El 29 de octubre de 2026, un atacante vació unos 6.15 mil millones de dólares de Binance en 31 minutos, uno de los mayores robos de la historia cripto, o mejor dicho, de la historia de Internet.
Binance primero estimó pérdidas de 6.3 mil millones de dólares; la empresa de análisis blockchain BitOK, haciendo un seguimiento transacción por transacción, calcula la cifra final en 6.15 mil millones de dólares, a través de nueve blockchains.
El atacante nunca robó las claves privadas de Binance. En vez de eso, logró que los propios sistemas de Binance aprobaran el robo. Esta guía narra el asalto en orden y explica cada término técnico en el camino. Todas las horas son UTC.
Lo básico: ¿Cómo un exchange mueve dinero?
Hot wallets: son las wallets en línea de un exchange, se mantienen conectadas para que los retiros salgan rápido.
Firmas: Cada transferencia debe ser aprobada con la clave privada de una wallet, un número secreto. Los exchanges usan sistemas automáticos para firmar miles de pagos al día.
Nonces: son el contador de transacciones de una wallet de Ethereum. En una wallet muy activa, el nonce sube constantemente.
Tokens congelables. Los emisores de stablecoins como Tether (USDT) y Circle (USDC) pueden congelar direcciones. Nadie puede congelar monedas nativas como BTC, ETH o TRX.
28 de octubre: momentos antes del hack
Cada transacción de blockchain requiere una pequeña comisión. Para financiar sus wallets sin dejar rastro, el atacante usó Tornado Cash, un “mezclador” que agrupa las monedas de muchos usuarios, así que los retiros no se pueden relacionar con los depósitos.
Seis retiros de Tornado Cash financiaron la wallet del operador y la de dos ayudantes.
29 de octubre, 02:28–16:47 UTC: dos ensayos
Antes de tocar Binance, el atacante practicó en sus propias wallets, como si un ladrón probara primero una ganzúa en la puerta de su propia casa.
La herramienta era un smart contract: un programa que está en Ethereum y hace exactamente lo que dice su código. Este fue creado para vaciar cualquier wallet que le dé permiso para actuar en su nombre. (La función EIP-7702 de Ethereum permite ese tipo de permiso; más sobre esto abajo.)
- 02:28 — el atacante publica una versión de prueba del programa para drenar wallets.
- 13:51–14:24 — primer ensayo. Ponen pequeñas cantidades de USDT y USDC en dos de sus propias wallets, le dan permiso al programa de prueba y lo activan. Ambas wallets quedan vacías. La herramienta funciona.
- 15:59 — publican la versión final, la que luego usarán en Binance.
- 16:20–16:47 — segundo ensayo, repitiendo la prueba con la versión final.
La versión final tenía un poder extra: podía hacer que una wallet hiciera cualquier cosa, no solo enviar tokens. Esa noche, permitió ordenar a una wallet de Binance liberar 823 millones de dólares USDC. Una herramienta tan adaptada indica que el atacante ya sabía cómo estaban configuradas las wallets de Binance.
“La diferencia entre las dos versiones era clave. El contrato principal incluía una función que podía ejecutar cualquier operación en nombre de una wallet que hubiera delegado el control. El atacante luego usó esa función para drenar 823 millones de dólares USDC de una smart wallet de Binance”, explicó BitOK.
29 de octubre, 20:04 UTC: Un robo en 31 minutos
De las 20:04:52 a las 20:35:53, el atacante vació hot wallets de Binance en XRP Ledger, Solana, Bitcoin, Ethereum, TRON, Base, Optimism, Arbitrum y Avalanche. El botín incluyó:
- 18,270.2 BTC,
- 197.540 ETH,
- 2.49 mil millones de dólares USDT,
- 823 millones de dólares USDC,
- 233.46 millones de XRP,
- 970,522 SOL y docenas de otros tokens.
Cada transferencia fue firmada por las propias wallets de Binance. BitOK las reconoció por sus hábitos: comisiones 2 a 2.7 veces más altas de lo normal, formatos de transacción que el software de pagos de Binance no usa y, en Ethereum, transferencias falsas insertadas entre pagos reales de clientes.
El atacante comprometió el portátil de un ingeniero DevOps, y luego utilizó un contenedor de servicios (un programa empaquetado que corre dentro de los sistemas de Binance) para enviar órdenes de retiro falsas.
20:20 UTC: El truco de las 50 claves
Esta fue la jugada más astuta de la noche. El objetivo era una hot wallet de Ethereum muy activa llamada Binance 14.
El plan. Usando EIP-7702, una wallet puede firmar una autorización que permite a un smart contract actuar en su nombre. Si Binance 14 firmaba una nombrando el contrato del atacante, el atacante controlaría la wallet.
El problema. La autorización solo sirve si usa el número actual de transacción, el nonce, de la wallet. Binance 14 estaba pagando a clientes todo el tiempo, así que ese número cambiaba constantemente. Una autorización con un número incorrecto simplemente se ignora.
El truco. A las 20:20:59, el atacante hizo que el sistema de firmas de Binance firmara 50 órdenes al mismo tiempo, cada una con un número diferente. Es como probar 50 llaves en una cerradura de una vez: solo una debe encajar. Una encajó. El Binance 14 ahora obedecía órdenes del contrato del atacante, pero seguía funcionando normalmente, así que el dinero seguía entrando.
El botín. Minutos después, una sola transacción vació 65 tokens diferentes con un valor de más de 2.2 mil millones de dólares, incluyendo 1.615 mil millones de USDT y 167.464 ETH. A las 20:41 y 20:59, el contrato también hizo que otra wallet de Binance enviara 823 millones de USDC.
Binance 16. Una segunda hot wallet fue robada de una forma más simple. Al sistema de Binance se le dieron nueve transferencias falsas, que firmó y envió junto con pagos reales a usuarios. Llevaban 28.0056 ETH y 55.7 millones de USDT.
20:30–21:14 UTC: La carrera por los tokens imposibles de congelar
En Ethereum, 500 millones de USDT salieron de la dirección principal receptora en solo seis minutos. Entre las 20:34 y 21:09, el atacante cambió 435 millones de USDT por ETH en Uniswap, un exchange descentralizado gestionado por código. También depositó 60 millones de USDT en Aave, un protocolo de préstamos, y pidió prestados 19.762 ETH dejando como garantía los USDT, que sí podían ser congelados.
En TRON, salieron 612.7 millones de USDT de la wallet Binance-Hot 7. En 16 cambios en SunSwap, el principal exchange descentralizado de TRON, el atacante cambió 234 millones de USDT por 638.2 millones de TRX.
La carrera del congelamiento
Para congelar USDT, Tether necesitaba tres aprobaciones de su wallet multisig, un sistema que requiere varias firmas. Cada congelamiento podía tardar hasta 2 minutos con 36 segundos, y las solicitudes pendientes se podían ver on-chain. El atacante podía ver el intento de congelar e intentar moverse antes: una wallet transfirió 130 millones de USDT solo 48 segundos antes de que se congelara. Pero en otra dirección el atacante dudó y perdió casi 175 millones de USDT.
Los 823 millones de USDC seguían en una dirección y fueron congelados en una sola transacción.
| Congelados por Tether y Circle | Cantidad |
|---|---|
| Ethereum USDT | 1.38 mil millones de dólares |
| Ethereum USDC | 823 millones de dólares |
| Tron USDT | 378.7 millones de dólares |
| Avalanche USDt | 8.4 millones de dólares |
| Total | 2.59 mil millones de dólares |
Otros emisores congelaron USD1, XAUt, PAXG, wBETH y FDUSD, y el emisor de BEAM quemó 984 millones de tokens robados. El Security Council de Arbitrum, un grupo de emergencia de 12 miembros, confiscó 8,426 ETH y 74.56 millones de ARB.
En total, aproximadamente 2.79 mil millones de dólares fueron congelados, quemados o incautados. Aun así, 669 millones de USDT ya se habían convertido en ETH y TRX.
21:43–00:10 UTC: La wallet seguía siendo robada
Binance 14 seguía bajo el control del atacante.
- 21:43:59 — una recarga rutinaria de Binance envía 200 millones de USDT a Binance 14. Doce segundos después, el contrato los retira. Los USDT llegan a una dirección ya congelada, pero casi 370 ETH logran escapar.
- 22:39 — otro retiro se lleva 128.49 ETH.
- 23:56 — se retiran 2,961.91 ETH un minuto después de llegar.
- 00:10:35, 30 de octubre — finalmente, Binance cancela el traspaso.
El atacante tuvo el control de la wallet durante casi cuatro horas.
¿A dónde fueron los 18,270 BTC?
A las 20:20:06, 11 transacciones movieron 18,270.2 BTC desde una hot wallet de Binance, pagando el doble de la comisión habitual. Las monedas se dividieron en 19 direcciones, 17 de ellas con 1,000 BTC cada una. Hasta el 30 de octubre, ninguna se había movido. El libro público de Bitcoin las mantiene rastreables, pero nadie puede congelarlas.
30 de octubre, 04:02: La conexión Bitget
El hallazgo más importante de BitOK: los fondos robados de Binance llegaron a la misma dirección de Ethereum que ya estaba recibiendo fondos del hack de Bitget en septiembre de 2026.
El atacante movió TRX y USDT usando THORChain, un protocolo que permite intercambiar monedas entre diferentes blockchains, y recibió ETH en 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7.
Esa dirección ya había recibido ETH procedente del hack de Bitget. Provenía de direcciones de Bitcoin que estaban en la lista pública de wallets de los atacantes de Bitget, activos desde el 23 de octubre, y comenzó como ZEC, una moneda que nunca fue robada de Binance.
Para las 06:20, había recibido ocho pagos relacionados con Bitget (349.46 ETH) y cinco pagos relacionados con Binance (13.63 ETH), y después envió los fondos mezclados a nuevas wallets. Compartir una dirección por sí sola no identifica a quién está detrás de ninguno de los dos hackeos.
¿Fue Corea del Norte?
Ambos ataques incluyeron entrar en sistemas internos sin robar llaves privadas, y Bitget culpó a Corea del Norte por su hack. BitOK también menciona características que asocia con grupos norcoreanos: ensayos previos, financiamiento con Tornado Cash, swaps instantáneos de tokens congelables y preparación durante el horario laboral UTC+9.
“La nueva dirección compartida identificada para el lavado de fondos es una evidencia más fuerte de la coincidencia operativa que solo las similitudes en las tácticas. BitOK considera que ambos robos pueden estar relacionados con el mismo grupo norcoreano y que un solo operador controló los flujos de fondos. Esto sigue siendo una atribución de análisis, no una prueba de la identidad real de cada participante,” dijo BitOK.
Respuesta de Binance
Binance pausó los retiros de sus hot wallets de Bitcoin y Tron alrededor de las 20:36, mientras que los depósitos continuaron. Se comprometió a cubrir todas las pérdidas de los clientes usando su fondo de emergencia SAFU y recursos propios.
En todo el mercado, se liquidaron posiciones apalancadas por un valor de 1.58 mil millones de dólares en 24 horas, según datos de Coinglass.
¿Qué tienen ahora los atacantes?
A las 06:20 del 30 de octubre, BitOK relacionó al atacante con:
- 197,460 ETH,
- 18,270.2 BTC,
- 233.46 millones de XRP,
- Casi 970,500 SOL,
- 675.9 millones de TRX,
- y 1.61 millones de AVAX.
Solamente los ETH, BTC, XRP y SOL valían aproximadamente 2.95 mil millones de dólares.
Los atacantes secuestraron el sistema que firma los retiros de Binance. BitOK compartió algunas lecciones para aprender del hack de Binance para la industria cripto.
“El incidente de Binance muestra por qué la seguridad solamente de las llaves privadas no es suficiente. Los exchanges también necesitan controles sobre la autoridad de firma, protección contra instrucciones de retiro sospechosas, revocación inmediata de permisos comprometidos y monitoreo continuo de los movimientos de activos entre redes.”
