Una cámara acorazada digital abierta en una sala de servidores, de la que salen monedas flotando hacia el pasillo
Ilustración propia generada con IA.

Binance confirma un hackeo de 6.300 millones de $ y 18.270 BTC salen de una de sus carteras calientes

Equipo NodeWitness 11 min de lectura

Binance ha puesto cifra y causa a lo que la cadena mostraba desde el primer momento. El exchange estima el impacto del robo en unos 6.300 millones de $, el mayor registrado según TRM Labs, y promete cubrir todas las pérdidas con su fondo SAFU y con fondos propios.

Según la investigación inicial de Binance, todo pudo empezar en el portátil comprometido de un ingeniero de DevOps. Desde ese equipo, el atacante habría entrado en un contenedor de servicio y enviado órdenes de retirada no autorizadas [20]. El exchange asegura que no ha encontrado indicios de que se filtrara ninguna clave privada, que ha revocado la autorización de la dirección afectada y que trabaja con la policía y con empresas de análisis de cadena para recuperar el dinero [20]. Unos 3.000 millones de $ están congelados en cadena, y Binance promete un análisis técnico detallado y una nueva prueba de reservas cuando termine la investigación [20].

Las primeras horas fueron de cautela. Binance habló al principio de «un posible problema de seguridad» y dijo que no había confirmado impacto en los fondos de sus usuarios [17]. Yi He, cofundadora y codirectora ejecutiva, cerró un mensaje parecido con «User Funds SAFU» [18], y Changpeng Zhao, fundador del exchange, escribió que aquello «parece un hackeo» [19]. Después llegaron la confirmación, la cifra y la suspensión de las retiradas.

TRM Labs, que ha seguido cada transferencia, cuenta unos 6.360 millones de $ sacados de carteras de Binance en diez redes, casi todo en unos 20 minutos de la noche del jueves 29 de octubre [21]. Según su cálculo, multiplica por cuatro el robo de 1.500 millones de $ a Bybit de febrero de 2025. TRM atribuye el ataque con alta confianza a TraderTraitor, la unidad de hackers norcoreana a la que el FBI culpó de aquel caso, y Chainalysis expresa una valoración parecida, según la BBC [21][22]. Binance no respondió a la BBC sobre la posible relación con Corea del Norte y dijo que colabora con las autoridades para identificar a los responsables [22].

Diez redes y un mismo firmante

El primer golpe llegó en el XRP Ledger, y detrás cayeron carteras de Binance en Solana, Optimism, Bitcoin, Tron y Ethereum, entre otras [21]. En Ethereum, el atacante usó una delegación EIP-7702. Una transacción de tipo 4 con 50 autorizaciones firmadas por la clave de la cartera Binance 14 la convirtió en un contrato que solo obedecía a una cuenta externa terminada en 5CA0 [2][21]. Minutos después, ese contrato vació Binance 14 con unos 167.464 ETH, 1.615 millones de USDT y decenas de tokens más [1][21]. La cartera Binance 16 envió otros 28.005 ETH al mismo destino [5], y la delegación siguió activa durante horas para barrer cada fondo nuevo que llegaba [6][21].

Lo revelador está en las demás redes. Allí, las carteras de Binance mandaron el dinero con transferencias corrientes, firmadas con claves y esquemas distintos [21]. Para TRM, la explicación más probable es que el atacante consiguiera que el sistema de firma de las carteras calientes de Binance firmara las operaciones que él quería [21]. Encaja con la versión del exchange, que habla de retiradas enviadas desde un servicio interno y de ninguna clave filtrada [20]. Las carteras calientes son las que Binance mantiene conectadas para pagar las retiradas de sus clientes [9].

El golpe venía preparado desde al menos 36 horas antes. La cuenta terminada en 5CA0 recibió pequeñas retiradas de Tornado Cash, un servicio que mezcla monedas para ocultar su origen, y ensayó el código del ataque en otras carteras antes de usarlo con la de Binance [3][7][8][21].

Los 18.270 BTC

La primera versión de esta pieza se centró en la operación de Ethereum y dejó a bitcoin al margen. El informe de TRM documentó después una salida en bitcoin, y la cadena la confirma [21][23].

En el bloque 973.732, once transacciones desde una misma dirección enviaron 18.270,2 BTC a otra que no tenía ningún historial [23]. La cantidad y el bloque coinciden con la salida que TRM atribuye a una cartera caliente de bitcoin de Binance, valorada en unos 1.470 millones de $ [21][23]. En ese mismo bloque, la dirección receptora empezó a separar trozos redondos de 1.000 BTC, cada uno hacia una dirección nueva [24]. Es lo que los investigadores llaman cadena de pelado, porque el dinero se va desprendiendo capa a capa, como una cebolla, hasta perderse entre cientos de direcciones [21].

Esos bitcoin son los que más preocupan a quienes siguen el rastro. Un USDT o un USDC se puede bloquear desde el contrato de su emisor, mientras que un bitcoin solo obedece a quien tiene su clave. Junto a más de 420.000 ETH, forman unos 2.400 millones de $ fuera del alcance de cualquier emisor, según TRM, que espera verlos pasar por puentes entre redes y mesas de compraventa en los próximos movimientos [21].

La gran reserva no se movió. La dirección que los rastreadores atribuyen a la cartera fría de bitcoin de Binance conservaba 248.597,6 BTC en nuestra comprobación del 30 de octubre, con su último movimiento el día 25 [13]. Los bitcoin robados salieron de una cartera caliente.

Lo que se ha congelado

Los emisores de stablecoins pueden bloquear direcciones en sus contratos, y lo hicieron deprisa. La dirección que recibió el primer barrido de Ethereum guardaba unos 975 millones de USDT y 823 millones de USDC cuando Tether y Circle la bloquearon [4][10][11]. Con los bloqueos posteriores, TRM cuenta unos 1.770 millones de USDT congelados por Tether, unos 825 millones de USDC por Circle, 40,5 millones de RLUSD por Ripple y 27,8 millones de USD1 por World Liberty Financial [21]. El consejo de seguridad de Arbitrum, que puede intervenir en emergencias en esa red, sacó del alcance del atacante 8.426 ETH y 74,6 millones de ARB [21]. Binance eleva el total congelado a unos 3.000 millones de $ [20]. El ETH no admite ese tipo de bloqueo, y la receptora pudo reenviar 195.460 ETH a otra cartera nueva [12].

El atacante corrió para adelantarse a los bloqueos. Vendió unos 325 millones de USDT a creadores de mercado a cambio de unos 122.300 ETH, aceptando un descuento de más del 10 % [21]. Otra de sus carteras depositó 60 millones de USDT en Aave y pidió prestados 19.762 WETH [25]. Aave congeló después 175 reservas de su versión 3 en 16 redes y 117 de la versión 4, y su equipo de riesgo detectó una nueva entrada de 444.537 AVAX más de dos horas después del primer golpe, señal de que el acceso seguía abierto [25].

El precio

El precio acusó el golpe. En Binance, bitcoin pasó de unos 80.850 $ antes del ataque a un mínimo de 76.500 $ en la madrugada del 30 de octubre, más de un 5 % por debajo [14]. En la primera hora se liquidaron unos 190 millones de $ en posiciones de bitcoin, casi todas alcistas [15]. Después recuperó parte del terreno y rondaba los 78.650 $ al cerrar esta actualización [14].

Qué significa para quien tiene dinero en Binance

Para millones de clientes, el robo se traduce en una espera. Binance mantenía pausadas las retiradas el 30 de octubre mientras rehacía su servicio de retiradas y el control de sus direcciones, y esperaba reanudarlas en un plazo de 48 horas, con los depósitos funcionando con normalidad [26][27]. El exchange promete cubrir cada pérdida con el SAFU, el fondo de emergencia que ya usó en 2019 para reponer 7.000 BTC robados de una cartera caliente [16][20]. Mientras tanto, conviene atender solo a sus canales oficiales y desconfiar de cualquier mensaje que ofrezca reembolsos o pida datos de acceso, porque los estafadores aprovechan estos sustos [17].

Para quien guarda bitcoin pensando en años, el episodio repite una lección vieja con un detalle nuevo. Las monedas en un exchange son una promesa de pago, y esa promesa puede depender del portátil de un empleado. Las que están en una cartera propia, con una clave que solo controla su dueño, responden únicamente a él.

Binance ha prometido un análisis técnico completo cuando cierre su investigación, y lo incorporaremos a esta pieza cuando se publique.

Fuentes

Tipo de fuente entre corchetes. Horas en UTC. Consultadas el 29 y el 30 de octubre de 2026.

  1. Etherscan, transacción de barrido desde Binance 14, 20:24:23 UTC, función sweep hacia 0x5227…2f8c. Leída también en Blockscout. (Primaria, cadena)
  2. Etherscan, transacción de tipo 4 (EIP-7702), 20:20:59 UTC, con 50 autorizaciones de Binance 14 para nonces consecutivos, una de ellas válida, que delegan en el contrato 0x63e8…6fAe. Código actual de Binance 14 leído por RPC: 0xef0100 + 0x63e8…6fAe. (Primaria, cadena)
  3. Etherscan, dirección 0x7C86…5CA0, historial del 29 de octubre de 2026. (Primaria, cadena)
  4. Etherscan, dirección receptora 0x5227…2f8c. Saldos leídos en Blockscout a las 21:10 UTC: 975.066.939 USDT y 823.000.000 USDC, unos 2.360 millones de $ en 64 tokens a precios de Blockscout. (Primaria, cadena)
  5. Etherscan, envío de 28.005,6 ETH desde Binance 16, 20:24:47 UTC. (Primaria, cadena)
  6. Etherscan, salidas posteriores de Binance 14: 780 millones de USDC (20:41 UTC), 43 millones de USDC (20:59 UTC) y nuevo barrido (21:04 UTC). (Primaria, cadena)
  7. BeInCrypto, Lockridge Okoth, Is Binance Being Hacked? $2 Billion Outflow Puts Customer Funds in Question, 29 de octubre de 2026, 20:49 UTC. Financiación vía Tornado Cash, valoraciones de Tree News y Spreek. (Secundaria, prensa)
  8. PANews, 币安热钱包疑似遭攻击，约25亿美元资产被转出, 29 de octubre de 2026, 20:51 UTC. (Secundaria, prensa)
  9. Binance, How and Why Assets Move Between Binance Wallets. (Primaria, empresa)
  10. Etherscan, salidas de USDT de la receptora: 500 millones a 0x9749…C762 y 200 millones a 0x0Ddf…697e, ambas el 29 de octubre entre las 20:30 y las 20:34 UTC. Eventos AddedBlackList del contrato de USDT: receptora (21:01:35 UTC), 0x9749…C762, 0x0Ddf…697e, 0x8d53…639a y 0x7aa4…bfd1 (hasta las 21:12 UTC). (Primaria, cadena)
  11. Etherscan, evento Blacklisted del contrato de USDC sobre la receptora, 21:04:59 UTC. Comprobado también con isBlacklisted por RPC. (Primaria, cadena)
  12. Etherscan, reenvío de 195.460 ETH a 0x8532…43D4, 20:38:47 UTC; saldo sin cambios a las 21:12 UTC. (Primaria, cadena)
  13. mempool.space, dirección 34xp4vRoCGJym3xR7yCVPFHoCNxv4Twseo, atribuida a Binance por los rastreadores de cadena. Saldo de 248.597,6 BTC y último movimiento el 25 de octubre de 2026, comprobados el 29 de octubre y de nuevo el 30 de octubre a las 06:10 UTC por la API de mempool.space. (Primaria, cadena; atribución de terceros)
  14. Binance, velas de BTC/USDT de su API pública. Velas de 15 minutos del 29 de octubre: cierre de 80.395,81 $ a las 20:30 UTC y mínimo de 78.297,05 $ en la vela de las 20:45 UTC. Velas de 1 hora: apertura de 80.848,64 $ a las 20:00 UTC del 29 de octubre, mínimo de 76.500,11 $ en la vela de las 02:00 UTC del 30 de octubre y último precio de 78.648 $ a las 06:10 UTC del 30 de octubre. (Primaria, mercado)
  15. TRdesk, liquidaciones de BTC, cálculo de las 20:52 UTC: 190,6 millones de $ en una hora, 85,2 % largos en 24 horas. (Secundaria, datos de mercado)
  16. Binance, Binance Security Breach Update, 7 de mayo de 2019. (Primaria, empresa)
  17. Binance (@binance), post en X, 29 de octubre de 2026, 21:15 UTC (editado a las 21:16 UTC). Traducción propia. (Primaria, empresa)
  18. Yi He (@heyibinance), post en X, 29 de octubre de 2026, 21:17 UTC. (Primaria, red social)
  19. Changpeng Zhao (@cz_binance), post en X, 29 de octubre de 2026, 21:15 UTC. Traducción propia. (Primaria, red social)
  20. Binance, Security Incident Update, 29 de octubre de 2026. Portátil comprometido de un ingeniero de DevOps, impacto estimado de unos 6.300 millones de $, unos 3.000 millones congelados, cobertura con SAFU y fondos propios. (Primaria, empresa)
  21. TRM Labs, North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History, 29 de octubre de 2026 (publicado a las 02:10 UTC del 30 de octubre según los metadatos de la página), con datos de cadena a las 00:30 UTC del 30 de octubre. Atribución a TraderTraitor, salidas por red, congelaciones y saldos del atacante. Es una valoración de TRM. (Secundaria, análisis de cadena)
  22. BBC, Osmond Chia, Crypto giant Binance hit by hack suspected to be largest in history, 30 de octubre de 2026. Valoración de Chainalysis y respuesta de Binance sobre la autoría. (Secundaria, prensa)
  23. mempool.space, dirección bc1q0mtc…2mnm, primera actividad en el bloque 973.732 (20:20:06 UTC del 29 de octubre). Recibió 18.270,2 BTC en 11 transacciones desde bc1qm34l…7s3h, la mayor de ellas de 7.636,8 BTC. La atribución del origen a Binance es de TRM y la coincidencia de cantidad y bloque es cálculo propio. (Primaria, cadena)
  24. mempool.space, primeras divisiones en trozos de 1.000 BTC en el bloque 973.732: b1473693…, 50a9d0ab… y siguientes. (Primaria, cadena)
  25. LlamaRisk, Binance Hot Wallet Exploit: Aave's Response, foro de gobernanza de Aave, 30 de octubre de 2026, 00:59 UTC. (Primaria, protocolo)
  26. FinanceFeeds, Binance Withdrawals to Resume Within 48 Hours, Deposits Back to Normal, 30 de octubre de 2026. Recoge los mensajes de Yi He (04:17 UTC) y de la cuenta de Binance (04:36 UTC). (Secundaria, prensa)
  27. Cointelegraph, Live Updates: Binance Losses Estimated at $6.3B amid Major Crypto Hack, 30 de octubre de 2026. (Secundaria, prensa)

Más en Precio y mercado

Ver los 18 artículos de Precio y mercado →

Última actualización: 30 de octubre de 2026