El robo de 6.300 millones de dólares en cryptomonedas: un ataque complejo que partió de un equipo interno y no robó las claves de los usuarios

Binance, el exchange de criptomonedas más grande del mundo, confirmó que el 29 de octubre atacantes sustrajeron activos por alrededor de 6.300 millones de dólares de sus billeteras operativas. La compañía sostiene que los fondos de los usuarios están protegidos y que cubrirá la totalidad de las pérdidas con su fondo de seguridad SAFU y con recursos propios. Las salidas se detuvieron cuando se pausaron los retiros.

El episodio supera con creces el anterior récord de la industria: el ataque a Bybit de febrero de 2025, valuado en unos 1.500 millones de dólares. Firmas especializadas en rastreo de blockchain, como TRM Labs y Chainalysis, lo describen como el mayor robo de criptomonedas de la historia y lo atribuyen, con alto grado de confianza, al grupo norcoreano TraderTraitor (vinculado a Lazarus). Binance, por su parte, no ha atribuido públicamente la autoría y sostiene que la investigación no señala a ningún individuo concreto.

Qué ocurrió, en términos sencillos

Las billeteras de las que salió el dinero son las llamadas “hot wallets” o billeteras calientes: las que el exchange mantiene conectadas a internet para procesar retiros rápidos de clientes. No se trata de los depósitos de almacenamiento frío, que permanecen offline.

La primera explicación oficial de Binance apunta a un punto de entrada relativamente acotado. La investigación inicial sugiere que un atacante comprometió la computadora portátil de un ingeniero de DevOps —el personal encargado de mantener y operar los sistemas internos de la empresa—. Desde allí habría accedido a un “contenedor de servicio”: un componente de software aislado, que corre en los servidores de Binance y que está autorizado a presentar solicitudes de retiro. Esas solicitudes no autorizadas fueron firmadas por el propio sistema de la compañía.

Un dato central, repetido por Binance: no hay evidencia de que se hayan filtrado las claves privadas de las billeteras. La clave privada es la contraseña secreta que controla una billetera de criptomonedas. Quien la posee puede mover los fondos. En este caso, el atacante no parece haber robado esas llaves; logró que el sistema interno de Binance autorizara las transferencias.

Horas después, la compañía actualizó el relato. Señaló que la investigación posterior había detectado “puntos de intrusión adicionales” y calificó el episodio de “ataque complejo”. El co-CEO Richard Teng aclaró de manera explícita que “el atacante no usó simplemente los permisos de un ingeniero” y que “no se trató de una acción de un solo clic”. Añadió que la investigación no atribuye responsabilidad a ninguna persona en particular. La empresa prometió un informe técnico detallado una vez que los hechos estén verificados.

El mecanismo en Ethereum y la escala del drenaje

Gran parte del movimiento se concentró en un lapso breve —alrededor de 20 minutos, según TRM Labs— y afectó billeteras en al menos diez blockchains (Ethereum, Bitcoin, Tron, Solana y otras). En Ethereum, los analistas on-chain describen el uso de EIP-7702, una función introducida en 2025 con la actualización Pectra. Esta herramienta permite que una billetera ordinaria (controlada por una clave) delegue temporalmente su comportamiento a un contrato inteligente. Una vez delegada, la billetera ejecuta el código de ese contrato como si fuera propio. En la práctica, permitió vaciar una billetera caliente clave de Binance de manera eficiente, en una o pocas transacciones, sin necesidad de mover cada token por separado.

Binance estima el impacto total en torno a los 6.300 millones de dólares. Alrededor de 3.000 millones fueron congelados en cadena, gracias a la colaboración con emisores de stablecoins (como Tether y Circle) y otros actores que pueden bloquear direcciones específicas para que los tokens no sigan circulando. Los atacantes lograron mover o convertir una parte significativa antes de que se completaran esas medidas. La compañía indicó que ya reservó más de 6.340 millones de dólares de fondos propios para cubrir el incidente, de los cuales unos 5.000 millones ya están en los tokens exactos afectados; el resto se está adquiriendo en el mercado y por canales OTC.

Situación operativa y garantías a los usuarios

Los depósitos continúan operando con normalidad. Los retiros permanecen suspendidos mientras se revisa y refuerza el servicio de retiros y las direcciones asociadas. Binance afirmó que sigue en camino de reanudarlos dentro de un plazo estimado de 45 horas a partir de su comunicado más reciente. La empresa reiteró que “los fondos de los usuarios están seguros” y que cubrirá todas las pérdidas desde el fondo SAFU y desde sus propios recursos. También se comprometió a publicar un Proof of Reserves actualizado una vez concluida la remediación.

El caso pone de relieve una tensión estructural de la industria: incluso las plataformas de mayor tamaño dependen de sistemas internos de firma y de autorización de retiros que, si se ven comprometidos, pueden ordenar salidas masivas sin que se filtre una clave privada. Binance sostiene que el ataque fue más sofisticado que el acceso a un solo dispositivo y que trabaja con fuerzas de seguridad y firmas de inteligencia blockchain para rastrear y recuperar activos. El desenlace final —quiénes fueron los responsables, cuánto se recuperará y qué cambios se introducirán en la infraestructura de retiros— dependerá del informe técnico que la compañía prometió publicar cuando la investigación esté completa.