa que no tiene cripto del hackeo a Binance?
Que la notebook de quien tiene acceso a producción es el activo más valioso de la empresa, aunque figure en el inventario como una computadora más. En este caso, una notebook de DevOps terminó en un contenedor que podía pedir retiros. En una PyME, la notebook de quien administra la nube, el sistema de pagos o el dominio cumple el mismo rol.
- Hacé la lista de quién puede llegar desde su notebook a lo que mueve plata o firma: la consola de la nube, el despliegue a producción, el banco, la aprobación de pagos. Son las máquinas del perfil que el aviso AA22-108A describe como blanco.
- Que ninguna aprobación dependa de una sola máquina. TRM recomienda separar la infraestructura de firma y los circuitos de aprobación por red y por nivel de billetera. En una empresa sin cripto, el equivalente es la doble aprobación de pagos desde dos personas y dos equipos.
- Avisale al equipo técnico del señuelo de la oferta laboral. El aviso AA22-108A describe mensajes que imitan una búsqueda laboral con sueldos altos para que la víctima descargue una aplicación con malware. Una aplicación que llega por un reclutador no se instala en la máquina de trabajo.
- Poné detección en esas notebooks. El mismo aviso pide que los equipos que se mueven entre redes tengan software capaz de detectar y frenar malware. Para una PyME, es el caso en que un EDR justifica su costo.
- Cerrá las consolas con MFA resistente al phishing. Una sesión robada desde una notebook comprometida saltea el SMS y la aplicación de códigos, como se explica en cómo funciona el robo de sesión que saltea el MFA y en por qué tener MFA no alcanza.
- Si la empresa tiene tesorería en Ethereum, seguí la recomendación de TRM: alertar ante cualquier delegación EIP-7702 en una billetera de tesorería, rechazar autorizaciones que no se esperan y tener probado de antemano cómo firmar una revocación.
Los puntos 4 y 5 son además dos de los controles que exigen las aseguradoras de ciberriesgo. Para empezar por lo básico sin presupuesto grande, está la guía de ciberseguridad para PyMEs de la región, y para los términos de esta nota, el glosario.
Fuentes leídas: los tres comunicados oficiales de Binance del 30 y el 31 de octubre, tomados de su sistema de anuncios y de su canal oficial; el informe de TRM Labs, con su corte de las 00:30 UTC del 30 de octubre; el informe de Chainalysis del 30 de octubre; el anuncio del FBI del 26 de febrero de 2025 sobre Bybit; y el aviso AA22-108A del FBI, CISA y el Tesoro. Sin confirmar: un comunicado del FBI sobre este robo, la causa raíz completa, cómo se comprometió la notebook y el saldo actual del fondo SAFU. Direcciones del atacante: quedan fuera de la nota; TRM y Chainalysis las tienen etiquetadas para los equipos de cumplimiento que necesitan bloquear depósitos.
Preguntas frecuentes sobre el hackeo a Binance
¿Cuánto se robó en el hackeo a Binance?
Unos 6.300 millones de dólares según Binance, 6.360 millones según TRM Labs y unos 6.400 millones según Chainalysis. Salió de billeteras calientes en diez redes el 29 de octubre de 2026, desde las 20:05 UTC. Es el mayor robo de criptomonedas registrado, unas cuatro veces el de Bybit de 2025.
¿Perdí plata si tengo cuenta en Binance?
Binance dice que no: va a cubrir todas las pérdidas con su fondo SAFU, su fondo de seguro de futuros y su tesorería. Al 31 de octubre informó el 90% repuesto, con los diez tokens principales respaldados al 100%. La prueba de reservas para verificar cada saldo estaría completa el 3 de noviembre.
¿Cuándo vuelven los retiros de Binance?
Binance planea reabrirlos por etapas el domingo 1 de noviembre de 2026. Los depósitos siguieron funcionando durante todo el incidente.
¿Quién está detrás del hackeo a Binance?
TRM Labs y Chainalysis lo atribuyen a TraderTraitor, un grupo de Corea del Norte. TRM lo afirma con confianza alta; Chainalysis encontró los fondos mezclados con los del robo a Bitget, ya atribuido a ese país. No se encontró una atribución del FBI para este caso.
¿Cómo entraron los atacantes a Binance?
Según Binance, a través de la notebook comprometida de un ingeniero DevOps, que dio acceso a un contenedor desde donde se enviaron retiros no autorizados. Después agregó que hubo puntos de intrusión adicionales. TRM Labs ubica el compromiso en la infraestructura que firma las billeteras calientes. La causa raíz completa no se publicó.