Piratería de Binance: los hechos confirmados y las preguntas que siguen abiertas

El sector de las criptomonedas enfrenta un ataque sin precedentes. Casi 6,4 mil millones de dólares habrían sido robados durante una intrusión dirigida a Binance, una de las principales plataformas de intercambio mundiales. El incidente plantea preguntas sobre la seguridad de las infraestructuras, la responsabilidad de los atacantes y la protección de los fondos. Mientras que varios miles de millones ya han sido congelados, una parte importante del botín sigue en manos de los piratas. Aquí están los hechos conocidos y las principales zonas de incertidumbre.

¿Cómo se desarrolló el hackeo de Binance?

El ataque contra Binance comenzó el jueves alrededor de las 16:05, hora de la costa este de Estados Unidos, después del cierre de los mercados financieros. Los piratas entonces lanzaron varias transferencias desde billeteras calientes de la plataforma. Distribuyeron los fondos en una decena de blockchains, principalmente durante un período de aproximadamente veinte minutos. Esta operación rápidamente desató una investigación en varias redes y jurisdicciones. Las primeras estimaciones revelaron una magnitud excepcional.

Las compañías de análisis de blockchain Chainalysis y TRM Labs valoran el monto del robo en aproximadamente 6,4 mil millones de dólares. Esta cifra supera ampliamente el récord previo, establecido durante el hackeo de Bybit en febrero de 2025. Ese ataque había provocado la desaparición de alrededor de 1,5 mil millones de dólares en criptomonedas. El nuevo incidente representa así más de cuatro veces esa cantidad. Constituye ahora el mayor robo jamás reportado en la historia del sector.

No obstante, las primeras conclusiones orientan la investigación hacia una compromisión informática interna más que a una falla de las blockchains. El análisis inicial menciona una computadora portátil comprometida perteneciente a un ingeniero DevOps. Ese acceso habría permitido a los atacantes ingresar a un contenedor de servicio y desencadenar retiros no autorizados.

Posteriormente, la empresa identificó otros puntos de vulnerabilidad. Su director general, Richard Teng, mencionó un proceso más complejo, que no involucraba únicamente las autorizaciones de un ingeniero. La plataforma también afirma que los piratas usaron un mecanismo de autodestrucción para borrar sus herramientas y huellas. Sin embargo, indica que no se encontró ninguna pista de fuga de las claves privadas de sus billeteras.

Ethereum y EIP-7702: el mecanismo técnico usado

En la red Ethereum, los atacantes aprovecharon EIP-7702, una función introducida en 2025. Esta evolución permite a una billetera clásica ejecutar temporalmente código asociado a un contrato inteligente. Por lo tanto, ofrece nuevas posibilidades técnicas a los usuarios. Sin embargo, su uso en este ataque reveló los riesgos vinculados a una mala gestión de permisos. El problema identificado concierne especialmente a la forma en que los sistemas internos validaron ciertas operaciones.

Según los análisis de TRM Labs, los piratas usaron cincuenta autorizaciones prefirmadas. Estas autorizaciones les permitieron convertir temporalmente una billetera caliente de la plataforma en un contrato encargado de vaciar sus activos. El mecanismo facilitó así la transferencia de fondos sin seguir los controles habituales. Este método muestra cómo una función técnica legítima puede usarse para realizar una operación maliciosa cuando los procedimientos de seguridad fallan. Constituye uno de los elementos centrales de la investigación técnica.

Richard Teng reconoció que esta delegación no respetó los procedimientos normales de aprobación. Esta declaración aporta una visión adicional sobre el funcionamiento del ataque. Sin embargo, no significa que Ethereum tenga una vulnerabilidad fundamental. TRM Labs sitúa más bien el problema en la infraestructura de firma utilizada por la plataforma. En otras palabras, los elementos disponibles cuestionan la gestión de permisos y accesos internos. Los investigadores aún deben establecer con precisión cómo los piratas obtuvieron los permisos necesarios.

TraderTraitor y la pista norcoreana

Las compañías Chainalysis y TRM Labs atribuyen ambas esta operación al grupo TraderTraitor. Este colectivo mantiene vínculos con el Estado norcoreano y ya es uno de los actores sospechosos del robo de Bybit. Esta atribución se basa en sus análisis de los movimientos de fondos y métodos empleados. Constituye un elemento importante para entender el posible origen del ataque. Sin embargo, las conclusiones de estas empresas especializadas no reemplazan los resultados definitivos de las investigaciones oficiales.

Tras el robo, los atacantes comenzaron a mover parte de los activos robados. Convirtieron aproximadamente el 84 % de los ethers robados en bitcoins. Para hacer esta operación, usaron Thorchain, una red que permite transferencias entre diversas blockchains. Esta conversión dificulta el seguimiento de los fondos y multiplica las redes involucradas en las investigaciones. También ilustra la rapidez con que los autores pueden modificar la composición de su botín.

Esta operación eleva a más de mil millones de dólares las ganancias en criptomonedas atribuidas a Corea del Norte en 2026. Según las estimaciones comunicadas, el monto asociado a este solo ataque supera ampliamente otras sumas implicadas. La magnitud financiera del caso aumenta, así el interés de las autoridades en las actividades del grupo. Aún aumenta; así, varias preguntas siguen abiertas sobre la identidad precisa de los operarios y su organización. Los investigadores deben determinar especialmente las responsabilidades individuales tras esta operación.

Medidas de seguridad y congelación de fondos

Frente al ataque, Richard Teng anunció en un video publicado en X que Binance cubriría totalmente las pérdidas con sus propios recursos y su fondo de seguridad de activos para usuarios. Esta reserva sirve precisamente para responder a situaciones excepcionales. El directivo también afirma que los fondos de los clientes nunca fueron afectados. Para financiar esta respuesta, la empresa anunció haber reservado más de 6,34 mil millones de dólares. Esta suma debe permitir cubrir las pérdidas estimadas y mantener la protección de los usuarios.

Unos cinco mil millones de dólares ya estaban disponibles en forma de activos afectados por el hackeo. Esta reserva incluía especialmente BTC, ETH, BNB, USDC y USDT. Para completar la cantidad necesaria, Binance recompra los activos faltantes en mercados clásicos y OTC. Paralelamente, suspendió los retiros para reconstruir y probar sus sistemas. Los depósitos, sin embargo, continúan funcionando normalmente. La plataforma también planea una auditoría completa de seguridad y la publicación de una prueba de reservas.

Los emisores de stablecoins, por su parte, reaccionaron rápidamente ante las primeras alertas. Tether congeló más de 1,5 mil millones de dólares en activos relacionados con el ataque. Circle también bloqueó alrededor de 823 millones de dólares en USDC. Estas dos empresas pueden inmovilizar fondos bloqueando ciertas direcciones en sus redes respectivas. En total, unos tres mil millones de dólares han sido así congelados o localizados. Esta intervención muestra el papel particular de las empresas privadas en la gestión de stablecoins.

Sin embargo, una parte importante del botín aún escapa a estas medidas. Los piratas controlan todavía más de 420.000 ETH y 18.270 BTC, así como otros tokens. El conjunto representa un valor superior a tres mil millones de dólares según las estimaciones disponibles. Estos activos no pueden ser objeto de una congelación comparable a la de los stablecoins centralizados. Los atacantes también continúan sus transferencias a través de Tron y otras redes. Elliptic estima que aún poseen alrededor de 3,3 mil millones de dólares. La recuperación completa de los fondos dependerá en gran medida de las próximas operaciones de rastreo.

Investigación internacional y reacción de los mercados

La investigación ya supera el marco de la única plataforma. Binance coopera con varios cuerpos policiales internacionales, especialmente el FBI y los servicios secretos estadounidenses. El FBI confirmó que conoce el incidente y trabaja con sus socios. El Secret Service, que también investiga crímenes financieros vinculados a monedas digitales, no quiso hacer comentarios públicos. Esta cooperación recuerda las operaciones internacionales previas contra el blanqueo de criptomonedas.

En abril, la operación Atlantic permitió encontrar decenas de millones de dólares en activos digitales robados. Esta experiencia proporciona un precedente para las investigaciones actuales. Sin embargo, la cantidad implicada esta vez representa un desafío mucho mayor. Los investigadores deben seguir varios activos, diferentes blockchains y transferencias transfronterizas. La cooperación entre autoridades y empresas especializadas podría jugar un papel decisivo en las próximas semanas.

A pesar de la magnitud del robo en Binance, los mercados reaccionaron con relativa moderación. El Bitcoin bajó a alrededor de 76.400 dólares el viernes, una caída cercana al 4 %. Al mismo tiempo, se liquidaron posiciones apalancadas por más de 1,3 mil millones de dólares. Esta evolución sigue siendo diferente a la observada en marzo de 2018. En aquella época, un ataque fallido contra la plataforma causó una caída de casi el 11 % del bitcoin en pocos minutos.

Varios analistas explican esta reacción limitada por la madurez actual del mercado. La capitalización total de las criptomonedas alcanza alrededor de 2,6 billones de dólares. Además, los ETF de Bitcoin al contado poseen cerca de 1,3 millones de BTC. Estos inbitcoinversores institucionales no reaccionan necesariamente como los operadores particulares ante incidentes de seguridad. Compañías financieras como Cantor Fitzgerald, TD Cowen y Compass Point incluso animaron a algunos clientes a comprar acciones relacionadas con las criptomonedas. Presentaron este ataque como un problema de seguridad exclusivo de la plataforma, en lugar de una amenaza directa a las tecnologías subyacentes.

Regulación, tensiones públicas y preguntas aún abiertas sobre el caso Binance

El incidente de Binance también reavivó el debate sobre la supervisión de plataformas offshore. Michael Selig, presidente de la CFTC, utilizó este caso para defender un mayor marco regulatorio estadounidense. Durante una entrevista concedida a CNBC, estimó que esta falla confirmaba los argumentos presentados por su agencia. Esta declaración ocurre mientras la CFTC busca fortalecer la regulación del mercado de criptomonedas. El caso podría así alimentar las discusiones sobre obligaciones de seguridad y control impuestas a plataformas internacionales.

Paralelamente, el caso provocó un intercambio público entre Changpeng Zhao, fundador de Binance, y Elon Musk. El líder de SpaceX y Tesla pareció criticar la plataforma tras la publicación de información sobre el hackeo. CZ respondió mencionando especialmente la participación de su empresa en SpaceX. Recordó que esa inversión de 500 millones de dólares en la toma de control de Twitter ahora vale más de mil millones. También sugirió que un apoyo de Musk sería bienvenido. Este intercambio añadió una dimensión pública a un caso ya seguido por los actores del sector.

En esencia, Changpeng Zhao adoptó una posición desafiante frente a las consecuencias financieras del ataque. Reconoció que el robo representaba un récord en dólares, pero no necesariamente en bitcoins. Insistió especialmente en la capacidad de la empresa para absorber las pérdidas ella misma. Esta situación diferencia, según él, el incidente de quiebras importantes anteriores como las de Mt. Gox o FTX. Resumió esta postura declarando que el evento dolía, pero que la empresa podía sobrevivir.

Sin embargo, varias preguntas siguen sin respuesta. Los investigadores aún deben precisar el conjunto de accesos comprometidos y el desarrollo exacto de las operaciones. También deben determinar cuántos fondos podrán recuperarse entre los activos todavía controlados por los piratas. Finalmente, los resultados de la auditoría de seguridad permitirán evaluar los cambios necesarios en los sistemas internos. La publicación anunciada de la prueba de reservas también será un elemento importante para seguir la situación.

Por lo tanto, los próximos pasos dependerán del avance de las investigaciones, el seguimiento de las billeteras y la completa reanudación de los retiros. La capacidad de las autoridades para identificar a los responsables y recuperar los activos aún disponibles será determinante. Para el sector, este caso podría también acelerar las discusiones sobre la seguridad operativa y la supervisión de las plataformas. El caso recuerda que la protección de las infraestructuras sigue siendo un desafío central, incluso cuando las blockchains en sí mismas no presentan ninguna falla.