Ataque a Binance: impacto de US$6.300 millones y retiros suspendidos

Atacantes robaron criptomonedas de Binance el 29 de octubre en un ataque cuyo impacto la plataforma calcula en unos 6.300 millones de dólares. Binance permite comprar, vender y custodiar monedas digitales. La empresa suspendió los retiros mientras reconstruye sus sistemas de seguridad, por lo que los clientes no pueden sacar sus criptomonedas.

Los investigadores de TRM Labs rastrearon transferencias en diez redes. Binance sospechó inicialmente que una computadora vulnerada de un ingeniero pudo facilitar el acceso, pero después informó de otros puntos de entrada. Según la empresa, la investigación todavía no ha producido una explicación pública definitiva ni ha establecido la responsabilidad de ninguna persona.

Este informe recoge declaraciones comprobadas hasta las 11:27 a. m., hora del este de Estados Unidos, del 30 de octubre.

¿Qué activos salieron y cuándo?

TRM sitúa las primeras salidas principales aproximadamente a las 20:05 UTC del 29 de octubre, las 4:05 p. m. en la costa este estadounidense. Su análisis describe transferencias desde billeteras de Binance hacia direcciones controladas por el atacante en XRP Ledger, Ethereum, Bitcoin, Tron, Solana y otras redes. Los activos incluían bitcoin, ether y monedas estables, no una única criptomoneda.

La primera oleada incluyó transferencias desde cinco billeteras de XRP. TRM rastreó después actividad en Solana y Optimism, seguida por el envío de 18.270 BTC desde una billetera de Binance alrededor de las 20:20 UTC. Ethereum y Tron también registraron transferencias importantes durante ese período. Otra oleada alcanzó Avalanche y Polygon hacia las 23:05 UTC: los aproximadamente 20 minutos no abarcan todos los movimientos.

El informe de TRM valora las transferencias al precio de los activos cuando ocurrieron y describe lo observado hasta las 00:30 UTC del 30 de octubre. Ese límite temporal importa al comparar el análisis con comunicaciones posteriores de Binance. El documento reconstruye movimientos y congelaciones; no es un balance definitivo de la ubicación posterior de todos los activos.

A las 3:37 a. m. del viernes, hora del este, el codirector ejecutivo Richard Teng explicó la respuesta de Binance, incluida la revocación de autorizaciones y el trabajo con autoridades. Una actualización de las 4:47 a. m. informó de otros puntos de vulneración y afirmó que las salidas no autorizadas cesaron al suspenderse los retiros. La empresa todavía no ha publicado una cronología completa de cada sistema y operación afectados.

¿Cómo afecta la suspensión a los clientes?

La última declaración del directivo revisada dice que Binance está reconstruyendo el servicio de retiros y que no lo restablecerá hasta que supere pruebas rigurosas. Según la actualización anterior, los depósitos operan normalmente. Por tanto, puede seguir apareciendo el saldo de una cuenta aunque las transferencias de salida no estén disponibles; poder depositar no restablece la posibilidad de retirar.

Teng afirma que el robo afectó a una billetera caliente de Binance y que los fondos de los clientes no se vieron afectados. Esas afirmaciones no se han verificado de forma independiente. Una billetera caliente está conectada a internet y se utiliza para procesar transferencias. Teng dice que la mayoría de los activos de los usuarios permanece en billeteras frías y se mueve cuando hace falta para los retiros. Esa descripción de custodia no modifica la restricción anunciada.

También importa el alcance de cada aviso. Binance Japan informó que no había confirmado efectos sobre los activos de sus clientes, pero anunció suspensiones preventivas tanto de depósitos como de retiros. Ese aviso local y la comunicación global describen servicios distintos: no deben sustituirse automáticamente entre sí.

¿Cómo pudo obtener acceso el atacante?

La explicación inicial de Teng apuntaba a la posible vulneración de la computadora de un ingeniero de DevOps. Eso habría permitido acceder a un contenedor de servicios interno utilizado para presentar solicitudes de retiro no autorizadas. El directivo rechazó que los permisos de un solo empleado hubieran permitido una única acción y aclaró que no se había atribuido responsabilidad a ninguna persona. Los hallazgos posteriores ampliaron la investigación más allá de aquella hipótesis inicial.

La empresa dice que no ha encontrado pruebas de una filtración de claves privadas. En su declaración del viernes, Teng también afirmó que el atacante destruyó herramientas y rastros durante la operación, dificultando las pesquisas. Ambas son explicaciones de Binance sobre una investigación inconclusa, no conclusiones verificadas de forma independiente acerca de los controles que fallaron.

El análisis de TRM aporta más detalles sobre las operaciones en Ethereum. Según la firma, el atacante utilizó autorizaciones firmadas de antemano para que una billetera caliente de Binance ejecutara código bajo su control. Preparó 50 autorizaciones para contemplar los cambios en el contador de transacciones de la billetera. Una autorización válida bastó para instalar el mecanismo; después, el atacante retiró repetidamente activos que llegaban a esa dirección.

Según TRM, en las otras cadenas afectadas se utilizaron transferencias firmadas normales. La firma interpreta la existencia de firmas válidas en redes y sistemas distintos como un indicio de que se vulneró la infraestructura de firma de las billeteras calientes de Binance. Es su análisis, no una causa definitiva. Tampoco debe confundirse con la explicación preliminar de la empresa sobre el acceso inicial.

¿Quién investiga y a quién se señala?

TRM atribuye el ataque al grupo TraderTraitor, vinculado con Corea del Norte, con un grado alto de confianza, basándose en información de las cadenas y otras fuentes. Sigue siendo una evaluación privada, no una conclusión oficial anunciada para este incidente. La atribución del FBI de febrero de 2025 sobre el robo a Bybit corresponde a otro caso; no demuestra la responsabilidad en este ataque.

Reuters informa que el FBI y el Servicio Secreto estadounidense colaboran con Binance, citando a una persona conocedora de la situación. La agencia señaló que la embajada de Estados Unidos en Londres no hizo comentarios y que el Servicio Secreto no había respondido a una consulta enviada fuera del horario laboral estadounidense.

¿Qué significan las distintas cifras?

Los aproximadamente 6.300 millones de dólares corresponden al impacto estimado por Binance. TRM calcula por separado unos 6.360 millones, valorando los activos al precio que tenían al transferirse. Son cálculos diferentes del mismo incidente, no cantidades que deban sumarse ni un reparto confirmado de las pérdidas entre las cuentas de clientes.

Binance afirma que se congelaron unos 3.000 millones de dólares en activos afectados con ayuda de sus socios. Congelar restringe el movimiento de los activos, pero no significa, por sí solo, que Binance los haya recuperado o que los clientes hayan recibido dinero. El total recuperado y el impacto final para los usuarios siguen sin aclararse.

En su anuncio del viernes sobre recursos propios, Teng dijo que Binance había reservado más de 6.340 millones de dólares para cubrir los activos robados. Afirmó que 5.000 millones ya estaban en las criptomonedas afectadas, incluidas USDC, USDT, bitcoin, ether y BNB. La empresa está adquiriendo el resto en mercados y mediante operaciones extrabursátiles. Los 5.000 millones forman parte del compromiso de financiación.

Teng promete cubrir todas las pérdidas del ataque con recursos de la empresa. Es un compromiso de Binance, no un balance auditado de devoluciones completadas. La estimación de activos congelados y los fondos propios comprometidos describen partes diferentes de la respuesta.

¿Cuáles son los próximos pasos?

Teng espera restablecer los retiros antes del objetivo del domingo, sujeto a las pruebas. También prevé una prueba de reservas completa para el lunes 2 de noviembre, con una primera visión antes si es posible. Son metas anunciadas, no confirmación de que el servicio volvió ni una cuenta regresiva que comienza al leer este artículo.

La advertencia del defensor del inversor del PCAOB explica que las pruebas de reservas pueden examinar activos seleccionados en un momento concreto sin abarcar todas las obligaciones, los derechos de propiedad o los controles internos. Una prueba de reservas no equivale a una auditoría completa de estados financieros. Esa orientación general es anterior al ataque y no constituye un hallazgo contra Binance en este incidente.

Las próximas pruebas concretas serán un aviso de reapertura con fecha y alcance definidos, una explicación técnica del ataque y las reparaciones, y un balance de los activos congelados, recuperados o devueltos. El informe de reservas anunciado necesitará precisar su propio alcance y fecha de observación.

La Comisión Federal de Comercio advierte que las pérdidas relacionadas con criptomonedas pueden atraer estafas de supuesta recuperación. Que un ataque sea público no autentica solicitudes inesperadas de anticipos o datos de cuentas. El centro de denuncias del FBI ofrece información oficial para denunciar delitos con criptomonedas.

*¿Quieres más? Explora los titulares de hoy en NewsCubby y únete gratis a My Day para que NewsCubby forme parte de tu día.*

*FOTO DE ARCHIVO — Inauguración de Web Summit en el Altice Arena de Lisboa, el 1 de noviembre de 2022; el cofundador y entonces director ejecutivo de Binance Changpeng Zhao aparece en las pantallas durante una conversación con Katie Prescott. Solo contexto de la empresa; no muestra el ataque de octubre de 2026 ni implica que las personas retratadas fueran responsables. Foto: Ben McShane / Web Summit vía Sportsfile, «BE1_1776», CC BY 2.0. Fotografía original, sin alteraciones.*

*Los artículos de NewsCubby se elaboran con ayuda de inteligencia artificial.*

*Gracias por leer NewsCubby. Hasta la próxima.*