Hackeo a Binance de 6.300 millones de dólares: qué está confirmado, qué no y qué significa para quien guarda cripto en un exchange

En la tarde-noche del jueves 29 de octubre de 2026, en unos veinte minutos, un atacante movió unos 6.300 millones de dólares fuera de las wallets de Binance en diez blockchains. Es el robo de criptomonedas más grande jamás registrado, unas cuatro veces los 1.500 millones sustraídos a Bybit en febrero de 2025. Binance dice que asumirá la pérdida y que los fondos de los usuarios están a salvo. El FBI dice que fue Corea del Norte. Quedan abiertas cuestiones centrales, empezando por cómo entró el atacante. Este artículo separa lo que las fuentes primarias establecen de lo que sigue siendo afirmación de parte, con los datos disponibles en las primeras horas del 1 de noviembre de 2026.

La versión corta

• Confirmado por Binance: un incidente de seguridad que afectó a unos 6.300 millones de dólares en activos de clientes. Suspendió depósitos y retiros el jueves, revocó las autorizaciones de las direcciones afectadas y dice no haber encontrado pruebas de que se filtrara ninguna clave privada.
• Confirmado por analistas on-chain: TRM Labs cuenta unos 6.360 millones movidos desde wallets atribuidas a Binance en diez blockchains, la mayor parte en unos 20 minutos. Chainalysis cuenta unos 6.400 millones.
• Confirmado por el FBI: el sábado 31 de octubre el FBI, junto con el Servicio Secreto e IRS Criminal Investigation, atribuyó el ataque a TraderTraitor, un grupo norcoreano vinculado al Estado, según el relato de la declaración que hace NPR. La misma unidad fue señalada por el robo a Bybit.
• Congelado: unos 2.700 a 2.800 millones según TRM y Chainalysis, sobre todo stablecoins bloqueadas por Tether, Circle, Ripple y World Liberty Financial. Binance habló de unos 3.000 millones.
• Desconocido: la causa. Binance señaló primero el portátil comprometido de un ingeniero DevOps, luego dijo que la investigación halló puntos de brecha adicionales y que el ataque fue más complejo que el mal uso de los permisos de un solo ingeniero. Se ha prometido un análisis técnico, no está publicado.
• El compromiso de Binance: dice haber repuesto cerca del 90 % de los activos robados y que cubrirá el resto. La reanudación de los retiros estaba prevista para el domingo 1 de noviembre.

Cronología

Miércoles 28 de octubre, por la mañana. Según TRM, la wallet operativa del atacante recibe tres pequeños retiros de Tornado Cash, primer indicio de preparación. TRM dice que los preparativos empezaron al menos 36 horas antes del robo.

Jueves 29 de octubre, de madrugada. TRM indica que el operador desplegó un primer código y lo probó en dos wallets, después ensayó la versión final en una tercera wallet y devolvió los fondos de prueba a sí mismo. Unas cuatro horas después del ensayo, el mismo código se instaló en una hot wallet de Binance.

Jueves 29 de octubre, 20:05 UTC (16:05 en Nueva York). El primer robo, según TRM, ocurre en el XRP Ledger: entre las 20:05 y las 20:09 UTC cinco wallets de Binance envían 233,46 millones de XRP a una única dirección del atacante. Poco después de las 20:10 siguen wallets en Solana y Optimism. A las 20:20 una hot wallet de Bitcoin de Binance envía 18.270 BTC a una dirección del atacante, que empieza a dividirlos en importes redondos dentro del mismo bloque. En dos minutos una hot wallet en Tron envía 612,7 millones de USDT y 46,4 millones de TRX. Chainalysis sitúa el inicio de las salidas hacia las 16:20 hora de Nueva York, es decir, las 20:20 UTC, en línea con el vaciado en Ethereum descrito más abajo.

Jueves 29 de octubre, de 21:01 a 22:26 UTC. Empiezan los congelamientos. Según TRM, Tether congeló 971,1 millones de USDT en la principal wallet receptora a las 21:01 UTC, 37 minutos después del vaciado principal. Circle congeló 823 millones de USDC a las 21:04. Ripple congeló RLUSD a las 22:01 y World Liberty Financial congeló USD1 a las 22:10. Chainalysis dice que los congelamientos empezaron a más tardar a las 17:14 hora de Nueva York (21:14 UTC).

Jueves 29 de octubre, 23:05 UTC. Una segunda oleada, según TRM, alcanza wallets de Binance en Avalanche y Polygon. Esa misma noche Binance dice que el total congelado verificado alcanzó los 2.540 millones de dólares.

Viernes 30 de octubre. Binance declara que el impacto es de unos 6.300 millones con unos 3.000 millones congelados, que cubrirá todas las pérdidas con el fondo SAFU y con fondos de la empresa, y que las primeras indagaciones apuntan al portátil comprometido de un ingeniero DevOps. TRM y Chainalysis publican la atribución a Corea del Norte. Bitcoin cae a un mínimo de seis semanas de 76.368 dólares y Ether a un mínimo de dos meses de 2.178, según Al Jazeera. Durante el día Binance dice haber hallado puntos de brecha adicionales.

Sábado 31 de octubre. El FBI confirma la responsabilidad norcoreana. Binance informa de que ha repuesto cerca del 90 % de los activos robados, desde cerca del 80 % de la actualización anterior, y publica una nueva instantánea de su proof of reserves.

Domingo 1 de noviembre. Objetivo declarado por Binance para reanudar los retiros. En el momento de escribir no pudimos confirmar si ocurrió. Una proof of reserves completa se prometió para el martes 3 de noviembre.

Qué se llevaron, blockchain por blockchain

TRM rastreó cada transferencia desde wallets atribuidas a Binance hacia direcciones controladas por el atacante y valoró cada una al precio del activo en el momento de la sustracción. Sus cifras, a 30 de octubre a las 00:30 UTC:

Total: unos 6.360 millones en el momento del robo. A los precios del 30 de octubre, TRM valoraba los mismos activos en unos 6.230 millones. Chainalysis redondea a 6.400 millones y Binance a 6.300. Binance advirtió además de que la cifra podría seguir aumentando a medida que rastrea más activos. Las diferencias se deben a la fecha de valoración y al método, no a un desacuerdo sobre lo ocurrido.

Cómo se movió el atacante: qué muestra la blockchain

La reconstrucción técnica pública más detallada es la de TRM. Es un análisis de datos públicos de la blockchain, no una declaración de Binance, y debe leerse así.

Ethereum. El atacante usó un mecanismo llamado EIP-7702, introducido con la actualización Pectra de Ethereum en mayo de 2025, que permite a una wallet ordinaria ceder el control de su comportamiento a un contrato inteligente firmando una autorización. A las 20:20 UTC el operador envió una única transacción con 50 autorizaciones, cada una firmada por la hot wallet de Binance, cada una apuntando la wallet a un contrato que solo acepta instrucciones del atacante. Como una autorización solo es válida en un recuento concreto de transacciones y la hot wallet procesa un flujo constante de retiros, preparar firmas para 50 recuentos consecutivos garantizaba que una siguiera siendo válida al ejecutarse. Una coincidió. Tres minutos y 24 segundos después el operador ordenó a la wallet enviar todo su saldo, moviendo 167.464 ETH y 63 tokens, entre ellos 1.615 millones de USDT. La delegación siguió activa y TRM dice que el atacante volvió a vaciar los nuevos ingresos a las 20:41, 20:59, 21:04, 21:44, 22:39 y 23:56 UTC.

Todo lo demás. En las otras nueve blockchains y en una segunda hot wallet de Ethereum, según TRM los fondos salieron mediante transferencias firmadas ordinarias, sin delegación. Estas wallets usan blockchains, tipos de clave y esquemas de firma distintos, y aun así todas produjeron firmas válidas para el atacante en cerca de media hora.

De ese patrón TRM extrae su valoración central: la explicación más probable es que el atacante obtuvo la capacidad de hacer que el sistema de firma de las hot wallets de Binance firmara transacciones a su elección en varias blockchains. El lote de 50 autorizaciones prefirmadas sugiere que el acceso estaba limitado en el tiempo o que las firmas debían solicitarse a través de un sistema. TRM añade, sin rodeos: «Binance aún no ha publicado una causa raíz».

Los primeros comentarios habían sugerido que las autorizaciones de Ethereum se obtuvieron mediante phishing. TRM dice que esa explicación cubre Ethereum y deja sin explicar las demás blockchains. Por eso consideramos el «phishing» no respaldado para el incidente en su conjunto.

Qué dice Binance sobre la causa

Las declaraciones de Binance, en orden:

1. Viernes 30 de octubre. «La investigación inicial de Binance sugiere que el incidente de seguridad puede implicar el portátil comprometido de un ingeniero DevOps, que permitió a un atacante acceder a un contenedor de servicio y enviar transacciones de retiro no autorizadas. No hemos encontrado pruebas de ninguna filtración de claves privadas de wallets. Compartiremos un análisis técnico detallado una vez concluida la investigación y verificados los hechos».
2. Más tarde ese mismo día. El co-CEO Richard Teng dijo que el ataque implicó un proceso más complejo que el mal uso de los permisos de un solo ingeniero, según CNBC. Binance dijo después que nuevas indagaciones habían descubierto «puntos de brecha adicionales», sin especificarlos.
3. Viernes 30 de octubre. Teng escribió en X que la investigación «no ha atribuido responsabilidad a ningún individuo», según Al Jazeera.

Conviene mantener separadas dos lecturas. «Ninguna prueba de filtración de claves privadas» se refiere a lo que Binance ha encontrado hasta ahora, no demuestra que ninguna clave quedara expuesta. En una entrevista con Reuters recogida por Al Jazeera, el exjefe de Mt. Gox Mark Karpelès dijo que los atacantes probablemente accedieron a las claves de al menos dos wallets de Binance. Es la opinión de un experto externo que no ha visto los sistemas de Binance, y Binance no la ha confirmado. En segundo lugar, el patrón de firma que describe TRM es coherente con un compromiso de la infraestructura de firma y no requiere una clave filtrada: un atacante que consigue que un sistema de firma legítimo firme no necesita poseer la clave. Lo anotamos como punto analítico, no como conclusión sobre Binance.

Quién fue: tres niveles de atribución

La atribución se apoya en tres fuentes distintas, que no tienen la misma fuerza.

1. TRM Labs. TRM atribuye el ataque con «alta confianza» a TraderTraitor, la unidad norcoreana que el FBI señaló por el robo a Bybit de febrero de 2025. Sus razones son inteligencia on-chain y off-chain que no revela por completo, más rasgos compartidos con el hackeo a Bybit y con el de KelpDAO de abril de 2026: pequeños retiros de Tornado Cash que financian una wallet operativa, preparación iniciada mucho antes del robo, firmas obtenidas de antemano y ejecutadas de una sola ráfaga. TRM señala además que el blanqueo hasta ahora, basado en grandes intercambios a través de creadores de mercado y protocolos de préstamo, difiere del patrón centrado en puentes visto tras Bybit.

2. Chainalysis. Chainalysis valoró que la responsabilidad era de TraderTraitor, citando actividad on-chain en las horas posteriores al robo, y dice que la prueba más fuerte llegó cuando vio fondos robados a Binance mezclarse en tiempo real con fondos del robo a Bitget de septiembre, ya atribuido a actores norcoreanos. Anunció la valoración a las 00:30 hora de Nueva York del 30 de octubre.

3. El FBI. El sábado el FBI, con el Servicio Secreto e IRS Criminal Investigation, confirmó la responsabilidad norcoreana. NPR cita la declaración: «El FBI, junto con socios del USSS e IRS-CI, ha observado a actores de TraderTraitor convertir los activos robados principalmente en Ethereum (ETH). Se espera que esos activos se blanqueen luego aún más convirtiéndolos mediante servicios DeFi y de intercambio instantáneo mientras los preparan para nuevas fases de blanqueo». Según TokenPost, el FBI publicó además cientos de direcciones relacionadas en Ether, Bitcoin y Solana e instó a operadores de nodos de THORChain, operadores de nodos RPC, plataformas de intercambio instantáneo, servicios DeFi y firmas de análisis a bloquear las transacciones que las involucren. La página del FBI no era accesible para nuestras herramientas, así que para el texto nos apoyamos en NPR y TokenPost.

La declaración del FBI es la más fuerte de las tres. Sigue siendo una atribución de una agencia gubernamental, y Corea del Norte niega de forma rutinaria su implicación en robos de cripto, como recuerda Al Jazeera. Binance, por su parte, dice que no ha atribuido responsabilidad y que trabaja con las fuerzas del orden para confirmar la identidad de los responsables.

La carrera contra los congelamientos

La lección más útil de los datos es sobre la velocidad. Esto es lo que documentaron los analistas.

Qué se congeló. TRM cuenta unos 2.700 millones congelados on-chain a 30 de octubre a las 00:30 UTC: unos 1.770 millones de USDT congelados por Tether, unos 825 millones de USDC congelados por Circle, 40,5 millones de RLUSD congelados por Ripple, 27,8 millones de USD1 congelados por World Liberty Financial y unos 30 millones de dólares en ETH y ARB sacados del alcance del atacante por el Arbitrum Security Council, un grupo que puede actuar en emergencia en esa red. Chainalysis cuenta unos 2.800 millones. El recuento de Binance esa noche fue de 2.540 millones verificados, luego «unos 3.000 millones». Los recuentos difieren porque se hicieron a horas distintas y con alcances distintos.

Qué hizo el atacante en respuesta. Ambas firmas describen un intento de convertir stablecoins congelables en activos que ningún emisor puede bloquear, a un coste. TRM dice que unos 325 millones de USDT se vendieron a creadores de mercado mediante UniswapX y otros contratos basados en intenciones por unos 122.300 ETH, un precio cercano a 2.650 dólares por ETH cuando ETH cotizaba hacia 2.300-2.350, un descuento de más del 10 %. Una segunda wallet depositó 60 millones de USDT en el protocolo de préstamos Aave y tomó prestados unos 19.760 ETH, tras lo cual Aave congeló los mercados afectados. Chainalysis describe el mismo esfuerzo como el intercambio de 325 millones en stablecoins por 285 millones en ETH en casi 20 minutos. En Tron, 300 millones de USDT pasaron a una wallet que empezó a depositarlos en el protocolo de préstamos JustLend.

Qué sigue fuera de alcance. TRM estima que el atacante aún posee más de 420.000 ETH y 18.270 BTC, unos 2.400 millones de dólares en activos fuera del alcance de cualquier emisor, según su foto del 30 de octubre. Chainalysis describe patrones de blanqueo que dice no haber visto antes: miles de transacciones automatizadas en poco tiempo, con fondos que circulan repetidamente entre direcciones y muchas direcciones que reciben primero exactamente 1 TRX. Ambas firmas esperan que los fondos sigan moviéndose en los próximos días hacia puentes, servicios de intercambio y brókeres OTC.

Qué significa «congelado». Ari Redbord, de TRM Labs, dijo a CNBC que «un congelamiento detiene el dinero, y la recuperación sigue mediante un proceso legal», normalmente una orden judicial o un mandamiento de incautación. Eric Jardine, de Chainalysis, añadió que devolver activos congelados exige coordinación entre fuerzas del orden, exchanges y emisores, y que «no existe un plazo estándar de recuperación». Un saldo congelado no es un saldo devuelto. Las stablecoins son la clase de activo más recuperable porque el emisor controla el contrato del token, mientras que recuperar Bitcoin y Ether significa rastrearlos hasta un exchange que coopere.

La respuesta de Binance: las afirmaciones y cómo comprobarlas

La tercera actualización de Binance, publicada el 31 de octubre, contiene afirmaciones concretas. Las listamos con la forma de comprobar cada una.

• «Más de 6.340 millones de dólares» reservados en fondos de la empresa para cubrir la pérdida. Es una declaración de Binance sobre su propio balance. No hemos visto una verificación independiente.
• «Aproximadamente 80 %», luego «90 %» de los activos robados repuestos. Binance dice que la reposición usó un despliegue parcial de su Secure Asset Fund for Users (SAFU), una parte del fondo de seguro de futuros y la tesorería de la empresa, y que sigue comprando los activos restantes en el mercado y fuera de él. El 10 % pendiente son tokens menos líquidos fuera de los diez primeros.
• «Todos los BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD y ZEC están respaldados al 100 %». Es la afirmación que más importa a los clientes, y es una afirmación sobre las propias reservas de Binance. Se publicó una nueva instantánea de proof of reserves fechada el 31 de octubre a las 00:00 UTC. Binance dice que la prueba completa de conocimiento cero tarda de 40 a 50 horas en generarse y estará lista hacia el martes 3 de noviembre, tras lo cual los usuarios podrán comprobar que sus saldos están respaldados al menos 1:1. Hasta entonces la instantánea es una declaración, no una prueba completada. Teng había apuntado antes al lunes 2 de noviembre para un informe completo, según TokenPost; la estimación del 3 de noviembre es de la tercera actualización de Binance.
• SAFU. Binance dice que el SAFU lo custodia y gestiona Nest Clearing and Custody Limited, una cámara de compensación reconocida y regulada por el supervisor financiero del Abu Dhabi Global Market, y que lo repondrá hasta unos 1.000 millones de dólares. Al Jazeera sitúa el SAFU en 1.000 millones antes del incidente, y un analista citado por CNBC en unos 1.200 millones. En cualquier caso es una fracción de la pérdida: la suma robada es más de seis veces el fondo tal como lo describe Al Jazeera.
• Fondo de seguro de futuros. Binance dice que liberó solo el excedente sobre el nivel que exige su marco de riesgo y que el resto es un requisito regulatorio.

Sean Farrell, de Fundstrat Global Advisors, dijo a CNBC que el incidente «no parece, por ahora, crear un riesgo de insolvencia significativo para Binance», con los indicadores clave en la rapidez con que se reanuden los retiros y en que las salidas se mantengan ordenadas. Es la opinión de un analista a 30 de octubre, y un reinicio es una prueba, no una garantía.

La reacción del mercado

Bitcoin llegó a 76.368 dólares, mínimo de seis semanas, y Ether cayó más de un 3 % hasta 2.178, mínimo de dos meses, según Al Jazeera, que cita a Reuters para la reacción del mercado. Coinbase, que dijo no estar afectada, perdió cerca de un 4,8 %. CNBC recuerda que el mercado cripto ya estaba bajo presión por tipos de interés estadounidenses más altos y menor demanda de fondos cotizados. Somos cautos al atribuir todo el movimiento a este único suceso.

La cuestión de Europa

Muchos de nuestros lectores se harán la misma pregunta: ¿me afecta? La respuesta honesta es que el registro público no dice qué entidades o grupos de clientes de Binance se vieron afectados.

• CNBC informa de que el incidente golpeó la plataforma offshore de Binance y que su exchange regulado en Estados Unidos no sufrió un problema similar.
• Las declaraciones de Binance hablan de «activos de clientes» y «fondos de los usuarios» sin nombrar entidades.
• Como informamos en Binance detiene todos los servicios en la UE el 1 de julio, Binance suspendió el trading, los préstamos y las recompensas para usuarios europeos desde el 1 de julio de 2026 tras no obtener una licencia MiCA. Quien en la UE conserve una cuenta debería preguntarse qué entidad la mantiene y en qué condiciones.

No hemos encontrado una declaración de Binance que diga si los clientes europeos se vieron afectados o no, y no vamos a especular. Si tienes fondos en Binance de cualquier forma, lee los anuncios oficiales y el canal de soporte, no las redes sociales.

Qué dice esto sobre el riesgo de los exchanges

Esta sección es información general, no asesoramiento financiero, y evitamos deliberadamente decir a nadie que mueva fondos.

Los hechos respaldan tres puntos que se mantienen sea cual sea el balance final de Binance.

1. La custodia concentra el riesgo. Sean Foley, de la Universidad Macquarie, dijo a Al Jazeera que «cualquier activo en un exchange centralizado es tan seguro como el propio exchange, y cuanto mayores son las tenencias del exchange, mayor es el objetivo en que se convierte». Tyler Moore, de la Universidad de Tulsa, dijo a CNBC que no hay protecciones integradas cuando estos hackeos ocurren y comparó la situación con el seguro de depósitos de los clientes bancarios. Otros entrevistados por CNBC discreparon: Ido Ben-Natan, de Blockaid, sostuvo que, como Binance se comprometió a cubrirlo todo, los usuarios no deberían perder dinero y que los exchanges pueden ser un lugar razonable para guardar fondos. Los expertos no coinciden, y quien dice que la respuesta es obvia está vendiendo algo.

2. La protección es el balance del operador, no una norma. NPR señala que Binance no está necesariamente obligada a reembolsar a los clientes según la normativa actual, y cita a Amanda Fischer, de Better Markets, sobre lo débil que es el marco regulatorio de las criptomonedas frente a los brókeres tradicionales. El mismo patrón apareció en el tercer trimestre: en nuestro análisis del informe Hacken del Q3, los operadores cubrieron unos 410 millones de dólares a los usuarios con fondos propios. Es un resultado observado, no una garantía, y depende de que un operador sea solvente y esté dispuesto.

3. La proof of reserves responde a una pregunta más estrecha de lo que se cree. Una proof of reserves dice si las reservas declaradas cubren los saldos declarados. Dice poco sobre lo bien protegidos que están los sistemas de firma y los accesos internos, que es donde ocurrió este incidente. Aun así merece la pena comprobarla, y cómo leerla se explica en nuestra guía de proof of reserves. En este caso, la prueba prometida por Binance es lo que hay que mirar desde el 3 de noviembre.

Puntos prácticos que se derivan de los hechos

• Espera estafas. Tras los incidentes grandes llegan falsos servicios de recuperación y phishing. Binance pide a los usuarios que se fíen solo de los canales oficiales para las actualizaciones. Ningún servicio legítimo te pedirá la frase semilla, la contraseña o códigos de verificación para «restaurar» el acceso.
• Sabe qué entidad mantiene tu cuenta y qué autoridad la supervisa. Determina qué protecciones, si las hay, se aplican.
• Deja en un exchange solo lo que necesites. Cuánto sea, lo decides tú. Nuestras guías sobre autocustodia multifirma y sobre planificación de la herencia tratan la alternativa y sus propios riesgos, que los incidentes con hardware wallets de este año muestran que son reales: consulta nuestra reconstrucción del caso Ledger.

Contexto: cómo se compara con otros casos

Binance es unas cuatro veces Bybit, según TRM, y unas 16 veces Bitget. Chainalysis dice que fondos de Binance se mezclaron on-chain con fondos de Bitget, y por eso describe ambos casos como vinculados. Ese vínculo es un hallazgo analítico de Chainalysis, no judicial. Para el caso Bitget en sí, y para entender por qué el 77 % de las pérdidas del tercer trimestre pasó fuera de las revisiones de seguridad, consulta nuestro análisis del informe Hacken del Q3.

Al Jazeera añade el marco geopolítico. El Departamento del Tesoro de EE. UU. sancionó al Lazarus Group en 2019, diciendo que lo controlaba la principal oficina de inteligencia de Corea del Norte. El responsable de políticas de TRM, Ari Redbord, dice que cuando Corea del Norte roba a esta escala, «el dinero financia la proliferación de armas y otras actividades desestabilizadoras». Es una valoración de expertos, coherente con el contexto de sanciones de la ONU que describe Al Jazeera, y no algo que podamos verificar de forma independiente.

Otro hecho del mismo día, informado por CNBC: el mercado de predicciones Polymarket suspendió las operaciones en su exchange internacional después de que un proveedor de datos externo fuera hackeado, con al menos 2,7 millones de dólares sustraídos de wallets de usuarios. Es un incidente aparte y de escala mucho menor, y apunta al mismo tema de los componentes de terceros.

Lo que todavía no sabemos

• La causa raíz. A la primera explicación de Binance (el portátil comprometido de un ingeniero) le siguieron «puntos de brecha adicionales». El análisis técnico prometido no está publicado.
• Si se comprometió un sistema de firma o claves. El análisis de TRM apunta a la infraestructura de firma. Binance dice no tener pruebas de filtración de claves. Ambas cosas pueden ser ciertas, y ninguna está verificada por terceros.
• Qué clientes y entidades se vieron afectados, y si hay cuentas europeas.
• Si se sostiene la afirmación de Binance de cobertura al 100 %. La proof of reserves completa se espera para el 3 de noviembre.
• La pérdida final y la recuperación. Las estimaciones son 6.300 a 6.400 millones robados y 2.700 a 3.000 millones congelados, pero congelar no es recuperar. Unos 2.400 millones estaban, según TRM el 30 de octubre, en activos que ningún emisor puede congelar, y siguen moviéndose.
• Si los retiros se han reanudado realmente y en qué orden, en el momento en que lees esto.
• Detenciones o acusaciones. No hemos encontrado ninguna, y la atribución a un actor estatal hace poco probable un procedimiento a corto plazo, aunque no podemos predecirlo.

Nuestra valoración

El núcleo documentado es estrecho y serio. Un único actor, que el FBI valora como una unidad norcoreana vinculada al Estado, obtuvo la capacidad de sacar fondos de wallets de Binance en diez blockchains en cerca de media hora. Sea cual sea la causa final, el patrón on-chain, con blockchains y tipos de clave distintos que producen firmas válidas en la misma ventana corta, hace difícil explicarlo con una sola autorización obtenida por phishing.

El resultado financiero para los clientes, si las declaraciones de Binance se sostienen, es una pérdida que asume la empresa y no los usuarios. Ese resultado depende del tamaño y la voluntad de una empresa, no es una característica del sistema. Un exchange más pequeño golpeado por un ataque de este tipo no habría tenido 6.340 millones que reservar. Eso, más que la cifra del titular, es lo que hace que el incidente importe para cómo se piensa el riesgo de contraparte.

Actualizaremos este artículo cuando Binance publique su análisis técnico y la proof of reserves completa, cuando el FBI u otras autoridades publiquen más, o si se revisan las cifras de la pérdida.

Preguntas frecuentes