Binance sufrió el mayor robo de criptomonedas conocido hasta la fecha el 29 de octubre, cuando unos 6.300 millones de dólares salieron de sus monederos en apenas veinte minutos. El ataque no explotó una vulnerabilidad de Bitcoin o Ethereum, sino que se apoyó en una operación de ingeniería social contra empleados y en el acceso posterior a la infraestructura utilizada para autorizar transacciones.
Una intrusión preparada durante semanas
La investigación interna de Binance apunta a que la operación comenzó antes del robo. En septiembre, un desarrollador de software recibió a través de una plataforma de empleo legítima el contacto de una persona que se presentó como director de proyecto. Después participó en una videollamada con un supuesto responsable de recursos humanos. Los atacantes utilizaron perfiles en redes sociales y fotografías personales para reforzar la apariencia de legitimidad.
Durante una entrevista posterior, el empleado recibió una prueba de programación. El archivo que debía descargar incluía software malicioso que, según Binance, consiguió superar las medidas de seguridad existentes. El 20 de octubre, los atacantes emplearon el ordenador infectado para alcanzar a otros dos trabajadores relacionados con los monederos de la compañía.
La empresa descubrió más tarde que había varios puntos de acceso comprometidos. Con credenciales sustraídas, los responsables entraron en parte de la infraestructura interna y ejecutaron código malicioso el 29 de octubre. La actividad comenzó alrededor de las 20.05 UTC. Binance suspendió las retiradas cuando detectó el incidente y sus equipos empezaron a revocar permisos, pero el control completo de la situación no llegó hasta aproximadamente la medianoche.
Miles de millones movidos a través de varias redes
Durante ese intervalo, los atacantes drenaron fondos a través de distintas cadenas de bloques. TRM Labs calcula que solo en Ethereum se sustrajeron unos 3.790 millones de dólares, incluidos 200.630 ETH y grandes cantidades de USDT, USDC y RLUSD. También desaparecieron 18.270 bitcoins, valorados entonces en unos 1.470 millones de dólares, además de cientos de millones en activos transferidos por Tron, XRP Ledger y Solana.
En Ethereum, el ataque aprovechó una función que permite autorizar por adelantado la ejecución de determinados programas en nombre de un monedero. Los intrusos manipularon un monedero de Binance para que su propio código pudiera ordenar transacciones. Después, convirtieron parte de los activos en ether y dispersaron los fondos mediante diferentes cadenas y protocolos de finanzas descentralizadas.
Las estimaciones sobre el importe final varían. Binance sitúa las pérdidas en unos 6.300 millones de dólares; TRM Labs las eleva a aproximadamente 6.360 millones y Elliptic, a cerca de 6.430 millones. En todos los casos, el ataque supera ampliamente el anterior récord: el robo sufrido por Bybit en febrero de 2025, cifrado en unos 1.460 millones de dólares.
Congelaciones, atribución y reposición de fondos
La respuesta posterior se concentró en bloquear los activos que todavía podían identificarse. Según Elliptic, se han congelado o interceptado unos 2.850 millones de dólares, alrededor del 44% del botín. La mayor parte corresponde a monedas estables, cuyos emisores, como Tether y Circle, pueden congelar determinadas direcciones. El resto resultó más difícil de inmovilizar y los atacantes recurrieron también a puentes entre cadenas y tokens creados para complicar el rastreo.
El FBI atribuyó el 31 de octubre la operación a Corea del Norte y la vinculó con TraderTraitor, el nombre utilizado para identificar campañas cibernéticas norcoreanas contra empresas de criptomonedas. Pyongyang niega esas acusaciones.
Binance aseguró que sus clientes no asumirían las pérdidas y destinó más de 6.340 millones de dólares de recursos propios, incluidos fondos del fondo de emergencia SAFU y otras reservas. El 4 de noviembre comunicó que había repuesto alrededor del 98% de los activos afectados. El 2% restante correspondía principalmente a tokens menos líquidos.
El incidente provocó retiradas netas de clientes por unos 4.720 millones de dólares, cerca del 3% de los activos de la plataforma, según Reuters. Binance afirmó después que los flujos se habían normalizado en gran medida y que las retiradas se reabrían de forma gradual. El caso deja una conclusión clara: en una plataforma de criptoactivos, el riesgo decisivo puede encontrarse fuera de la cadena de bloques, en los empleados y en los sistemas que permiten autorizar movimientos de fondos.
