Ciberseguridad · Aviso

Binance (monederos activos) · Robo de unos 6.300 M$ en criptoactivos de monederos activos

Binance confirma un incidente de unos 6.300 millones de dólares y promete cubrir las pérdidas; la autoría norcoreana la sostienen firmas de análisis, no la empresa ni, por ahora, ninguna autoridad.

Publicado 30 octubre 2026 Lectura 9 min Ref. Sin CVE CVSS — Estado Explotación activa

Resumen

El 29 de octubre de 2026 salieron de monederos de Binance criptoactivos por unos 6.300 millones de dólares, según la propia empresa; TRM Labs calcula 6.360 millones en diez cadenas de bloques. Binance apunta, de forma preliminar, al portátil comprometido de un ingeniero, afirma no tener indicios de filtración de claves privadas y se compromete a cubrir las pérdidas. TRM Labs y Chainalysis atribuyen el robo al grupo norcoreano TraderTraitor, aunque Binance no lo ha hecho. Las retiradas seguían en pausa en la última información consultada y no hay informe técnico definitivo.

Materias: criptoactivos, incidente de seguridad, exchanges, cadena de bloques, gestión de claves y firma, atribución, Corea del Norte

Binance, la mayor plataforma de intercambio de criptomonedas del mundo, ha confirmado un incidente de seguridad con un impacto estimado de unos 6.300 millones de dólares, de los que dice tener congelados unos 3.000 millones. Si las cifras se mantienen, sería el mayor robo de criptoactivos registrado, unas cuatro veces el de Bybit de febrero de 2025 (1.500 millones). Lo que aún no se conoce es cómo ocurrió exactamente: la explicación de Binance es provisional y la investigación sigue abierta.

Descripción

Qué ha ocurrido

No se trata de una vulnerabilidad en un programa que los usuarios deban actualizar, sino de un ataque contra la infraestructura interna de una empresa. Por eso no hay CVE (identificador público de vulnerabilidades), puntuación CVSS (escala de gravedad) ni CWE (categoría de fallo) publicados, y tampoco versiones afectadas.

Los fondos salieron de monederos activos (hot wallets): monederos conectados a Internet que las plataformas usan para atender las retiradas de sus clientes.

A quién afecta

Clientes de Binance.com: las retiradas están en pausa. Binance afirma que los fondos de los usuarios están a salvo, pero se trata de su propia afirmación, sin verificación independiente por ahora.
Binance.US: según esa empresa, que se presenta como plataforma separada, no está afectada.
Clientes en la UE: no consta un desglose por países. Según informaciones de julio, Binance retiró su solicitud de licencia MiCA (el reglamento europeo de criptoactivos) en Grecia y anunció la suspensión de servicios a usuarios de la UE desde el 1 de julio, sin que hayamos podido precisar su alcance. La posición jurídica de cada cliente dependerá de la entidad con la que contrató.

Las cifras, y por qué no coinciden

Impacto total: unos 6.300 millones (Binance), 6.360 millones a precios del momento de la transferencia (TRM Labs) y 6.400 millones (Chainalysis). Son estimaciones.
Congelado: unos 3.000 millones según Binance y unos 2.700 millones según TRM Labs, con datos a las 00:30 UTC del 30 de octubre. Congelar no equivale a recuperar: los fondos quedan bloqueados, pero no han vuelto.
Fuera del alcance de los congeladores: unos 2.400 millones según TRM Labs, en más de 420.000 ETH y 18.270 BTC.

Desglose de salidas según TRM Labs: Ethereum, unos 3.790 millones; Bitcoin, 1.470 millones; Tron, 628 millones; XRP Ledger, 296 millones; Solana, 96 millones; Arbitrum, Optimism y Base, 39 millones; Avalanche, 28 millones; y Polygon, 10 millones.

Mecánica

Lo que dice Binance (preliminar)

Según su consejero delegado adjunto, Richard Teng, la investigación inicial sugiere que el incidente pudo empezar en el portátil comprometido de un ingeniero DevOps (quien gestiona el despliegue y la operación de los sistemas). Desde allí, el atacante habría accedido a un contenedor de servicio (un entorno aislado que ejecuta una función concreta de una aplicación) y enviado órdenes de retirada no autorizadas.

Teng añade que el atacante no se limitó a usar los permisos de un solo ingeniero, que no fue una acción de «un clic» y que no se ha atribuido responsabilidad a ninguna persona. Binance no ha explicado cómo se comprometió el portátil, cómo se llegó al contenedor ni qué controles fallaron.

Lo que muestra la cadena de bloques, según TRM Labs

Preparación (28 y 29 de octubre): la cartera operativa recibió fondos desde Tornado Cash, un servicio que dificulta rastrear el origen de las criptomonedas. Después se probó el código de ataque en otras carteras.
Salidas (desde las 20:05 UTC del 29 de octubre): la mayor parte salió en unos 20 minutos, con barridos adicionales en Ethereum hasta las 23:56 UTC.
Ethereum: el monedero firmó 50 autorizaciones EIP-7702 hacia un contrato controlado por el atacante.
Otras nueve cadenas: se usaron transferencias normales con firma válida.
Movimiento posterior: el atacante cambió parte de las stablecoins (criptomonedas vinculadas a una moneda, que su emisor puede bloquear) por ETH, que no tiene emisor, y dividió los bitcoins mediante una peel chain (envíos sucesivos que van separando pequeñas cantidades). CoinDesk informó de que, a las 04:23 UTC del 30 de octubre, los 19 monederos de bitcoin aún no habían movido fondos.

EIP-7702 es una función de Ethereum que permite a una cuenta delegar su ejecución en el código de un contrato inteligente. La firma va ligada al nonce (el contador de operaciones de la cuenta) y solo vale si coincide con el actual; de ahí, según TRM, que se firmaran 50 valores consecutivos para asegurar que uno encajara. La delegación persiste hasta que se cambia, lo que permitió repetir los barridos.

Lo que sigue sin confirmarse

TRM Labs considera que lo más probable es que el atacante lograra que el sistema de firma de los monederos activos firmara las transacciones que él quería en todas las cadenas. Esto encajaría con que Binance no vea indicios de filtración de claves privadas, porque no haría falta robarlas, pero es una valoración de TRM y no un hallazgo confirmado. La causa raíz sigue sin publicarse.

Atribución

TRM Labs: atribuye el ataque a TraderTraitor con «alta confianza», citando inteligencia dentro y fuera de la cadena, sin publicar todas sus pruebas.
Chainalysis: su CEO lo considera «probablemente» obra de TraderTraitor por vínculos con un ataque anterior.
ZachXBT (investigador independiente): señala que fondos de este robo y del de Bitget de septiembre confluyeron en una misma dirección, lo que indicaría un mismo actor. La autoría del caso Bitget tampoco está cerrada: las fuentes consultadas difieren sobre su grado de confirmación.
Binance y autoridades: Binance no ha atribuido el ataque, y no hemos localizado un pronunciamiento del FBI sobre este caso. El FBI sí atribuyó a TraderTraitor el robo a Bybit, pero eso no prueba por sí solo la autoría de este.

Respuesta del creador

Binance

Contención: suspendió retiradas, revocó las autorizaciones de la dirección afectada y recurrió a las fuerzas de seguridad y a empresas de análisis de cadenas de bloques.
Pérdidas: promete cubrirlas con SAFU (su fondo de emergencia para usuarios) y con fondos propios. No hemos encontrado detalle sobre el reparto entre ambos ni verificación independiente de esa capacidad.
Transparencia: anuncia un análisis técnico detallado (post-mortem) al terminar la investigación y una nueva prueba de reservas (Proof of Reserves, demostración de que mantiene activos que respaldan los saldos) tras la remediación.
Binance Alpha: suspendió también la negociación en este servicio. No hemos encontrado confirmación de su reanudación.

Sus mensajes han variado: a las 00:13 UTC afirmó que depósitos y retiradas estaban suspendidos, y a las 04:36 UTC, que los depósitos no estaban afectados, sin aclarar si se habían restablecido. También se ha señalado la tensión entre decir que los fondos están «completamente a salvo» y prometer cubrir «todas las pérdidas»: ambas cosas solo encajan si la empresa asume el quebranto.

Emisores y otros actores

Según TRM Labs, a las 00:30 UTC del 30 de octubre habían bloqueado:

Tether: unos 1.770 millones de USDT.
Circle: unos 825 millones de USDC; la empresa dijo haber actuado en coordinación con las fuerzas de seguridad.
Ripple: 40,5 millones de RLUSD confirmados por TRM. Binance habló de unos 200 millones, una diferencia sin aclarar.
World Liberty Financial: 27,8 millones de USD1.
Consejo de Seguridad de Arbitrum: 8.426 ETH y 74,6 millones de ARB, unos 30 millones de dólares.

Autoridades

Binance dice colaborar con las fuerzas de seguridad, sin nombrar ninguna. Euronews informó de que el Departamento de Justicia y el FBI de EE. UU. no habían respondido a sus preguntas. No hemos localizado comunicados de la CNMV, la ESMA ni otros supervisores europeos, ni información oficial sobre una posible afectación de datos personales.

Parches y mitigaciones

Estado de la corrección

No hay parche que instalar. Binance dice estar completando una «revisión de seguridad» del servicio de retiradas y de sus direcciones, sin detallar las medidas. La causa raíz no es pública, así que tampoco puede comprobarse externamente si el fallo está corregido.

Retiradas: en la última información consultada (30 de octubre) seguían en pausa. Binance dijo a las 04:36 UTC que espera reanudarlas «en 48 horas», sujeto a las comprobaciones de seguridad; es una previsión, no un compromiso firme. Algún titular anuncia ya su restablecimiento, pero el propio texto de esa noticia indica que seguían paradas.

Qué hacer ya si se tienen fondos en Binance

Estas son recomendaciones generales nuestras, no instrucciones de Binance:

Consultar solo canales oficiales y desconfiar de mensajes que ofrezcan «recuperar fondos» o «verificar la cuenta» aprovechando la noticia: estos incidentes suelen atraer intentos de fraude.
Conservar pruebas: descargar extractos, saldos e historial de operaciones.
No dar por hecha la fecha de reapertura al planificar pagos o garantías que dependan de esos fondos.
Empresas y despachos: identificar la entidad contratante, sus términos y la exposición del cliente, y documentar el acceso a los fondos durante la pausa.

Para otras plataformas y custodios

Medidas prudentes a la espera del informe técnico, también recomendación nuestra:

Limitar qué servicios pueden pedir firmas al sistema de los monederos activos y exigir aprobaciones independientes para operaciones inusuales.
Vigilar o bloquear las autorizaciones EIP-7702 cuando no estén previstas.
Fijar límites de importe y frecuencia de salidas que frenen automáticamente un vaciado rápido.
Reforzar la seguridad de los equipos de ingeniería y el acceso a sus entornos de producción.