Robo masivo en Binance expone la seguridad operativa del sector cripto

El 29 de octubre, a las 20:05 hora UTC, se inició el vaciado de monederos de Binance, la mayor plataforma global de intercambio de criptomonedas. Un atacante logró mover alrededor de 6.360 millones de dólares en diez cadenas de bloques, completando la mayor parte de la operación en apenas veinte minutos. Tras el incidente, Binance procedió a suspender los depósitos y retiradas.

Este suceso marca el mayor robo de criptomonedas hasta la fecha, superando en cuatro veces el récord anterior de 1.500 millones de dólares registrado en Bybit en febrero de 2025 y casi duplicando el total de 3.400 millones de dólares robados en el sector durante 2025, según datos de Chainalysis. Este incidente no es el primero para Binance, que previamente sufrió pérdidas de 7.000 bitcoines en 2019 (unos 40 millones de dólares) y 570 millones en 2022. En el botín del 29 de octubre, los activos más afectados fueron Ethereum (3.790 millones de dólares), seguido de 18.270 bitcoines (1.470 millones de dólares), Tron (628 millones de dólares) y XRP (296 millones de dólares), según un análisis de The Conversation España.

La investigación preliminar de Binance sugiere que el ciberdelincuente comprometió el portátil de un ingeniero de operaciones, obteniendo acceso a un sistema interno para ordenar retiradas. El objetivo fueron las “carteras calientes”, monederos conectados a internet. En la cadena de Ethereum, el atacante utilizó 50 autorizaciones firmadas previamente para tomar control de una cartera de Binance, mientras que en las otras nueve cadenas los fondos fueron transferidos mediante firmas estándar. Los indicios apuntan a que el sistema de firma de Binance fue dominado tras al menos 36 horas de preparación. Este método refuerza la observación de que el eslabón débil reside en las personas y los procesos, no en la criptografía, un patrón similar a lo ocurrido con Bybit y Bitget.

Expertos atribuyen el ataque a TraderTraitor, la unidad norcoreana que el FBI vinculó con el caso Bybit. Se estima que Corea del Norte, responsable del 59% de los robos de criptomonedas en 2025 (2.020 millones de dólares), utiliza estos fondos para financiar sus programas armamentísticos, y este único golpe casi iguala su historial acumulado de 6.750 millones de dólares.

La acción de emisores centralizados de criptomonedas estables ha sido clave para mitigar parte del daño. Tether congeló aproximadamente 1.770 millones de dólares en USDT y Circle inmovilizó cerca de 825 millones de dólares en USDC. Junto con Ripple, World Liberty Financial y la red Arbitrum, el total inmovilizado ronda los 2.700 millones de dólares, según TRM Labs, mientras que Binance estima la cifra en 3.000 millones. El ciberdelincuente ha intentado deshacerse de estas stablecoins, vendiendo USDT con un sobreprecio del 10%, buscando adquirir criptoactivos imbloqueables y difíciles de rastrear. Aún controla más de 420.000 ether y los 18.270 bitcoines robados, lo que representa unos 2.400 millones de dólares fuera del alcance de cualquier emisor.

En cuanto a la solvencia de Binance, la situación difiere de la quiebra de FTX en 2022, que se debió a un uso indebido de fondos de clientes. En este caso, se trata de un robo externo a una empresa solvente. Antes del ataque, Binance custodiaba 144.000 millones de dólares, lo que implica que la pérdida bruta representa un 4,4%, cifra que se reduce a un 2,5% tras descontar los activos congelados. La compañía ha manifestado su intención de cubrir las pérdidas con su fondo de emergencia SAFU y recursos propios, si bien el SAFU, convertido a bitcóin este año, asciende a unos 800 millones de dólares. Fundstrat, una firma de análisis, no ha identificado un riesgo de solvencia relevante, y Binance anticipa reabrir las retiradas en 48 horas.

El incidente subraya los riesgos derivados de la concentración de activos. En el segundo trimestre de este año, Binance gestionaba el 38,7% de los activos movilizados en las diez mayores plataformas digitales. Una desestabilización en un nodo de tal magnitud puede impactar la confianza del mercado. La Comisión Nacional del Mercado de Valores (CNMV) en España ya había advertido sobre la no excepción a la regulación, y el caso refuerza la relevancia del reglamento MiCA en Europa, que exige la separación de recursos propios y activos de clientes, y responsabiliza a las plataformas por pérdidas atribuibles, incluidos los ciberataques.