Binance fue hackeado el 29 de octubre de 2026 por unos 6.300 M$, el mayor robo cripto registrado. Qué pasó, qué dijo Binance y qué hacer ahora.
El jueves 29 de octubre de 2026, Binance, el mayor exchange de criptomonedas del mundo, sufrió el mayor robo cripto registrado. Según la firma de análisis blockchain TRM Labs, los fondos empezaron a salir de las hot wallets de Binance a las 20:05 UTC y la mayor parte del robo terminó en unos 20 minutos. Una segunda oleada llegó hacia las 23:05 UTC.
Las primeras señales públicas llegaron de usuarios y analistas on-chain que vieron fondos saliendo de las wallets de Binance. Binance dijo a TechCrunch que estaba al tanto de informes sobre un posible problema de seguridad y que había suspendido temporalmente, como medida de precaución, los retiros en varias redes tras un incidente de seguridad. Después se suspendieron depósitos y retiros en toda la plataforma mientras el exchange investigaba.
El sábado 31 de octubre, el FBI atribuyó el ataque a hackers norcoreanos y lo vinculó al grupo conocido como TraderTraitor, el mismo que estuvo detrás del hackeo de 1.500 millones de dólares a Bybit en febrero de 2025, informó Associated Press. TRM Labs y Chainalysis ya habían atribuido el ataque a TraderTraitor; TRM, con «alta confianza».
Binance estima el impacto total en unos 6.300 millones de dólares. Las estimaciones independientes son cercanas pero no idénticas: TRM Labs lo sitúa en unos 6.360 millones (valorados en el momento de cada transferencia) y Chainalysis en unos 6.400 millones, según CNBC.
El desglose por cadena de TRM:
Como buena parte estaba en stablecoins, los emisores pudieron actuar rápido. Binance dijo que se congelaron on-chain unos 3.000 millones de dólares. TRM contabilizó unos 2.700 millones congelados a las 00:30 UTC del 30 de octubre, principalmente por Tether (unos 1.770 millones de USDT) y Circle (unos 825 millones de USDC), con congelaciones menores de Ripple, World Liberty Financial y el Arbitrum Security Council. Bitcoin y ether no tienen un emisor que pueda congelarlos, así que esos activos siguieron en manos del atacante. Congelado no significa recuperado: como explicó Ari Redbord, de TRM, a CNBC, recuperar fondos congelados exige un proceso legal aparte.
Binance aún no ha publicado la causa raíz, y los detalles siguientes pueden cambiar cuando lo haga.
En su primera actualización, Binance dijo que el portátil comprometido de un ingeniero de DevOps pudo dar al atacante acceso a un contenedor de servicio usado para enviar retiros, y que «no había encontrado pruebas de ninguna filtración de claves privadas de wallets», informó Decrypt. Un día después, Binance dijo que la investigación posterior había descubierto «puntos de intrusión adicionales». El codirector ejecutivo Richard Teng añadió que el atacante «no se limitó a usar los permisos de un ingeniero» y que no fue una acción de «un solo clic».
En Ethereum, según los investigadores, el atacante usó EIP-7702, una función de la actualización Pectra que permite a una wallet normal ejecutar temporalmente código de contrato inteligente. Según Hypernative, el atacante obtuvo una autorización válida que delegó una de las principales hot wallets de Binance, etiquetada como Binance 14, a un contrato «sweeper» bajo su control a las 20:20 UTC, y luego extrajo unos 167.464 ETH y 63 tokens en una sola llamada. Binance revocó la delegación a las 00:10 UTC del 30 de octubre. En las otras nueve cadenas, los fondos salieron mediante transferencias firmadas normales, lo que según TRM apunta a un compromiso de la infraestructura de firma de las hot wallets y no a un fallo en un contrato inteligente.
TRM también halló que la preparación empezó al menos 36 horas antes: la wallet operativa del atacante se financió a través de Tornado Cash el 28 de octubre, y el código del sweeper se probó y ensayó en otras wallets antes de usarse contra Binance.
El mensaje de Binance ha sido constante en un punto: los clientes no asumirán la pérdida.
«En resumen: tu dinero está a salvo y estamos cubriendo cada pérdida.» — Richard Teng, codirector ejecutivo de Binance, en X
Binance dijo que cubriría las pérdidas con su fondo de emergencia SAFU y fondos propios, y el 30 de octubre anunció que había reservado 6.340 millones de dólares para ello. Teng dijo el 31 de octubre que se había repuesto el 90 % de los activos robados. Al 1 de noviembre, Binance afirmó haber cubierto cerca del 95 %; el 5 % restante son tokens menos líquidos que tardan más en conseguirse, según CNBC.
Teng también afirmó que la investigación «no ha atribuido la responsabilidad a ninguna persona» y prometió «un post mortem técnico detallado cuando la investigación concluya y cada hecho esté verificado».
Opera sin ceder la custodia
Binance empezó a restablecer los retiros por fases a las 06:00 UTC del domingo 1 de noviembre. A las 12:36 UTC ya funcionaba la primera fase, con 15 redes y activos, y seguían las pruebas para el resto. The Block informó de que Cardano, Chainlink, Hyperliquid, Litecoin y NEAR estaban entre las redes que aún se probaban en ese momento.
En las primeras nueve horas y media, Binance dijo haber procesado 4.650 millones de dólares en retiros y 1.010 millones en depósitos: una salida neta de unos 3.640 millones, el 2,1 % de los 171.000 millones en activos de su prueba de reservas del 28 de octubre. Binance señaló que los volúmenes de retiro «se están estabilizando según lo previsto» tras un pico inicial. Los datos de terceros difieren: el panel de DefiLlama mostró salidas netas mayores, una cifra que Binance cuestionó.
Binance ha anunciado una prueba de reservas actualizada basada en una instantánea del 31 de octubre y calculada con pruebas de conocimiento cero. Al cierre de este artículo no se ha publicado, y es el principal asunto pendiente para evaluar el balance del exchange tras el hackeo.
Con la información disponible, Binance parece capaz de absorber la pérdida. Sean Farrell, de Fundstrat, dijo a CNBC que el ataque no parecía crear un riesgo de solvencia relevante, y la salida neta reportada al reabrir fue de alrededor del 2 % de los activos. No se ha pedido a los usuarios que compartan la pérdida.
Las preguntas abiertas son de seguridad, no de solvencia. La causa raíz no se ha publicado, la explicación inicial ya se revisó y, según el recuento de TRM del 30 de octubre, unos 2.400 millones de dólares en ETH y BTC seguían en wallets del atacante. Que Binance sea «seguro» dependerá de lo que muestre el post mortem y de si las correcciones funcionan.
Este hackeo no es un fracaso de las criptomonedas en sí, y nadie debería celebrarlo. Un equipo respaldado por un Estado pasó días preparando un ataque contra una de las operaciones de seguridad con más recursos del sector, y la respuesta de Binance ha protegido hasta ahora a sus usuarios. Hay que reconocerlo.
Aun así, deja ver un hecho estructural. Cuando guardas activos en un exchange centralizado, tienes un derecho de cobro frente al exchange, no las monedas. Tu seguridad depende de sus hot wallets, sus sistemas de firma, los dispositivos de su personal y su balance. Esta vez el balance alcanzó para cubrir 6.300 millones de dólares. En 2025, Bybit cubrió una pérdida de 1.500 millones. En ambos casos, los clientes no pudieron mover sus fondos mientras el exchange gestionaba el incidente.
La autocustodia elimina esa capa. Con una wallet no custodial, ninguna hot wallet de un exchange guarda tus fondos y no hay un fondo común que un solo ataque pueda vaciar. No está libre de riesgos: pasas a ser responsable de tus propias claves y dispositivos, las mismas tácticas de phishing que apuntan al personal de los exchanges apuntan también a particulares, y las plataformas on-chain tienen sus propios riesgos de contratos inteligentes y bridges. Pero ningún exchange puede pausar tus retiros, y una brecha en los sistemas de firma de un exchange no llega a claves que solo tú controlas.
Dexly es una app de trading no custodial construida sobre Hyperliquid. Operas perpetuos y spot desde una wallet que tú controlas, y Dexly nunca custodia tus fondos. Pruébala en dexly.trade.
Aviso de riesgo: Operar con futuros perpetuos implica un riesgo significativo de perdida. Opera solo con capital que puedas permitirte perder. Dexly es una interfaz sin custodia; eres responsable de tus propios fondos y decisiones de trading.
Opera sin ceder la custodia