Binance, la mayor plataforma de negociación de activos digitales del mundo, fue víctima de un vaciamiento masivo que alcanzó la cifra récord de USD 6.300 millones.

El golpe, perpetrado mediante la infiltración en múltiples redes blockchain y la manipulación de sistemas internos de aprobación de transacciones, movilizó de inmediato a agencias de inteligencia, reguladores internacionales y a las principales firmas de análisis forense cibernético.

La escala del incidente no tiene precedentes conocidos. Firmas de análisis blockchain como TRM Labs y Elliptic concluyeron que el despojo equivale a unas cuatro veces el hackeo a Bybit de febrero de 2025 —hasta entonces el récord histórico con USD 1.500 millones— y constituye casi con certeza el mayor robo financiero conocido de cualquier tipo.

La Magnitud del Golpe: Dimensión y Alcance de la Brecha

El ciberataque impactó directamente sobre la infraestructura de una entidad con 335 millones de usuarios registrados y que custodiaba unos USD 162.800 millones en activos a finales de 2025. La vulneración simultánea de sus billeteras puso a prueba la capacidad de respuesta operativa y la solvencia de la plataforma.

En simultáneo, Changpeng Zhao, cofundador y ex CEO de la firma, reconoció públicamente en la red social X que el suceso "sí parece un hackeo", mientras la dirección de Binance prometía asumir el compromiso de absorber la totalidad de las pérdidas con recursos propios.

Cronología Detallada: De la Fase de Preparación al Vaciamiento Multichain

La secuencia del ataque revela una planificación previa minuciosa. De acuerdo con el seguimiento técnico de TRM Labs, el proceso abarcó desde incursiones exploratorias iniciales hasta un vaciamiento sincronizado en múltiples cadenas de bloques.Paso a Paso de la Incursión

• Alertas previas (Martes): Binance comunicó que durante la semana previa había logrado frustrar múltiples intentos de ciberataque atribuidos a actores norcoreanos, sin registrar en ese momento pérdidas de activos.
• Fase de preparación (Miércoles): Unas 36 horas antes del despojo, la billetera operadora del atacante recibió tres retiros de menor cuantía procedentes del mezclador Tornado Cash. TRM Labs destacó que este patrón coincide de forma idéntica con robos anteriores atribuidos a Corea del Norte, como los casos de Bybit y KelpDAO.
• Inicio del vaciamiento en XRP Ledger (Jueves, ~17:00 hora de Argentina): Cinco billeteras de Binance en la red XRP Ledger transfirieron 233 millones de XRP hacia una dirección del atacante.
• Ofensiva sobre Bitcoin y Ethereum (Jueves, 20:20 hora de Argentina): El atacante sustrajo 18.270 Bitcoins (BTC). En Ethereum, empleó 50 autorizaciones EIP-7702 firmadas de antemano para convertir una billetera caliente (hot wallet) en un "barredor" automatizado bajo su control.
• Drenaje en Avalanche y Polygon: De forma simultánea, billeteras de Binance en las redes Avalanche y Polygon enviaron fondos hacia las direcciones del ciberdelincuente.
• Congelamiento de emisores de stablecoins (Jueves noche): Las firmas emisoras reaccionaron bloqueando direcciones sospechosas:
  • Tether: Congeló casi USD 1.570 millones (21:01).
  • Circle: Congeló más de USD 800 millones (21:04).
  • Ripple: Aplicó el congelamiento a las 22:01.
  • World Liberty Financial: Restringió fondos a las 22:10.

La Vectorización Técnica: DevOps, EIP-7702 y la Manipulación de Aprobaciones

Las explicaciones sobre la causa raíz de la brecha han evolucionado a lo largo de las investigaciones. Inicialmente, Binance atribuyó el incidente al compromiso de la laptop de un ingeniero de DevOps, descartando una filtración de claves privadas.Posteriormente, el co-CEO Richard Teng aclaró que se trató de una operación compleja liderada por una estructura organizada.

Los atacantes utilizaron software malicioso que borraba sus rastros en tiempo real y lograron manipular el sistema interno de aprobación de transacciones para extraer fondos de la billetera caliente sin activar las alertas de seguridad normales.

En una actualización posterior difundida el viernes por la tarde, Binance admitió que la hipótesis de la laptop de DevOps resultaba incompleta al haberse identificado "puntos adicionales de vulneración".

Pese a ello, la empresa reiteró que hasta el momento no se halló evidencia de que las claves privadas de las billeteras hayan sido filtradas."Fue un ataque complejo, no de una sola persona, con una laptop comprometida y software malicioso que borraba rastros sobre la marcha. Los atacantes manipularon un sistema de aprobación de transacciones para mover dinero fuera de la billetera caliente sin pasar por los controles normales", aseguró Richard Teng, co-CEO de Binance

Reacción Institucional y el Plan de Reposición Patrimonial

Para garantizar la tranquilidad de los usuarios y restablecer la operativa, la plataforma desplegó un plan financiero extraordinario de cobertura.

Reposición del 80% y Transparencia de Reservas

En su segundo comunicado de seguridad, Binance informó que ya había cubierto aproximadamente el 80% del monto afectado. Para ello apartó más de USD 6.340 millones, de los cuales USD 5.000 millones se encontraban constituidos en las mismas criptomonedas sustraídas.

El 20% restante se comenzó a adquirir en el mercado abierto y mediante operaciones fuera de bolsa (OTC).En cuanto a las reservas institucionales, The Wall Street Journal consignó que el fondo de emergencia SAFU (Secure Asset Fund for Users) contaba el jueves con USD 1.230 millones en Bitcoin, suma inferior al total robado.

Por su parte, la cofundadora Yi He enfatizó que los cerca de USD 3.000 millones congelados con ayuda de los emisores representan apenas el 2% de los activos de los usuarios y reservas públicas de la empresa.Binance programó la toma de una primera instantánea técnica de Proof of Reserves en un lapso de 12 horas, previendo la entrega de resultados completos el lunes 2 de noviembre y estimando la reapertura gradual de los retiros en un plazo de 34 horas.

Atribución Internacional y el Frente Regulatorio

Las investigaciones de inteligencia ciberfinanciera determinaron rápidamente la identidad del grupo responsable detrás de la incursión.

Firmas como TRM Labs, Chainalysis y Pangolin Intelligence vincularon el ataque a TraderTraitor, una organización de hackers respaldada por el gobierno de Corea del Norte. Tras la confirmación, Binance comenzó a colaborar activamente con el FBI, el Servicio Secreto de los EE. UU. y el regulador de Abu Dabi (emisor de su licencia principal).

En paralelo, el presidente de la CFTC estadounidense, Michael Selig, remarcó en CNBC que el hecho demuestra la urgente necesidad de regular formalmente el mercado cripto.

Fondos Retenidos y Panorama de Mercado

A pesar de los congelamientos preventivos, una porción considerable de los activos robados continúa fuera del alcance de las autoridades y de la empresa.TRM Labs estimó que el atacante conserva bajo su control directo aproximadamente USD 2.400 millones, que incluyen más de 420.000 ETH y 18.270 BTC.

Ari Redbord, de TRM Labs, definió la situación como una "carrera contra el tiempo" para evitar la liquidación de dichos fondos.

Asimismo, Binance no ha detallado públicamente el estado de los USD 3.300 millones restantes de la cifra total sustraída.

Impacto en los Precios

La noticia provocó caídas inmediatas en las cotizaciones de los principales activos digitales:

• Bitcoin (BTC): Tocó un mínimo de seis semanas en los USD 76.368, registrando caídas superiores al 4% durante la jornada del viernes.
• BNB (Token de Binance): Registró un descenso del 6,74% en un periodo de 24 horas.

El restablecimiento operativo de Binance y la publicación de su informe técnico definitivo en las siguientes 48 horas marcarán el rumbo de este histórico caso, cuyo desenlace definirá nuevos estándares en la seguridad y regulación de los mercados de activos digitales.

Fuente: Infobae