El 30 de octubre de 2026 Binance, el exchange de criptomonedas más grande del mundo, confirmó un incidente de seguridad que afectó alrededor de 6.300 millones de dólares en activos. Es hasta la fecha, el mayor robo de criptomonedas registrado, superando los ~1.500 millones robados a Bybit en febrero de 2025. Pero lo más interesante es cómo entraron, no rompieron la criptografía ni robaron claves privadas, comprometieron una laptop y a una persona.
Resumen
| Organización | Binance |
| Fecha del anuncio | 29-30/10/2026 |
| Impacto estimado | ~6.300 millones USD |
| Congelado on-chain | ~3.000 millones USD (hasta el momento) |
| Vector inicial (investigación preliminar) | Laptop comprometida de un ingeniero de DevOps |
| Naturaleza | Transacciones de retiro no autorizadas desde un contenedor de servicio |
| ¿Fuga de claves privadas? | Sin evidencia, según Binance |
| Atribución | Vinculado a actores de Corea del Norte (TraderTraitor) por varias firmas, con cautela |
¿Qué dijo Binance?
Según el comunicado oficial, la investigación inicial sugiere que el incidente pudo haber comenzado con la laptop comprometida de un ingeniero de DevOps, lo que le dio al atacante acceso a un contenedor de servicio desde donde envió transacciones de retiro no autorizadas. La empresa afirma que no hay evidencia de fuga de claves privadas de las billeteras.
Como medidas inmediatas, Binance:
- Suspendió temporalmente los retiros mientras completa revisiones de seguridad (los depósitos siguen operando con normalidad, según una aclaración posterior).
- Revocó la autorización de la dirección afectada.
- Contactó a las fuerzas del orden y a firmas de inteligencia blockchain para rastrear y recuperar fondos.
Binance se comprometió a cubrir todas las pérdidas con el fondo SAFU (Secure Asset Fund for Users) y fondos propios, y afirmó que los fondos de los usuarios están a salvo. Días después, el co-CEO Richard Teng aclaró que no fue una acción de “un solo clic” ni el simple uso de los permisos de un empleado: la investigación “descubrió puntos de brecha adicionales” más allá de la laptop, y el proceso del ataque fue más complejo.
El mecanismo técnico: hacer que el sistema firme por vos
La descripción de la firma Elliptic resume la idea central:
“En lugar de robar las claves privadas de Binance, el atacante parece haber podido hacer que los propios sistemas de Binance firmaran transacciones en su nombre.”
Esto se parece mucho al robo a Bybit, donde los atacantes comprometieron la máquina de un desarrollador en el proveedor de billeteras Safe{Wallet} y manipularon la transacción que los firmantes aprobaron. En ambos casos, lo comprometido fue la infraestructura y las personas alrededor de las billeteras, no la criptografía.
El detalle que vale la pena entender es cómo se aprovecharon de los nonces. Según TRM Labs, así funcionó a alto nivel:
Una autorizacion solo sirve en el valor exacto del contador. Op->>HW: Pide 50 autorizaciones firmadas, una por cada nonce consecutivo Note over Op,SC: La hot wallet procesa retiros todo el tiempo,
asi que su contador avanza constantemente Op->>SC: Al menos una firma coincide con el nonce del momento SC->>HW: Instruye mover el balance completo HW->>Op: Una sola transaccion envia 167.464 ETH y 63 tokens a una direccion del atacante
Al preparar firmas para 50 contadores consecutivos, el atacante se aseguró de que una siguiera siendo válida cuando la transacción se ejecutara. Una coincidió, y eso fue todo lo que necesitó. Que las firmas se hayan pedido por adelantado y en lote sugiere que el acceso al sistema de firma pudo haber estado limitado en el tiempo. Binance todavía no publicó una causa raíz definitiva.
La atribución: alta confianza, pero con cautela
Varias firmas de inteligencia blockchain vincularon el ataque a Corea del Norte, específicamente al grupo TraderTraitor (el mismo de Bybit en 2025 y de KelpDAO en abril de 2026):
- TRM Labs y Chainalysis lo atribuyen con alta confianza, citando patrones comunes: financiamiento inicial mediante pequeños retiros de Tornado Cash, preparación que empezó bastante antes del robo, firmas obtenidas por adelantado y ejecutadas en una ráfaga, y mezcla de fondos con otro robo (Bitget) atribuido a la RPDC.
- Elliptic coincide pero pide cautela: el lavado observado se desvía de patrones previos (los atacantes retuvieron USDT 37-46 minutos sin convertirlo, cuando los grupos norcoreanos suelen moverse más rápido), y aún no hay causa raíz.
La lección de atribución es sana: convergencia de indicios de varias fuentes ≠ certeza. Vale señalar lo que apunta a un actor y, a la vez, lo que no encaja.
Lo importante: el vector fue humano
Cynthia Kaiser (Halcyon, ex subdirectora de la División Cibernética del FBI) lo planteó sin vueltas: manipular personas y confianza sigue siendo el método más efectivo para acceder a redes objetivo. Y Rafe Pilling (Sophos) describe el modus operandi de TraderTraitor: comprometer la estación de trabajo de un desarrollador o ingeniero, mapear los procesos técnicos y de negocio necesarios para hacer transferencias autorizadas, y desarrollar un ataque a medida.
El patrón, repetido en DMM Bitcoin, Bybit y ahora Binance, suele empezar con ingeniería social: ofertas de trabajo falsas o pruebas de código que esconden malware. Alcanza con una laptop comprometida.
¿Qué llevarse de esto? (incluso si no manejás cripto)
La brecha de Binance es un caso de manual sobre por qué la seguridad no termina en la criptografía:
1. El endpoint del personal técnico es superficie crítica
La laptop de un ingeniero con acceso a infraestructura es un activo de alto valor. Endurecimiento del equipo, EDR, y el supuesto de que cualquier estación de trabajo puede estar comprometida deberían guiar los controles alrededor de los sistemas sensibles.
2. Separación de deberes y firma que no dependa de una sola vía
Que un solo camino comprometido pueda producir firmas válidas es el corazón del problema. Controles como aprobaciones multipartita reales, límites y listas de direcciones permitidas, y detección de patrones anómalos de firma (por ejemplo, pedidos de muchas autorizaciones consecutivas) habrían subido la barrera.
3. Ingeniería social: la capacitación es un control de seguridad
Las ofertas de trabajo falsas y las “pruebas de código” con malware apuntan a personas, no a sistemas. Para quienes recién entran al área, vale enlazar esto con conceptos de base: lo trato en Amenaza vs Riesgo vs Vulnerabilidad y en ¿Qué es DevSecOps?.
4. Plan de respuesta y transparencia
Más allá de la escala, la respuesta de Binance sigue el guion esperable: contener la infraestructura comprometida, revocar autorizaciones, rastrear y congelar fondos con socios, suspender operaciones sensibles mientras se valida la integridad, y comprometerse a publicar una causa raíz y pruebas de reservas. Recuperar o congelar ~3.000 millones muestra que el rastreo on-chain mejoró, aunque buena parte de los fondos quedó fuera del alcance de los emisores.
Nota sobre fuentes y verificación. Varios números difieren según quién reporta y a qué precio: Binance estima ~6.300 millones de impacto; Chainalysis ~5.912 millones “al momento del robo”; Elliptic ~6.43 mil millones robados y ~2.84 mil millones congelados. Las cifras y la atribución pueden cambiar a medida que avanza la investigación.
Fuentes
Fuente oficial:
Complementarias:
- The Hacker News: Binance Suffers Security Breach Affecting $6.3 Billion in Assets
- Análisis de Chainalysis, TRM Labs y Elliptic citados en la cobertura (atribución y seguimiento de fondos).