Hackeo de Binance: cronología, culpables y cuánto se robó realmente

El hackeo de Binance sacó unos US$6.300 millones de 17 billeteras calientes del exchange en nueve redes, en menos de cuatro horas del jueves 29 de octubre. Es el mayor robo de criptomonedas registrado: más de cuatro veces el de Bybit y casi el doble de todo lo robado en 2025. Binance dice que todo empezó en el portátil comprometido de un ingeniero, que no se filtraron claves privadas y que cubrirá todas las pérdidas. Chainalysis, TRM Labs y otros investigadores apuntan al grupo norcoreano TraderTraitor. Los retiros siguen pausados y Binance prevé reabrirlos hacia la madrugada del domingo.

Actualización del viernes 30 de octubre, 11:00 a. m. de Bogotá (16:00 UTC). Nota en desarrollo.

Lo nuevo este viernes

• La causa, según Binance. Su investigación inicial apunta al “portátil comprometido de un ingeniero DevOps”, que le dio al atacante acceso a un contenedor de servicio desde el que envió retiros no autorizados. No encontró pruebas de que se filtrara ninguna clave privada. Horas después dijo que halló “puntos de intrusión adicionales”.
• “No fue un solo clic”. El codirector ejecutivo Richard Teng escribió que el atacante “no usó simplemente los permisos de un ingeniero” y que fue “un proceso de ataque más complejo”. Aclaró que la investigación “no ha atribuido la responsabilidad a ningún individuo”.
• Binance aparta US$6.340 millones. Dice que reservó más de US$6.340 millones de fondos propios para cubrir el hackeo. De eso, US$5.000 millones ya están en los mismos tokens robados; el resto lo compra en el mercado y por OTC, lo que puede tardar en tokens con poca liquidez. Esa reserva no incluye lo congelado.
• Unos US$3.000 millones congelados, según Binance. Lo bloquearon Tether, Circle, World Liberty Financial, Ripple, First Digital, Paxos y el Consejo de Seguridad de Arbitrum.
• Retiros: unas 45 horas. A las 3:37 a. m. de Bogotá del viernes (08:37 UTC), Binance dijo que va “en camino” de reanudar los retiros en 45 horas. Por nuestro cálculo, eso apunta a la madrugada del domingo 1 de noviembre, hacia las 12:40 a. m. de Bogotá; Binance no ha dado una hora. Los depósitos funcionan con normalidad.
• Las autoridades. Binance dice que trabaja con las fuerzas del orden, sin nombrarlas. Una fuente citada por Cointelegraph dice que coopera con el FBI. Ninguna autoridad ha atribuido el ataque en público.

Cuánto se robó realmente

No hay una sola cifra porque cada firma cuenta distinto: unas valoran las monedas al precio del momento del robo, otras a precios de horas después, y no todas incluyen el retiro de XRP, que no comparte direcciones con el resto del ataque.

Fuente	Estimación
Binance (“impacto total estimado”)	Unos US$6.300 millones
Chainalysis	US$5.912 millones al momento del robo; luego, US$6.400 millones
Arkham	US$6.360 millones en diez redes
Bitquery (17 billeteras, nueve redes)	US$6.320 millones

Según Bitquery, la cifra de Binance solo cuadra si se suman los 233,5 millones de XRP que salieron por el XRP Ledger: unos US$300 millones ligados al ataque por la hora y la forma de las transacciones. Este es el reparto por red, al precio del momento del robo:

Red	Valor robado
Ethereum (tres billeteras)	US$3.770 millones
Bitcoin (18.270 BTC)	US$1.480 millones
Tron (613 millones de USDT y más)	US$628 millones
XRP Ledger (233,5 millones de XRP)	US$300 millones
Solana	US$96 millones
Arbitrum	US$32 millones
Polygon	US$10 millones
Optimism	US$4,8 millones
Base	US$2,7 millones
Total	US$6.320 millones

Fuente: investigación de Bitquery, con datos leídos hasta las 06:43 UTC del 30 de octubre.

Cronología del hackeo, minuto a minuto

Hora de Bogotá (UTC)	Qué pasó
28 oct, mañana	La billetera que opera el ataque recibe sus primeros fondos desde Tornado Cash, un mezclador que borra el rastro (Arkham).
29 oct, madrugada	El atacante prueba su código en dos billeteras y lo ensaya en una tercera (Arkham).
9:54 a. m. (14:54)	La billetera para pagar comisiones recibe cerca de 1 ETH desde Tornado Cash (Bitquery).
3:04 p. m. (20:04)	Primer vaciado: 233,5 millones de XRP salen hacia una cuenta creada un minuto antes (Bitquery).
3:10 p. m. (20:10)	Empieza el vaciado en Solana.
3:20 p. m. (20:20)	Salen 613 millones de USDT de la billetera de Binance en Tron y 18.270 BTC en un solo bloque de Bitcoin. A las 3:20:59 p. m., el atacante instala en la billetera Binance 14 de Ethereum 50 autorizaciones EIP-7702.
3:24 p. m. (20:24:23)	Golpe principal: una sola transacción saca de Binance 14 unos 167.464 ETH, 1.600 millones de USDT y decenas de tokens. Arkham la valora en US$2.530 millones.
3:30 p. m. (20:30)	Empieza el vaciado en Arbitrum.
3:48 p. m. (20:48)	Los 18.270 BTC quedan repartidos en 19 direcciones, casi todas de 1.000 BTC exactos. No se han movido desde entonces.
3:57 p. m. (20:57)	World Liberty Financial congela los WLFI de la billetera receptora: el primer congelamiento de la noche.
4:01 p. m. (21:01)	Tether congela USDT del atacante. Para entonces, 700 millones de USDT ya habían salido hacia otras billeteras.
4:04 p. m. (21:04)	Circle congela 823 millones de USDC.
4:29 p. m. (21:29)	Binance publica que los fondos de los usuarios están “completamente seguros”.
5:15 p. m. (22:15)	Binance informa que deshabilitó los retiros.
6:56 p. m. (23:56)	Último vaciado en Ethereum, más de hora y media después de la pausa de retiros.
7:10 p. m. (00:10)	Binance anula la autorización EIP-7702: el código del atacante controló su principal billetera de Ethereum durante 3 horas y 50 minutos.
7:18 p. m. (00:18)	El Consejo de Seguridad de Arbitrum bloquea 74,6 millones de ARB y 8.425 ETH, unos US$30,5 millones.
9:25 p. m. (02:25)	Binance publica sus primeros hallazgos: el portátil de un ingeniero, sin filtración de claves y un impacto estimado de US$6.300 millones.
30 oct, 12:01 a. m. (05:01)	Jonathan Levin, director ejecutivo de Chainalysis, atribuye el ataque “probablemente” a TraderTraitor. ZachXBT vincula los fondos con el hackeo de Bitget.
3:37 a. m. (08:37)	Binance habla de “puntos de intrusión adicionales” y de reabrir los retiros en 45 horas.
5:09 a. m. (10:09)	Chainalysis dice ver patrones de lavado “nunca antes vistos”, con miles de transacciones automatizadas.
5:55 a. m. (10:55)	Binance anuncia la reserva de US$6.340 millones para cubrir las pérdidas.

Fuentes de la cronología: Arkham, Bitquery, Etherscan, el blog en vivo de Cointelegraph y las cuentas oficiales en X de Binance y de los emisores. Las horas de cada vaciado vienen de los registros de las cadenas de bloques.

Quién está detrás: lo que se sabe y lo que no

• Chainalysis: Levin escribió que el robo “probablemente” lo hizo TraderTraitor, un grupo de Corea del Norte, “por vínculos con un hackeo anterior”.
• TRM Labs: atribuye el ataque a TraderTraitor con “alta confianza”, basada en inteligencia dentro y fuera de las cadenas de bloques.
• ZachXBT: el investigador vio fondos de este ataque y del hackeo a Bitget de septiembre mezclados en la misma dirección, tras pasar por THORChain. “Esto indica que probablemente el mismo actor está detrás de ambos incidentes”, escribió. El hackeo de Bitget ya se había atribuido a TraderTraitor.
• Blockaid: su director ejecutivo, Ido Ben-Natan, dijo a Cointelegraph que la preparación en cadena, el contrato para barrer fondos y las múltiples autorizaciones se parecen al trabajo de Corea del Norte.
• Binance: no ha nombrado a nadie. Dice que trabaja con las fuerzas del orden.

TraderTraitor es el mismo grupo al que el FBI culpó del robo de US$1.500 millones a Bybit en febrero de 2025, y forma parte del ecosistema de hackers norcoreanos conocido como Lazarus. Hoy la atribución viene de empresas privadas de análisis, no de un gobierno.

Cómo lo hicieron

Las cadenas de bloques confirman la versión de Binance en un punto clave: cada retiro lleva una firma válida de una billetera del exchange. El sistema de retiros de Binance firmó las transferencias, pero quien las pidió fue el atacante. Según Bitquery, esas transacciones estaban construidas distinto a las normales: en Bitcoin pagaron cerca del doble de la comisión habitual.

En Ethereum, el atacante fue más lejos. Usó EIP-7702, una función que permite a una billetera ejecutar el código de un contrato como si fuera propio. Como cada autorización solo sirve para un número exacto de transacción, preparó 50 seguidas para asegurarse de que una coincidiera. Desde ese momento, la billetera Binance 14 obedeció al atacante. Ben-Natan, de Blockaid, dijo que el robo era posible sin EIP-7702, pero que esa función le permitió hacerlo “de un solo barrido”.

Dónde está el dinero ahora

A las 06:43 UTC del viernes, el atacante conservaba unos US$3.200 millones, según Bitquery: unos US$1.430 millones en BTC, US$1.140 millones en ETH, US$294 millones en XRP, US$227 millones en TRX y US$95 millones en SOL. Casi todo está en billeteras que nunca han enviado una transacción. Bitquery no encontró envíos a exchanges, mezcladores ni puentes conocidos hasta esa hora. Arkham, con otro método, calcula que el atacante tiene unos US$2.400 millones.

Ya hay movimiento: desde la madrugada, el atacante convierte TRX en USDT en SunSwap a través de direcciones nuevas, y Chainalysis reporta miles de transacciones automatizadas para borrar el rastro.

Lo que muestran los datos (análisis de Criptoinforme)

• Ethereum fue el 60% del golpe. De los US$6.320 millones que calcula Bitquery, US$3.770 millones salieron de Ethereum, casi todo de una sola billetera.
• La pausa de retiros no cerró la puerta. El último vaciado en Ethereum ocurrió a las 6:56 p. m. de Bogotá, más de hora y media después de que Binance deshabilitara los retiros. La pausa frenó a los usuarios, pero el código del atacante siguió activo dentro de la billetera hasta que Binance anuló la autorización, a las 7:10 p. m.
• El atacante pagó por huir de los congelamientos. Robó unos 200.630 ETH, pero ya tiene 508.621 ETH: 2,5 veces más. La diferencia la compró con stablecoins y tokens robados, pagando cerca de 15% por encima del precio de mercado, según Bitquery. Prefirió perder dinero antes que dejar USDT que Tether podía bloquear.
• Tether llegó tarde a la mitad de las billeteras. Seis de sus 11 congelamientos cayeron en billeteras que ya estaban vacías, y 729 millones de USDT se cambiaron por ETH y TRX antes de los bloqueos (Bitquery).
• Congelado, menos de la mitad. Los US$3.000 millones que reporta Binance son el 48% de su propia estimación. El resto está en BTC, ETH, XRP, TRX y SOL, monedas sin un emisor que pueda congelarlas.

Los mayores robos de criptomonedas

Caso	Valor al momento del robo
Binance (2026)	Unos US$6.300 millones
Bybit (2025)	Unos US$1.500 millones
Ronin, Axie Infinity (2022)	Unos US$620 millones
Poly Network (2021)	Unos US$610 millones, devueltos casi en su totalidad
BNB Bridge, de Binance (2022)	Unos US$570 millones
Coincheck (2018)	Unos US$530 millones

Solo este robo supera todo lo robado en criptomonedas en 2025 (US$3.400 millones, según Chainalysis). Binance ya había sufrido el robo de 7.000 BTC en 2019, que cubrió con SAFU, su fondo de emergencia, y el ataque al puente de BNB Chain en 2022.

El impacto en el mercado

Bitcoin cayó hasta US$76.400, su nivel más bajo desde el 18 de septiembre, y las liquidaciones llegaron a US$1.570 millones, según CoinDesk. BNB, el token de Binance, llegó a caer 8%, hasta unos US$693.

Qué significa para ti

• Si tienes fondos en Binance: no puedes retirarlos hasta que reabra el servicio. Binance dice que tus fondos están a salvo y que cubrirá cada pérdida; es su compromiso, no una garantía de un supervisor. Publicará una prueba de reservas actualizada cuando termine la reparación.
• En Venezuela y Bolivia, el precio del USDT no se disparó: el P2P en bolívares seguía cerca de Bs 1.003 el viernes por la mañana, como antes del ataque, y en Bolivia la mediana era de Bs 12,19 tras el hackeo. Ninguna fuente oficial ha aclarado si el P2P de Binance opera con normalidad.
• En España, Binance no tiene licencia MiCA y, desde julio, sus usuarios solo pueden vender a euros o USDC y retirar. Retirar es justo lo que está pausado. La CNMV advirtió que con una plataforma no autorizada no hay protección de MiCA.
• Cuidado con las estafas. Nadie puede “desbloquear” tu saldo ni adelantarte un retiro. Sigue solo los canales oficiales de Binance y no firmes nada ni envíes monedas a quien te escriba por el hackeo.
• Cuando vuelvan los retiros: revisa la dirección antes de confirmar y usa la lista blanca de direcciones de retiro.

Te puede interesar: los mejores exchanges en Venezuela, qué hacer con tus criptomonedas en Binance si vives en España y el chip espía que vació billeteras Ledger.

Fuentes consultadas el 29 y 30 de octubre de 2026: Binance y Richard Teng (X); Arkham; Bitquery; blog en vivo de Cointelegraph (Chainalysis, TRM Labs, ZachXBT, Blockaid, First Digital y Arbitrum); CoinDesk; Etherscan; Lookonchain; ExchangeMonitor y usdt.com.ve; Chainalysis (robos de 2025). Este contenido es informativo y no es una recomendación de inversión.

La entrada Hackeo de Binance: cronología, culpables y cuánto se robó realmente se publicó primero en Criptoinforme.