Binance, el mayor exchange de criptomonedas del mundo, confirmó un hackeo de aproximadamente US$6.360 millones la noche de este jueves, el mayor robo de criptoactivos registrado hasta la fecha, casi cuatro veces el ataque a Bybit de febrero de 2025 (US$1.500 millones). La empresa suspendió depósitos y retiros, asegura que los fondos de los usuarios están a salvo y prometió cubrir todas las pérdidas.
Según la firma de inteligencia blockchain TRM Labs, el dinero empezó a salir de las billeteras de Binance a las 20:05 UTC del 29 de octubre y la mayoría desapareció en unos 20 minutos, a través de diez redes distintas. La compañía atribuye el ataque con alta confianza a TraderTraitor, la unidad de élite de hackers de Corea del Norte, el mismo grupo que el FBI señaló por el robo a Bybit.
El hackeo a Binance fue un robo de 20 minutos preparado durante días
La preparación comenzó al menos 36 horas antes: la billetera del atacante recibió pequeños retiros desde Tornado Cash, un servicio que oculta el origen de los fondos, y ensayó el código del ataque en varias billeteras antes de ejecutarlo. El primer golpe cayó sobre la red XRP: en cuatro minutos, cinco billeteras de Binance enviaron 233 millones de XRP a una sola dirección. Siguieron Solana, Optimism, Bitcoin (18.270 BTC) y Tron (612 millones de USDT).
En Ethereum, el atacante usó un mecanismo reciente llamado EIP-7702 para tomar el control de una de las billeteras calientes más conocidas de Binance, con un lote de 50 autorizaciones firmadas por adelantado. Una sola transacción movió 167.464 ETH y 63 tokens, entre ellos 1.615 millones de USDT, y el atacante siguió barriendo los fondos que llegaban a la billetera durante horas. Que billeteras de diez redes, con sistemas de firma distintos, produjeran firmas válidas en media hora lleva a TRM a concluir que el atacante comprometió la infraestructura de firmado de billeteras calientes de Binance.
La investigación inicial de la empresa apunta a una causa compatible con esa lectura: el computador portátil de un ingeniero de DevOps comprometido, que habría dado acceso a un contenedor de servicios desde el que se enviaron retiros no autorizados. Binance asegura no haber encontrado evidencia de filtración de llaves privadas.
Corea del Norte, la principal sospechosa, y US$2.700 millones congelados
La respuesta de la industria fue inusualmente rápida. Tether congeló unos 1.770 millones de USDT, Circle unos 825 millones de USDC en coordinación con las autoridades, Ripple 40,5 millones de RLUSD y World Liberty Financial 27,8 millones de USD1; el consejo de seguridad de Arbitrum recuperó además 8.426 ETH y 74,6 millones de ARB. En total, unos US$2.700 millones quedaron fuera del alcance del atacante, según el conteo de TRM a las 00:30 UTC (Binance hablaba de US$2.540 millones verificados). El atacante conserva más de 420.000 ETH y 18.270 BTC, unos US$2.400 millones que nadie puede congelar.
El golpe sacudió al mercado: el bitcoin cayó por debajo de US$78.000 y las liquidaciones superaron los US$1.500 millones, según CoinDesk. Binance.US aclaró que opera como entidad separada y no fue afectada.
Para América Latina, donde Binance es uno de los exchanges más usados, la empresa repite que los fondos están a salvo y que cubrirá todas las pérdidas, aunque los retiros siguen pausados. La plataforma, que en febrero integró Bre-B para transferencias inmediatas en pesos en Colombia, prometió un informe completo cuando termine la investigación. La empresa también advierte tener cuidado con los estafadores que aprovechan estos momentos para hacer phishing.
Fuentes: TRM Labs, Binance.
