Una ventanilla con la persiana metálica a medio levantar deja salir una fila de monedas de bitcoin mientras varias personas esperan de espaldas en la penumbra
Ilustración propia generada con IA.

Binance reabre las retiradas de bitcoin con una cartera nueva y paga 8.801 BTC en 15 bloques

Equipo NodeWitness 9 min de lectura

Volvió a pagar Binance, aunque desde otra ventanilla. La cartera caliente que vació el atacante no pagó nada tras la reapertura, y las retiradas de bitcoin salen de una dirección estrenada para la ocasión, que en sus primeros 15 bloques envió más bitcoin del que la antigua pagaba en un día normal.

Fue bitcoin la primera red en reabrir. Binance avisó en X de que la primera tanda de la fase uno de retiradas era la red de bitcoin, después de haber anunciado una ventana de tres horas en la mañana del domingo 1 de noviembre para empezar [1][2]. Según Reuters, su página de estado indicó a primera hora que las retiradas previstas habían comenzado [5].

Media hora más tarde llegó el cambio de fondo. «Hemos actualizado nuestra lista de direcciones de la prueba de reservas para incluir direcciones de cartera recién generadas. En adelante, todas las retiradas se procesarán desde estas nuevas direcciones», escribió el exchange [3]. Direcciones nuevas, en suma, para un servicio de retiradas que su codirector ejecutivo Richard Teng dijo estar reconstruyendo tras el ataque [14], como contamos en la pieza sobre la salida de los 18.270 BTC.

La dirección nueva, en la lista de Binance

Hemos descargado el fichero de direcciones nuevas que Binance enlaza desde su página de prueba de reservas [4]. Tiene 119 direcciones de varias redes, todas con saldo cero y tomadas a una altura de bloque concreta, y solo una es de bitcoin, bc1qhp7n555hk5mxlp3pz0347nzah8gazwe7wp5fjj, registrada en el bloque 973.895 [4]. Es la dirección que la cadena señala como nueva cartera caliente.

De hecho, el dinero que la alimenta sale de casa. El 1 de noviembre, en el bloque 974.088, la cartera fría 3M219KR5, que Binance listó como suya en 2022, envió 20.000 BTC a 1Pzaqw98, otra dirección de su lista de reservas, y esta pasó 9.201 BTC a la cartera nueva en varios envíos de cifras redondas [11]. Otras cinco direcciones de esa misma lista añadieron 1.700 BTC más [11]. Las seis figuran en el fichero de reservas que Binance tomó en el bloque 973.895, así que suman 10.901 BTC de procedencia atribuible [4][11].

Hubo un aporte más, de 500 BTC, desde una dirección que recibió 887 BTC de 3M219KR5 en ese mismo bloque y que no aparece en ninguna lista de Binance [11]. Lo contamos como origen sin atribuir.

La nueva cartera caliente de Binance pagó 8.800,8 BTC a terceros en 15 bloques, frente a los 4.306 BTC que la antigua pagaba en un día normal antes del robo [11].

Lo que ha salido desde la reapertura

Los pagos empezaron en el bloque 974.088. Desde ahí y hasta el bloque 974.102, el último de nuestra lectura del 1 de noviembre, bc1qhp7n envió 8.800,8 BTC a direcciones ajenas en 157 transacciones, con 9.058 pagos individuales [11]. Antes de la reapertura solo había hecho una prueba de 0,00016 BTC [11].

Es el patrón de las retiradas de un exchange, lotes que reparten bitcoin a cientos de destinos a la vez. En las 24 horas previas al robo, la cartera caliente antigua había pagado 4.306 BTC en 747 transacciones, así que la nueva superó en 15 bloques lo que la vieja movía en un día entero [11]. Una cifra que encaja con una cola acumulada durante la pausa, aunque la cadena no distingue una retirada de cliente de otro pago a un tercero.

En esa misma lectura quedaban en la mempool otras transacciones de la dirección nueva con 111 BTC en 269 pagos más, pendientes de confirmar, y un nuevo aporte de 2.000 BTC desde 1Pzaqw98 [11]. Su saldo confirmado era de 2.500,3 BTC [11].

La cartera atacada, en silencio

Cero. Es lo que había pagado a terceros desde la reapertura, en el bloque 974.102, bc1qm34l…7s3h, la cartera caliente de la que salieron los 18.270 BTC [11]. Su último gasto fue en el bloque 973.754, en la madrugada del 30 de octubre, cuando envió 2 BTC a 3M219KR5, y desde entonces solo ha recibido ingresos [11]. Guardaba 5,5 BTC y figura en el fichero de reservas de Binance junto a las frías [4][11].

El bitcoin robado tampoco se había movido. Las 19 salidas grandes que guardan los 18.270,2 BTC del atacante, que Bitquery y Elliptic vinculan al robo, seguían sin gastar en el bloque 974.102 [11][12][13]. Es el dinero que seguimos en la pieza sobre lo congelado y lo que no se puede congelar.

Tampoco se habían movido los 7.499 BTC que, según Binance, salieron de su fondo de emergencia SAFU el 31 de octubre [10]. La dirección que los recibió no figura en la lista de reservas y conservaba 7.500 BTC en nuestra lectura [4][11].

Al otro lado de la ventanilla

Cambian las preguntas en cuanto se abre la persiana. Bajo los mensajes de Binance, los usuarios dejaron de preguntar cuándo y empezaron a preguntar por lo suyo, por los USDT en BNB Smart Chain, por SOL o por la red Tron, y alguno contaba los minutos desde que bitcoin había abierto sin que llegara su red [8]. El servicio de atención responde con la misma lista, red a red, y la promesa de que el resto llegará por fases [8].

Eso sí, la cadena cuenta una historia de importes pequeños. La mitad de los pagos de la cartera nueva era de menos de 0,01 BTC, y el 94 % no llegaba a 1 BTC [11]. Al otro extremo, 16 pagos de 100 BTC o más sumaron 3.742 BTC, el 43 % de todo lo enviado [11]. Muchos destinos y poco dinero en cada uno, el dibujo que cabe esperar de mucha gente sacando cantidades modestas, aunque un pago no equivale siempre a una persona.

Binance había avisado de retrasos y tiempos de proceso más largos por el tráfico, y de que, si una retirada no sale, se puede volver a intentar pasado un rato [1]. Más tarde abrió ETH, USDT y USDC en Ethereum y BNB, USDT y USDC en BNB Smart Chain [7]. Según su servicio de atención, la fase uno abarca activos de 15 redes [8].

El contexto del ataque

Llega la reapertura con el autor señalado. El FBI atribuyó el 31 de octubre el robo a Corea del Norte, a la unidad que llama TraderTraitor, y dijo haber visto a sus miembros convertir lo robado sobre todo en ETH [9]. Según Reuters, Donald Trump afirmó ese mismo día que Estados Unidos no tenía la certeza de que fuera Corea del Norte [5].

Dice Binance haber cubierto cerca del 95 % de lo robado y que los saldos de BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD y ZEC están respaldados al 100 % [1]. El 5 % restante son tokens menos líquidos que tarda más en comprar, según el exchange [1]. Para reponerlo ha usado parte del SAFU, de su fondo de seguro de futuros y de su tesorería, y espera tener la prueba completa de conocimiento cero de sus reservas hacia el martes 3 de noviembre [10].

Lo que queda por ver

Quedan pendientes el resto de redes y activos de la fase uno, la prueba completa de reservas y el informe técnico que Binance promete al cerrar la investigación [1][10]. Lo comprobable, en cualquier caso, está a la vista. Cada pago de la cartera nueva aparece en el siguiente bloque, igual que apareció el robo, y cualquiera puede contrastarlo con la lista que el propio exchange publica. El efecto en el mercado de bitcoin lo seguimos aparte, con los datos de la cadena.

Fuentes

Tipo de fuente entre corchetes. Horas en UTC. Consultadas el 1 de noviembre de 2026.

  1. Binance, Security Incident | Recovery Update #4: Withdrawals Resume in Phases, artículo en X, 04:11 UTC del 1 de noviembre de 2026. Fase uno entre las 06:00 y las 09:00 UTC, posibles retrasos, cerca del 95 % cubierto y diez activos respaldados al 100 %. (Primaria, empresa)
  2. Binance, mensaje en X, 06:20 UTC del 1 de noviembre de 2026 («First batch network now opened in phase one of withdrawals is $BTC bitcoin network»). (Primaria, empresa)
  3. Binance, mensaje en X, 06:53 UTC del 1 de noviembre de 2026, sobre las direcciones nuevas de la prueba de reservas. (Primaria, empresa)
  4. Binance, Proof of Reserves, ficheros de direcciones de la foto del 31 de octubre de 2026. PR31OCT26_New_Wallet_Address.csv (119 direcciones nuevas, una de bitcoin, bc1qhp7n…5fjj, bloque 973.895) y PR31OCT26_HotCold.csv (incluye 3M219K…jxRP6, 1Pzaqw…rE7, 31jUs8…UiUba, 3Kyo49…vkA1EM, 3KRduE…dxFLZ, 3Q6ZCg…smsR y bc1qm34l…7s3h, bloque 973.895). (Primaria, empresa)
  5. Reuters, Binance resumes bitcoin withdrawals after covering bulk of stolen $6.3 billion, 1 de noviembre de 2026, reproducido por Investing.com. Página de estado de Binance poco después de las 06:00 GMT y declaraciones de Donald Trump. (Secundaria, agencia)
  6. AFP, Binance says resuming withdrawals after major hack, 1 de noviembre de 2026. (Secundaria, agencia)
  7. Binance, Withdrawal Update, mensaje en X, 07:49 UTC del 1 de noviembre de 2026. ETH, USDT y USDC en Ethereum y BNB, USDT y USDC en BNB Smart Chain. (Primaria, empresa)
  8. Binance Customer Support, respuestas a usuarios en X del 1 de noviembre de 2026, entre ellas la de las 08:04 UTC a una queja por la espera, la de las 07:53 UTC sobre las direcciones nuevas y la de las 08:06 UTC con las redes abiertas. (Primaria, empresa)
  9. FBI Cyber Branch, mensaje en X, 22:36 UTC del 31 de octubre de 2026, y FBI, North Korea responsible for $6 billion Binance attack. (Primaria, autoridad)
  10. Binance, Security Incident | Update #3: 90% of Stolen Assets Replenished; Proof of Reserves Snapshot Provided, artículo en X, 14:30 UTC del 31 de octubre de 2026, y mensaje sobre la transferencia del SAFU, 16:15 UTC del 31 de octubre de 2026 (transacción 774fcb97…14bd, 7.499 BTC). (Primaria, empresa)
  11. mempool.space, lectura propia de la nueva cartera bc1qhp7n…5fjj, de la cartera caliente bc1qm34l…7s3h, de 60 direcciones de bitcoin atribuidas a Binance, entre ellas 3M219K…jxRP6 y 1Pzaqw…rE7, y de las 19 salidas grandes de los lotes robados. Reapertura contada desde las 06:00 UTC del 1 de noviembre. Lectura en el bloque 974.102 (08:09 UTC del 1 de noviembre de 2026). Base previa al robo de la lectura del 31 de octubre, bloque 973.947. (Primaria, cadena)
  12. Bitquery, Binance hack investigation, apartado «The record», con las 19 direcciones de los lotes. (Secundaria, análisis de cadena)
  13. Elliptic, Binance hack 2026 blocklist. (Secundaria, análisis de cadena)
  14. Binance, Security Incident | Recovery Update #2, artículo en X firmado por Yi He y Richard Teng, 19:58 UTC del 30 de octubre de 2026, y Richard Teng, vídeo en X, 14:32 UTC del 30 de octubre de 2026. (Primaria, empresa)

Más en Precio y mercado

Ver los 19 artículos de Precio y mercado →

Última actualización: 1 de noviembre de 2026