Vaciaron dos billeteras de Binance y la industria salió a frenar el botín: el detalle que las delató

El exchange más grande del mundo cripto sufrió el mayor robo de su historia: casi US$6300 millones sustraídos de dos billeteras calientes. La reacción fue inmediata y coordinada entre Binance, firmas de ciberseguridad y emisores de stablecoins para evitar que el dinero siguiera fluyendo.

La noticia cayó un jueves por la tarde y dejó atónito al ambiente cripto. Binance, la plataforma fundada en 2017 por Changpeng Zhao (conocido como "CZ"), había sido víctima de un ataque sin precedentes por su magnitud económica. Ningún otro ciberataque tradicional se le acerca en términos de valor sustraído.

Qué es Binance y por qué su caída sacude a todos

Con más de 300 millones de usuarios e instituciones operando a diario, Binance es el corazón del ecosistema cripto global. Allí se negocian Bitcoin, Ethereum y una amplia gama de stablecoins, esas criptomonedas atadas al valor de una divisa tradicional como el dólar. Su volumen de liquidez es tal que sus movimientos repercuten en todo el mercado.

El desfalco: de US$3520 millones a US$6300 millones

Los primeros análisis on-chain calcularon el robo en US$3520 millones. Pero las firmas forenses y el seguimiento de la cadena de bloques detectaron flujos sospechosos que ascendían a entre US$5500 y US$6000 millones, distribuidos en varias blockchains. Finalmente, la propia empresa confirmó: "El impacto total estimado se sitúa en alrededor de US$6300 millones. Hemos trabajado con socios de blockchain para congelar los activos afectados, con ~US$3000 millones congelados en cadena hasta ahora. Binance cubrirá todas las pérdidas del fondo SAFU y de los fondos de la compañía. Los fondos de los usuarios están seguros. También publicaremos una Prueba de Reservas actualizada una vez que la remediación esté completa".

La cifra supera ampliamente los US$1500 millones robados a Bybit en febrero de 2025. El impacto fue inmediato: el bitcoin se desplomó por debajo de los US$80.000 (llegó a 77.533 dólares cerca de la medianoche del jueves) y se registraron más de US$1000 millones en liquidaciones. Muchos usuarios optaron por retirarse temporalmente del ecosistema para proteger sus activos.

Así se detectó el ataque

A diferencia de la banca tradicional, donde las operaciones son opacas, la blockchain es un registro distribuido y transparente que anota cada movimiento. Aunque no revela identidades, permite seguir el rastro de los fondos. Firmas de inteligencia forense como Blockaid, Arkham y Unchained advirtieron salidas anómalas de altísima frecuencia desde las billeteras calientes "Binance 14" y "Binance 16", hasta que quedaron vacías.

"Todos los exchanges tienen dos tipos de wallets: Hot, que se usa para todo lo que es entrada y salida de depósitos y retiros, y Cold, que tienen activos que usualmente no se tocan", explicó el experto en cripto Fernando Molina. "Tienen sistemas de seguridad diferentes, porque las hot wallets tienen movimientos constantes. Pero las dos son internas: vos tenés bitcoins en Binance, están en una wallet, pero no exclusiva tuya; si vos hacés un retiro sale de una hot wallet que por ahí tiene miles de millones de dólares; una de esas es la que hackearon". Con ese acceso, los atacantes llegaron al resto de las divisas almacenadas en ambas billeteras.

Los analistas observaron la creación de nuevas direcciones de destino, financiadas inicialmente a través del mezclador de privacidad Tornado Cash para ocultar el origen de los fondos. Ante la detección en tiempo real de estas transferencias masivas e incongruentes, Binance interrumpió depósitos y retiros y confirmó que investigaba el incidente.

El vector de ataque: una laptop comprometida

Binance explicó que "la investigación inicial sugiere que el incidente de seguridad podría involucrar una laptop comprometida de un ingeniero de DevOps, lo que permitió que un atacante obtuviera acceso a un contenedor de servicio y realizara transacciones de retiro no autorizadas. No hemos encontrado evidencia de ninguna filtración de claves privadas de billeteras. Compartiremos un análisis técnico detallado post-mortem una vez que la investigación esté completa y los hechos estén completamente verificados".

Investigadores de ciberseguridad apuntan al abuso de una función que permite que una billetera común delegue el control de la ejecución de operaciones a un contrato inteligente. El atacante habría enviado una ráfaga de 50 autorizaciones firmadas aprovechando el flujo constante de transacciones (nonces) que procesaba la billetera de Binance. Al acertar una de las autorizaciones, activó un contrato de barrido (sweeper contract) no verificado que extrajo automáticamente millones en USDT, ETH y decenas de altcoins en cuestión de minutos.

La contraofensiva de la industria

La respuesta fue coordinada y veloz. Tether congeló más de US$1560 millones en USDT, Circle bloqueó más de US$800 millones en USDC y Ripple hizo lo propio con cerca de US$200 millones en RLUSD. En conjunto, el ecosistema logró inmovilizar entre US$2500 millones y US$3000 millones del botín.

Además, plataformas de finanzas descentralizadas como Aave congelaron sus préstamos para evitar que los activos robados se usaran para pedir prestado Ethereum u otros tokens no congelables. Binance, por su parte, suspendió todas las operaciones de retiro y aseguró que los fondos de los usuarios están a salvo y que cualquier pérdida no recuperada será cubierta por las reservas de la empresa.

Algunos expertos señalaron que la metodología recuerda al robo de más de US$350 millones en criptoactivos de la plataforma Bitget, y que al igual que el caso Bybit, podría tener a Corea del Norte detrás. Hace tiempo que se acusa a ese país de tener una división dedicada a la ciberguerra que financia sus operaciones con robos cripto.

Binance's initial investigation suggests that the security incident may involve a compromised DevOps engineer’s laptop, which allowed an attacker to gain access to a service container and submit unauthorized withdrawal transactions. We have found no evidence of any wallet private… pic.twitter.com/5REncAI77y

— Binance (@binance) October 30, 2026

1/ Everything you need to know about the Binance hack.

(written entirely by Claude using the Blockworks MCP)

A thread 🧵 pic.twitter.com/CUPz6ZFTIl

— Yano 🟪 (@JasonYanowitz) October 30, 2026