Seis mil trescientos millones de dólares en veinte minutos. Esa es la cifra del robo de Binance, el mayor golpe a una exchange de criptomonedas de la historia. el jueves 29 de octubre de 2026, El FBI lo atribuyó a Corea del Norte. Y la plataforma tardó menos de una semana en cubrir el 90 % de las pérdidas con fondos propios, mientras los hackers ya estaban lavando el resto.
Lo que convierte este caso en algo más que un titular es la combinación de tres cosas: la escala, la firma de un Estado y la velocidad con la que el dinero se evaporó. Veinte minutos. Diez blockchains. Una firma que se ejecutó de una sola vez. Y un exchange que asegura haber absorbido el golpe sin que ningún usuario perdiera un céntimo.
Esta es la reconstrucción de lo que se sabe, lo que se sospecha y lo que todavía falta por explicar.
El robo de Binance: el jueves más largo de la exchange
Todo empezó el jueves 29 de octubre de 2026, alrededor de las 20:05 UTC. En los veinte minutos siguientes, aproximadamente 6.360 millones de dólares salieron de las billeteras calientes de Binance en diez blockchains distintas. La mayoría de las salidas se concentraron en un solo bloque de transacciones.
Binance detectó la anomalía y suspendió los retiros. Los depósitos siguieron funcionando. Los usuarios, que se enteraron por redes sociales antes que por la empresa, empezaron a preguntar si sus fondos estaban a salvo. La respuesta oficial tardó horas en llegar, y cuando llegó fue escalofriante: “Binance will absorb the financial impact of these stolen funds, not our users”.
El viernes 30, la empresa confirmó el incidente y anunció que había reservado más de 6.340 millones en fondos propios para cubrir las pérdidas. El sábado 31, el FBI atribuyó el ataque a Corea del Norte. El domingo 1, Binance reanudó los retiros de bitcoin y ether. El lunes, el 95 % de los activos ya estaba cubierto.
En cuatro días, el mayor robo de la historia había pasado de ser un pánico a ser un caso de estudio sobre cómo un exchange gigante puede sobrevivir a un golpe que habría hundido a cualquier banco tradicional.
Cómo ocurrió: EIP-7702 y el error que no fue un error
El mecanismo inicial sonaba a historia conocida: un portátil comprometido de un ingeniero de DevOps que habría permitido al atacante enviar transacciones de retiro no autorizadas. Binance lo mencionó en su primer comunicado. Pero el copresidente Richard Teng aclaró después que no se trataba de un permiso mal usado, sino de un proceso más complejo.
La pieza central fue el protocolo EIP-7702, una mejora de Ethereum que permite que una dirección actúe temporalmente como un contrato inteligente. El atacante obtuvo firmas por adelantado y las ejecutó todas de una vez, en una ráfaga. Un “mecanismo de autodestrucción” borró las herramientas y los rastros a medida que avanzaba.
La analogía técnica es sencilla: era como tener una llave maestra que abría la caja fuerte, usarla una sola vez para sacar todo y luego fundir la llave para que no quedara evidencia. Las firmas se habían obtenido en días anteriores, sin levantar alarmas, y se ejecutaron en una sola operación coordinada.
Diez blockchains afectadas. La mayoría de los fondos salieron en veinte minutos. Y Binance no encontró evidencias de que se hubieran filtrado claves privadas: el problema no estaba en la custodia, sino en la autorización.
Quién lo hizo: TraderTraitor
El FBI tardó dos días en atribuir el ataque. El sábado 1 de noviembre emitió un comunicado vinculando el robo al grupo TraderTraitor, la misma célula de élite norcoreana que había perpetrado el hackeo de Bybit en 2025, por 1.500 millones de dólares, y el de KelpDAO en abril de 2026.
TRM Labs y Chainalysis llegaron a la misma conclusión con “alta confianza”. Las pistas eran tres: pequeños retiros de Tornado Cash que financiaron una cartera operadora, una fase de preparación que empezó semanas antes del robo y firmas obtenidas por adelantado y ejecutadas en una sola ráfaga. Esa combinación es la firma de TraderTraitor.
Corea del Norte lleva años usando el robo de criptomonedas como fuente de ingresos para su programa armamentístico. El servicio de inteligencia surcoreano estimó en 2022 que los hackers del régimen habían robado unos 1.100 millones de dólares en activos digitales en cinco años, más de la mitad en ese solo año. Pyongyang niega sistemáticamente cualquier vinculación y no respondió a las peticiones de comentario.
El precedente reciente es el de Bybit: mismo modus operandi, mismo grupo, mismo resultado. La diferencia es la escala. Bybit perdió 1.500 millones. Binance perdió más de cuatro veces eso.
El juego del gato y el ratón
El robo no acaba cuando el dinero sale de la billetera. Empieza ahí. Y lo que siguió fue una carrera de obstáculos entre los hackers y los rastreadores.
La primera jugada fue de los defensores. Circle, emisora de USDC, congeló más de 800 millones en monedas asociadas al incidente. Tether, emisora de USDT, congeló otros 1.500 millones. Ripple y otras firmas se sumaron. En total, unos 3.000 millones quedaron bloqueados on-chain.
La respuesta de los hackers fue rápida y sofisticada. En lugar de usar mezcladores tradicionales, que dejan rastros, convirtieron los USDT robados en ether, una criptomoneda mucho más difícil de congelar. Lo hicieron vendiendo a creadores de mercado y pidiendo prestado ether contra los stablecoins robados. El resultado: el prestamista se quedaba con los stablecoins inmovilizados y los hackers, con ether limpio.
Jonathan Levin, cofundador de Chainalysis, describió el patrón como algo que no habían visto antes: “En lugar de simplemente mover los fondos hacia adelante, los circulan repetidamente entre direcciones, a menudo devolviéndolos a direcciones involucradas antes en la secuencia”. Automatización para despistar.
Después vino la conversión a fiat. Los grupos de lavado de dinero chinos —las mismas redes que ya operaban en el narcotráfico y el juego ilegal— ofrecen comprar cripto robado por un porcentaje alto y encargarse de limpiarlo. A partir de ahí, el dinero sale de la blockchain y entra en el sistema financiero tradicional, donde las posibilidades de recuperación caen en picado.
Es el mismo problema que tienen todas las víctimas de crypto: la transparencia de la blockchain ayuda al principio, pero cada salto hacia el mundo físico reduce las opciones.
Binance cubre las pérdidas
Aquí está el detalle que convierte este robo en un caso único: ningún usuario perdió dinero.
Binance anunció que cubriría el 100 % de los activos afectados usando tres fuentes: el SAFU (Secure Asset Fund for Users), creado en 2018 precisamente para esto; una parte del fondo de seguros de futuros; y el tesoro corporativo. La copresidenta Yi He confirmó que se usaría el 50 % del SAFU y que el fondo se repondría hasta los mil millones de dólares.
La cobertura fue por fases. Primero el 90 %, con los activos más líquidos. Luego el 95 %. El 5 % restante son tokens menos líquidos que Binance dijo que iría comprando en mercados y mesas de negociación hasta completar el 100 %. “Todos los BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD y ZEC están respaldados al 100 %”, afirmó la empresa.
La plataforma también publicó una prueba de reservas y reanudó los retiros por fases: primero bitcoin, luego ether, BNB y los principales stablecoins. Los depósitos, que nunca se suspendieron, siguieron operando con normalidad.
La cifra total movilizada para cubrir las pérdidas supera los 6.340 millones de dólares. Para ponerlo en contexto: es más de lo que la mayoría de los bancos centrales de América Latina tiene en reservas.
Lo que queda sin responder
A pesar de la cobertura, hay preguntas abiertas que Binance ha prometido responder cuando termine la investigación.
La primera es el punto de entrada exacto. La empresa dio dos versiones distintas: primero un portátil comprometido de un ingeniero, después un proceso más complejo. La verdad técnica aún no se ha publicado.
La segunda es si se filtraron claves privadas. Binance dice que no hay evidencias, pero la posibilidad de que una firma por adelantado haya requerido acceso a material sensible no se descarta.
La tercera es el porcentaje realmente recuperado. El 90 % cubierto no es lo mismo que el 90 % recuperado. Significa que Binance puso su propio dinero para reponer lo robado. Cuánto de lo robado se recuperará finalmente depende de la persecución de los fondos, que puede tardar años.
Y la cuarta, la más incómoda: si un exchange puede absorber un golpe de 6.300 millones sin que ningún usuario lo note, ¿qué significa eso para la seguridad del sistema? ¿Es una prueba de fortaleza o de que el riesgo se ha socializado entre los clientes?
Qué significa para el usuario
Si tienes fondos en Binance, las conclusiones prácticas son claras:
- Los retiros se reanudaron. Si los habías pausado, puedes operar con normalidad.
- Los depósitos nunca se suspendieron.
- No hubo pérdidas para los usuarios, según la empresa.
- La prueba de reservas se publicó, aunque su interpretación depende de tu nivel de confianza en la auditoría.
Más allá de este caso, el consejo de seguridad sigue siendo el mismo: activa la autenticación de dos factores, usa una clave de seguridad física si la plataforma la admite y no dejes en una exchange más de lo que estás dispuesto a perder. Las billeteras frías siguen siendo la única forma de custodia real.
La pregunta que el debate ignora
El debate se ha centrado en cómo ocurrió el robo y cómo se recuperaron los fondos. La pregunta que casi nadie hace es otra: ¿qué pasaría si Binance no tuviera 6.340 millones de reserva?
La respuesta es que habríamos visto la mayor quiebra de la historia de las criptomonedas, con millones de usuarios perdiendo sus ahorros y un efecto dominó sobre otras exchanges. Que eso no haya ocurrido no es una prueba de que el sistema sea seguro: es una prueba de que Binance es lo suficientemente grande como para absorber el golpe.
Y eso es, en el fondo, el verdadero problema. Un sistema que depende de la fortaleza de un solo actor para no colapsar no es un sistema robusto: es una apuesta. Hoy la apuesta salió bien. Mañana, no se sabe.
Preguntas frecuentes
¿Qué es TraderTraitor? La célula de élite de piratería norcoreana que el FBI vinculó al robo. Es la misma que perpetró el hackeo de Bybit en 2025.
¿Perdieron los usuarios dinero? Binance afirma que no: cubrió las pérdidas con fondos propios. Es una afirmación de la empresa, no una auditoría independiente.
¿Se recuperaron los fondos robados? Parcialmente. Unos 3.000 millones se congelaron on-chain. El resto se está lavando y su recuperación es incierta.
¿Puede pasar de nuevo? Los hackers norcoreanos han repetido el patrón en varios exchanges. La única defensa real es la arquitectura de seguridad, y esta falló.
¿Qué es la SAFU? El Secure Asset Fund for Users, un fondo que Binance creó en 2018 precisamente para cubrir pérdidas por hackeos.
¿Dónde se puede seguir el caso? En las actualizaciones de Binance, en los informes de TRM Labs y Chainalysis, y en las comunicaciones del FBI.
