Hackeo de Binance 2026: el mayor hackeo de criptomonedas de la historia
Binance aseguró a sus clientes que su dinero estaba a salvo. Sin embargo, las billeteras vaciadas aparecían en la lista de activos que respaldaban a esos clientes, publicada cuatro semanas antes por la propia plataforma. Ambas afirmaciones pueden ser ciertas a la vez, y la discrepancia entre ellas es clave para comprender el hackeo de Binance de 2026.
Primero, los hechos. La noche del 29 de octubre, un atacante vació las billeteras digitales de Binance, la mayor plataforma de intercambio de criptomonedas del mundo, en aproximadamente diez blockchains. Binance estima las pérdidas en unos 6300 millones de dólares, la mayor parte de los cuales se transfirieron en unos 20 minutos. Esto la convierte en el mayor hackeo de criptomonedas de la historia, aproximadamente cuatro veces mayor que el robo de Bybit en 2025. Binance suspendió los depósitos y retiros y se comprometió a cubrir todas las pérdidas.
Algunas de las cifras que aparecen a continuación podrían variar. La noticia tiene dos días y Binance aún no ha publicado su análisis posterior; considere cada cifra como una instantánea de los días 30 y 31 de octubre.
¿Qué ocurrió en el hackeo de Binance de 2026, minuto a minuto?
La velocidad fue el arma clave. Pero esa velocidad se consiguió con paciencia, y es precisamente esa paciencia lo que hace que esto parezca una operación profesional en lugar de un golpe de suerte.
Veinte minutos a través de diez cadenas de bloques
Según la firma de análisis de blockchain TRM Labs, el atacante comenzó a financiar billeteras a través de Tornado Cash, un servicio de mezcla que oculta el origen de las criptomonedas, en la mañana del 28 de octubre. Esto es al menos 36 horas antes de que saliera una sola criptomoneda de Binance.
Las primeras salidas de fondos se produjeron a las 20:05 UTC del 29 de octubre en el XRP Ledger. A las 20:20 UTC le siguió Bitcoin. En ese mismo instante, el atacante envió 50 solicitudes de autorización a una billetera activa de Binance en Ethereum. Aproximadamente tres minutos y medio después, dicha billetera fue vaciada por completo en una sola transacción. Los saqueos continuaron hasta las 23:56 UTC, con una segunda oleada en Avalanche y Polygon alrededor de las 23:05 UTC.
Poco antes de la medianoche UTC, todo terminó.
De dónde procedían los 6.300 millones de dólares
El dinero no provenía de un solo lugar. Provenía de monederos digitales en al menos diez redes, lo que indica que el atacante tenía algún tipo de acceso al sistema de retiros de Binance en varias cadenas simultáneamente.
| Blockchain | Bienes sustraídos | Valor aproximado |
|---|---|---|
| Ethereum | ~200.600 ETH, 1.875 millones de USDT, 823 millones de USDC, 88,5 millones de RLUSD | ~$3.800 millones |
| Bitcoin | 18.270 BTC | ~$1.47 mil millones |
| Tron | 612,7 millones de USDT + 46,4 millones de TRX | ~$628 millones |
| Libro mayor de XRP | 233,46 millones de XRP | ~$296 millones |
| Solana | 970.500 SOL | ~$96 millones |
| Arbitraje, optimismo, base | mezclado | ~$39 millones |
| Avalancha / Polígono | mezclado | ~$28 millones / ~$10 millones |
Fuente: TRM Labs, datos al 30 de octubre a las 00:30 UTC.
Verás cifras diferentes en las noticias, y eso es normal. Binance habla de unos 6300 millones de dólares. TRM Labs calcula 6360 millones de dólares en el momento del robo. Chainalysis habla de unos 6400 millones de dólares, y Elliptic de 6430 millones de dólares en 11 cadenas. La diferencia se debe al momento de calcular los precios y a las cadenas que incluye cada empresa; nadie discute lo sucedido.
Cómo EIP-7702 volvió una billetera caliente de Binance en su contra.
La parte del hackeo de Binance relacionada con Ethereum es ingeniosa y ha acaparado la mayor parte de la atención. Sin embargo, por sí sola, constituye una explicación incompleta.
Carteras calientes y almacenamiento en frío, en términos sencillos.
Una plataforma de intercambio almacena criptomonedas de la misma manera que una tienda almacena efectivo. La mayor parte se guarda en una bóveda, que en el mundo de las criptomonedas se denomina « almacenamiento en frío »: las claves se mantienen sin conexión y su transferencia es deliberadamente lenta. Una cantidad menor se guarda en la caja registradora para que los clientes puedan retirar fondos rápidamente. Esa caja registradora es la billetera caliente, conectada a los sistemas de la plataforma y capaz de firmar transacciones bajo demanda.
Las carteras digitales están diseñadas para almacenar una fracción del total de activos. Sin embargo, en una plataforma de intercambio del tamaño de Binance, esa fracción puede representar miles de millones de dólares.
Cincuenta firmas y un agujero en la teoría
EIP-7702 es una actualización de Ethereum que se implementó con la actualización Pectra en mayo de 2025. Permite que una billetera común ceda el control de sus acciones a un fragmento de código de contrato inteligente, siempre y cuando la billetera firme una autorización. Es como un poder notarial para una cuenta bancaria.
El atacante utilizó precisamente eso. TRM Labs informa que preparó 50 autorizaciones firmadas, cada una vinculada a un contador de transacciones diferente, para que una de ellas coincidiera con el estado actual de la billetera. Una de ellas coincidió. La billetera en línea ejecutó entonces el código malicioso del atacante y envió sus tokens de una sola vez. El codirector ejecutivo de Binance, Richard Teng, afirmó que la delegación eludió los controles de aprobación habituales de la plataforma.
Aquí está la parte que no me cuadra. EIP-7702 solo existe en Ethereum y cadenas compatibles. No puede explicar cómo salieron 18 270 BTC de una billetera de Bitcoin, ni cómo se movieron los fondos de Tron y XRP. Esos procesos requerían transferencias firmadas ordinarias, lo que sugiere que el atacante llegó a la infraestructura de firma de Binance.
La versión de Binance ya ha cambiado. Su primera actualización, publicada pocas horas después del robo, atribuyó el incidente a un único portátil comprometido perteneciente a un ingeniero de DevOps, que permitió el acceso a un contenedor de servicios, y afirmó que no había "pruebas de filtración de claves privadas". Un día después, la plataforma declaró haber encontrado "puntos de acceso adicionales". Ninguna de las versiones es necesariamente incorrecta. Sin embargo, una historia que cambia en 24 horas justifica esperar al análisis posterior al incidente antes de sacar conclusiones definitivas.
Binance afirma que tus fondos están seguros. Lee la letra pequeña.
Para los usuarios comunes, el hackeo de Binance en 2026 se resume en una frase del exchange, repetida en cada actualización. El mensaje de Binance ha sido consistente: los fondos de los clientes están seguros y el exchange cubrirá todas las pérdidas con su fondo de emergencia y capital propio. No tengo motivos para pensar que el exchange no cumplirá con su promesa. La pregunta es qué clase de promesa es esta.
Qué puede y qué no puede cubrir SAFU
Binance afirma haber reservado 6340 millones de dólares para cubrir los daños causados por el hackeo, de los cuales aproximadamente 5000 millones ya están invertidos en los tokens afectados. El resto se está adquiriendo en el mercado y a través de plataformas de negociación extrabursátil (OTC). Los activos congelados no están incluidos en esta cifra.
El Fondo de Activos Seguros para Usuarios (SAFU, por sus siglas en inglés) se menciona con frecuencia. Es más pequeño de lo que muchos suponen. Binance lo describe como aproximadamente mil millones de dólares, y su billetera de Bitcoin en la cadena de bloques contiene alrededor de 15 000 BTC, con un valor aproximado de 1170 millones de dólares al precio del viernes. Sean Farrell, de Fundstrat, estima que el SAFU podría cubrir aproximadamente un tercio de las pérdidas no congeladas. El resto proviene del propio balance de Binance.
Si el balance es sólido, ese es un buen resultado. Sin embargo, las propias normas de SAFU otorgan a Binance "plena discreción" sobre los pagos, y los abogados citados por la BBC advirtieron que la promesa podría no ser legalmente vinculante. Una promesa respaldada por miles de millones sigue siendo una promesa, no un contrato.
El problema de la prueba de reservas
La prueba de reservas es una lista pública de monederos que una plataforma de intercambio utiliza para demostrar que posee al menos la misma cantidad de criptomonedas que las depositadas por sus clientes. CoinDesk revisó el informe de Binance del 1 de octubre y descubrió que el monedero de Ethereum vaciado, etiquetado como Binance 14, figuraba en él.
Los aproximadamente 204.500 ETH sustraídos en el hackeo a Binance representaban cerca del 5,6% del ether que Binance tenía como respaldo para sus clientes. Hasta que se repuso ese ether, las reservas de ETH se situaban cerca del 94% de los saldos de los clientes, en lugar de superar el 100%. Es posible que Binance reponga esta cantidad rápidamente, y su respaldo en USDC se situaba en el 108%. Sin embargo, la afirmación de que "los fondos de los clientes no se vieron afectados" debería interpretarse como "los clientes no sufrirán la pérdida", lo cual es una afirmación diferente.
Para ser justos, Farrell no ve ningún riesgo significativo para la solvencia. Su prueba es sencilla: con qué rapidez se reanudan los retiros y si las salidas de capital se mantienen ordenadas.
Binance sufre bloqueos por hackeo: por qué las stablecoins regresaron y Bitcoin no.
La congelación de los recursos fue la única parte de esta historia que funcionó, y funcionó por una razón que a los puristas de las criptomonedas a menudo les disgusta.
Las stablecoins como USDT y USDC son emitidas por empresas que controlan el contrato del token. Estas empresas pueden congelar, quemar y reemitir tokens. TRM Labs registró la respuesta: Tether congeló fondos a las 21:01 UTC, Circle a las 21:04, Ripple a las 22:01, World Liberty Financial a las 22:10 y el Consejo de Seguridad de Arbitrum poco después de la medianoche.
Según los cálculos de Elliptic, actualmente hay 2840 millones de dólares congelados, lo que representa aproximadamente el 44 % del robo, casi en su totalidad en stablecoins. La estimación de Binance ronda los 3000 millones de dólares.
Bitcoin y ether no tienen emisor. Nadie puede desactivarlos. TRM estima que aproximadamente 2400 millones de dólares en BTC y ETH permanecen bajo el control del atacante. Los investigadores pueden rastrear esas criptomonedas en cadenas de bloques públicas e intentar interceptarlas en las plataformas de intercambio, pero eso lleva tiempo.
Incluso el dinero congelado no se devuelve de la noche a la mañana. En declaraciones a CNBC, Ari Redbord, de TRM Labs, afirmó que la congelación "impide que el dinero se mueva", mientras que la recuperación requiere una orden judicial. Eric Jardine, jefe de investigación de Chainalysis, señaló que la devolución de los fondos "puede tardar meses o incluso años".
Cómo el hackeo de Binance se sitúa entre los más grandes de la historia.
Los titulares se han centrado en la magnitud del récord. El patrón que lo sustenta preocupa más a los analistas de TRM Labs y Elliptic, ya que lo han detectado varias veces este año.
| Incidente | Fecha | Cantidad robada | Atribución |
|---|---|---|---|
| monederos calientes de Binance | 29 de octubre de 2026 | Entre 6.300 y 6.430 millones de dólares | TraderTraitor (TRM, Chainalysis) |
| Bybit | 21 de febrero de 2025 | ~$1.46 mil millones | Corea del Norte (FBI) |
| Puente Ronin | 23 de marzo de 2022 | ~$625 millones | Grupo Lázaro (Tesoro de EE. UU.) |
| Red poligonal | 10 de agosto de 2021 | ~$611 millones | El hacker devolvió los fondos. |
| Puente de cadenas BNB | 6 de octubre de 2022 | ~$570 millones acuñados | Anónimo |
| Bitget | 24 de septiembre de 2026 | ~$387,5 millones | Corea del Norte (Análisis de cadenas) |
| KelpDAO | 18 de abril de 2026 | ~$292 millones | TraderTraitor (TRM) |
| Deriva | 1 de abril de 2026 | ~$285 millones | Vinculado a Corea del Norte (TRM) |
| Binance | 7 de mayo de 2019 | 7.000 BTC (~$40 millones) | Anónimo |
Tanto TRM Labs como Chainalysis atribuyen el ataque con alta probabilidad a TraderTraitor, una unidad de piratería informática respaldada por el Estado norcoreano. Parte de la evidencia se encuentra en la cadena de bloques: las ganancias de Binance se mezclaron con fondos robados de Bitget un mes antes. Elliptic se muestra más cauteloso, y ningún gobierno ha realizado aún una atribución formal. Binance no ha identificado al culpable.
El método es conocido: larga preparación, transacciones firmadas por adelantado y luego un ataque masivo antes de que nadie pueda reaccionar. El mismo patrón se observó en Bybit, KelpDAO y Bitget. Según TRM, Corea del Norte ha robado 12.800 millones de dólares en criptomonedas desde 2017, y 7.400 millones de dólares de esa cantidad solo en 2026, aproximadamente el 85% del valor robado en los hackeos de este año. La industria conoce esta táctica desde hace al menos 20 meses. Aún funcionó en la mayor plataforma de intercambio del mundo.
Noticias de mercado y políticas tras el hackeo de Binance.
Los mercados asimilaron el golpe con relativa calma, para los estándares del mercado de criptomonedas. CNBC informó que el viernes el Bitcoin cayó un 4,1%, hasta aproximadamente 77.446 dólares, mientras que el Ether bajó un 4,4% y el BNB un 6%, hasta alrededor de 701 dólares. Según datos de CoinGlass, se liquidaron más de 1.600 millones de dólares en posiciones apalancadas en 24 horas.
La respuesta política no se hizo esperar. El FBI declaró estar al tanto del incidente, y el Servicio Secreto de EE. UU. afirmó estar colaborando con Circle. El presidente de la CFTC, Michael Selig, declaró que el hackeo «confirma nuestra postura» respecto a la propuesta de la agencia del 5 de octubre de exigir el registro de las plataformas de intercambio offshore que prestan servicios a usuarios estadounidenses. Binance.US, una empresa independiente, afirmó no haberse visto afectada.
Qué deben hacer los usuarios de Binance mientras los retiros están suspendidos
Tras el hackeo de Binance, la principal amenaza que la mayoría de los usuarios enfrentarán esta semana proviene de los estafadores. Estos suelen seguir a cada gran hackeo de criptomonedas con mensajes falsos que anuncian que los retiros ya están disponibles y formularios de "reembolso" que solicitan tu nombre de usuario o frase de recuperación.
Binance afirma que su objetivo es reanudar los retiros el domingo 1 de noviembre y publicar una prueba completa de las reservas el lunes 2 de noviembre. Hasta entonces, se recomienda tomar algunas medidas sensatas:
- Utiliza únicamente la aplicación oficial de Binance o el sitio web que ingreses tú mismo. Ignora los enlaces en mensajes directos, correos electrónicos y anuncios de búsqueda.
- Revisa las claves API de tu cuenta, los dispositivos conectados y la lista blanca de retiros, y elimina todo aquello que no reconozcas.
- Nunca compartas tu frase de recuperación ni tu código de autenticación de dos factores. Ningún agente de soporte real te lo pedirá.
- Cuando se reanuden los retiros, verifique la red y la dirección dos veces. Las transferencias apresuradas pueden ocasionar pérdidas.
También hay una lección a largo plazo. Las criptomonedas que planeas conservar durante años no necesitan estar en ninguna plataforma de intercambio. Una billetera de hardware que controles elimina por completo este riesgo digital, aunque añade uno nuevo: te haces responsable de tus propias claves.
El veredicto sobre el hackeo de Binance en 2026: una promesa, no una garantía.
Es probable que Binance compense a todos sus clientes. Tiene el dinero y todas las razones comerciales para hacerlo. Eso es lo tranquilizador.
Lo incómodo es que los usuarios confían en la buena voluntad de Binance, no en una obligación legal, y que la versión de la plataforma sobre la brecha de seguridad ya ha cambiado una vez. El análisis posterior al incidente revelará si se trató de un fallo puntual en un ordenador portátil o de un problema más profundo en la forma en que la mayor plataforma de intercambio del mundo firma sus transacciones.
Así que, después del hackeo de Binance, la pregunta que vale la pena hacerle a cualquier plataforma que custodie tus criptomonedas es la siguiente: si mañana perdiera miles de millones, ¿qué te correspondería exactamente y quién te lo pagaría? Si no puedes responder a esa pregunta, esta semana es un buen momento para averiguarlo.
