Hackeo a Binance: qué se sabe del robo de USD 6.300 millones en 20 minutos

Binance sufrió un ataque informático que derivó en el robo de USD 6.300 millones, en una operación ejecutada en unos 20 minutos del jueves por la tarde (hora argentina) sobre billeteras de la compañía en diez blockchains. Según Reuters, se trata del mayor exchange del mundo y del mayor robo financiero registrado hasta ahora, y los analistas atribuyen el golpe a Corea del Norte.

TRM Labs calculó que la cifra equivale a unas cuatro veces el hackeo a Bybit de febrero de 2025, hasta el momento el récord, con USD 1.500 millones. Elliptic sostuvo que el incidente es casi con certeza el mayor robo conocido de cualquier tipo. La compañía cuenta con 335 millones de usuarios registrados y unos USD 162.800 millones en custodia a fines de 2025.

La secuencia comenzó el martes, cuando Binance informó que había bloqueado durante la semana previa múltiples intentos de ciberataque vinculados a actores norcoreanos, sin pérdidas de activos. Un día después, según TRM, la billetera del atacante recibió tres retiros pequeños de Tornado Cash, unas 36 horas antes del robo, un patrón que coincide con golpes previos atribuidos a Corea del Norte.

El jueves, cerca de las 17, cinco billeteras de Binance en XRP Ledger enviaron 233 millones de XRP a una dirección del atacante. A las 20:20 siguieron Bitcoin, con 18.270 BTC, y Ethereum, donde el atacante usó 50 autorizaciones EIP-7702 firmadas de antemano para convertir una billetera caliente en un barredor bajo su control. Luego se sumaron billeteras en Avalanche y Polygon.

Los emisores de stablecoins reaccionaron con rapidez: Tether congeló fondos a las 21:01, Circle a las 21:04, Ripple a las 22:01 y World Liberty Financial a las 22:10. Reuters precisó que Tether congeló casi USD 1.570 millones y Circle más de USD 800 millones.

Binance suspendió los retiros y afirmó que los fondos de los clientes están a salvo y que absorberá las pérdidas. Su investigación inicial apuntó a la laptop comprometida de un ingeniero de DevOps y descartó evidencia de filtración de claves privadas. El co-CEO Richard Teng describió un ataque complejo, con software malicioso que borraba rastros y la manipulación de un sistema de aprobación de transacciones.

TRM Labs y Chainalysis atribuyeron el hackeo a TraderTraitor, un grupo norcoreano respaldado por el Estado, el mismo que el FBI identificó como responsable del robo a Bybit. Corea del Norte suele negar este tipo de acusaciones y no respondió a Reuters. Binance trabaja con el FBI y el Servicio Secreto, mientras el regulador de Abu Dabi que emitió su licencia principal sigue el caso.

En su segundo comunicado de seguridad, la empresa informó que ya cubrió aproximadamente el 80% del monto afectado y apartó más de USD 6.340 millones, de los cuales USD 5.000 millones están en los mismos activos robados: USDC, USDT, BTC, ETH y BNB. El resto lo compra en el mercado y en operaciones OTC. Los depósitos siguen operativos y los retiros volverían en unas 34 horas, de forma gradual y sujetos a verificaciones de seguridad.

Binance admitió que la hipótesis de la laptop comprometida quedó incompleta, ya que la investigación posterior encontró puntos adicionales de vulneración, y prometió hallazgos técnicos en unas 48 horas. También prevé una primera instantánea de Proof of Reserves en 12 horas, con resultados el lunes 2 de noviembre.

En los mercados, Reuters registró que el bitcoin tocó un mínimo de seis semanas en USD 76.368 y que el BNB cayó 6,74% en 24 horas, mientras CNBC consignó una baja superior al 4% del bitcoin el viernes. TRM estima que el atacante retiene unos USD 2.400 millones, entre ellos más de 420.000 ETH y 18.270 BTC, y Reuters aclaró que Binance no informó el estado de los USD 3.300 millones restantes.