Binance, la principal empresa de intercambio de criptomonedas del mundo, fue víctima de un golpe comando virtual en la tarde del jueves, donde un grupo de hackers logró infiltrarse en la PC de un ingeniero de la firma para lograr permisos que les permitan mover en apenas unos minutos una cifra cercana a los 6.300 millones de dólares, en lo que se volvió por lejos el robo cripto más grande de la historia.
Para poner en perspectiva, el robo a Bybit de febrero de 2025 había sido de apenas US$ 1.400 millones, cuatro veces menor.
El ataque ocurrió durante la tarde del jueves, en una operación que todavía es materia de investigación, pero que de a poco va arrojando algunas certezas.
En una primera instancia, la propia Binance reconoció el golpe y comunicó a través de sus redes sociales que había sido víctima de un “ataque complejo” en sus sistemas, avisando además que se haría cargo de todos los costos.
Según la propia empresa, la investigación inicial habla de un incidente de seguridad alrededor de la laptop de un ingeniero de desarrollo de sistemas (DevOps) que se vio comprometida. “Ello permitió a un atacante acceder a un contenedor de servicio y realizar transacciones de retiro no autorizadas”, comentaron desde la empresa.
Sin embargo, con el correr de las horas encontraron más vulnerabilidades que pueden haber permitido el golpe. “Nuestra investigación posterior ha descubierto puntos de vulneración adicionales. Este fue un ataque complejo y estamos haciendo todo lo posible, en coordinación con las autoridades, para resolverlo”, agregaron en otro tuit publicado a las 5:47 de este viernes.
Si bien desde Binance no indicaron de dónde vino el ataque, en el sector señalan que podría venir desde Corea del Norte. TRM Labs, una empresa de inteligencia blockchain que desarrolla software para investigar delitos financieros, emitió un primer informe que le atribuye el ataque al grupo TraderTraitor.
“Varias características de este ataque coinciden con robos anteriores vinculados a Corea del Norte, incluidos el hackeo de Bybit y el de KelpDAO en abril de 2026: pequeños retiros de Tornado Cash que financiaban una billetera de operador, una puesta en escena que comenzó mucho antes del robo y firmas obtenidas con anticipación y ejecutadas en una sola operación”, sostuvieron desde TRM.
Según la firma, todo el ataque se ejecutó en apenas veinte minutos.
El atacante empezó a prepararse el 28 de octubre. Fondeó una billetera con pequeños retiros de Tornado Cash, un servicio de intercambio de divisas que oculta el origen del dinero y es elegido usualmente para el lavado de activos. Luego, probó su código en algunas billeteras de prueba. Ensayó la versión final unas cuatro horas antes del golpe.
A partir de las 17:05 del jueves en Argentina, hot wallets de Binance empezaron a transferir fondos a direcciones del atacante. Ocurrió en diez blockchains a la vez: Ethereum, Bitcoin, Tron, XRP Ledger, Solana y otras cinco. Una hot wallet se usa para atender operaciones y retiros.
El atacante usó una función de Ethereum (EIP-7702) que permite a una billetera común ceder su funcionamiento a un contrato inteligente mediante una firma. Se estima que esa firma llegó a partir de comprometer la laptop del DevOps. Con firmas válidas de Binance, la billetera quedó ejecutando un código del atacante, que la vació y siguió barriendo los fondos que llegaban después.
Billeteras en diez blockchains de Binance enviaron los 6.300 millones a una única dirección controlada por el atacante, alternando entre distintas divisas como XRP, Bitcoin, USDT o Ethereum.
Tres horas más tarde, TRM detectó que billeteras en Avalanche y Porygon también enviaron transferencias menores, por 28 y 10 millones de dólares. La firma señala que lo más probable es que el atacante haya vulnerado la infraestructura con la que Binance firma sus transacciones.
Chainalysis, otra empresa especialziada en análisis forense cripto, remarcó que encontraron miles de transacciones en poco tiempo que hacen circular los fondos entre direcciones, en un proceso de lavado automático de activos.
En el mientras tanto, Binance aseguró que cubrirá todas las pérdidas. “Binance cubrirá todas las pérdidas con los fondos del SAFU (fondos de emergencia) y los fondos de la empresa. Los fondos de los usuarios están a salvo”, repitieron en cada comunicado.
A su vez, Tether, Circle, Ripple y World Liberty Financial (firmas que emiten algunos de los criptoactivos robados) congelaron 2.670 millones de dólares en stablecoins (monedas con el valor atado al dólar). Mientras que Arbitrum congeló unos 30 millones de dólares en Ethereum y Arbitrum (otras dos cripto), lo que suma un total aproximado de US$ 2.700 millones que quedaron imposibilitados para moverse.
El atacante aún controla más de 420 mil Ethereum y 18.270 bitcoins, con un valor aproximado de 2.400 millones de dólares, además de cantidades menores en otras cadenas.