El mayor robo de criptomonedas conocido hasta la fecha ha puesto en el punto de mira la seguridad de Binance, la mayor plataforma de intercambio de activos digitales del mundo. El incidente, ocurrido el 29 de octubre, ha provocado la salida no autorizada de activos valorados en aproximadamente 6.300 millones de dólares (unos 5.600 millones de euros), según la última actualización publicada por la propia compañía.
La cifra supera ampliamente los 1.500 millones de dólares sustraídos a Bybit en febrero de 2025, hasta ahora considerado uno de los mayores robos de criptomonedas registrados. La magnitud del incidente de Binance ha obligado a movilizar a emisores de monedas estables, empresas de análisis de blockchain y otros actores del ecosistema para intentar bloquear y recuperar los fondos.
En su primera comunicación, Binance reconoció que estaba investigando un posible incidente de seguridad y aseguró que los fondos de los usuarios estaban a salvo. Sin embargo, una nueva actualización ha confirmado la dimensión del ataque: el impacto económico estimado asciende a 6.300 millones de dólares y la compañía ha conseguido congelar alrededor de 3.000 millones en colaboración con sus socios del sector.
La plataforma ha anunciado que asumirá todas las pérdidas con cargo a su fondo de protección SAFU (Secure Asset Fund for Users) y a los recursos propios de la compañía. También ha suspendido temporalmente las retiradas mientras revisa y refuerza los mecanismos de seguridad afectados. Los depósitos, según su última comunicación, continúan operativos.
Un portátil comprometido y varios puntos de entrada
La investigación inicial de Binance apunta a que el ataque pudo comenzar con el compromiso del ordenador portátil de un ingeniero de DevOps, el área encargada de integrar y mantener los sistemas de desarrollo y operaciones tecnológicas.
Según la explicación de la compañía, el acceso a ese equipo habría permitido a los atacantes alcanzar un contenedor de servicios y ejecutar transacciones de retirada no autorizadas. La empresa asegura que, hasta el momento, no ha encontrado indicios de que se hayan filtrado las claves privadas de los monederos.
Sin embargo, la investigación ha identificado otros puntos de compromiso, lo que apunta a una operación más compleja de lo que sugerían las primeras hipótesis. El consejero delegado de Binance, Richard Teng, ha advertido de que no se trató de una acción ejecutada con un único clic ni de un ataque que pudiera explicarse simplemente por los permisos de un empleado. La compañía tampoco ha atribuido responsabilidad individual a ningún trabajador.
Binance ha anunciado que publicará un análisis técnico detallado cuando concluya la investigación y se hayan verificado los hechos. Mientras tanto, ha revocado las autorizaciones asociadas a las direcciones afectadas y trabaja con las fuerzas de seguridad y empresas especializadas en inteligencia de blockchain para rastrear los activos.
La información publicada por BleepingComputer el 29 de octubre hablaba inicialmente de un posible robo de 5.800 millones de dólares.
Tres mil millones de dólares congelados, pero todavía hay fondos en manos de los atacantes
Uno de los elementos más relevantes del incidente es la respuesta coordinada de diferentes empresas del ecosistema de criptomonedas. Emisores de monedas estables como Tether y Circle han intervenido para bloquear activos vinculados a las direcciones identificadas en la investigación.
Los análisis independientes de Elliptic y Bitquery permiten seguir el recorrido de parte de los fondos. Elliptic estima que el valor sustraído alcanzó aproximadamente los 6.430 millones de dólares y cifra en 2.840 millones los activos congelados, alrededor del 44% del total. Bitquery, por su parte, ha identificado movimientos por valor de 6.300 millones y calcula que unos 2.700 millones han quedado bloqueados.
Las diferencias entre las cifras responden a los momentos de actualización y a los criterios utilizados para contabilizar los movimientos y los activos congelados. En cualquier caso, los análisis coinciden en que una parte sustancial de los fondos continúa bajo control de los atacantes.
Según el análisis de Bitquery, los movimientos se produjeron a través de 17 monederos calientes (hot wallets) de Binance y nueve redes blockchain. Una parte de los activos fue convertida en otras criptomonedas antes de que pudieran aplicarse los bloqueos. Este procedimiento dificulta la recuperación porque no todos los activos digitales pueden congelarse mediante la intervención de sus emisores.
La investigación de Elliptic también identifica importantes cantidades de bitcoin y ethereum entre los fondos sustraídos. La compañía considera que el volumen y la velocidad de los movimientos convierten el incidente en un caso excepcional dentro del historial de robos de activos digitales.
Corea del Norte, bajo sospecha
La dimensión del robo y la complejidad de la operación han reavivado las sospechas sobre la posible participación de grupos de ciberdelincuencia vinculados a Corea del Norte.
Las firmas de análisis de blockchain TRM Labs y Chainalysis han señalado al grupo TraderTraitor, asociado a las operaciones financieras ilícitas de actores norcoreanos. Sus análisis apuntan a una atribución con un elevado grado de confianza, aunque Binance no ha confirmado públicamente la identidad de los responsables.
La sospecha no resulta ajena al historial de ataques contra plataformas de criptomonedas. Corea del Norte ha sido vinculada durante los últimos años a operaciones de robo de activos digitales utilizadas para obtener financiación. Entre los antecedentes más relevantes figura el ataque contra Bybit de febrero de 2025, en el que fueron sustraídos alrededor de 1.500 millones de dólares y cuya autoría fue atribuida a actores norcoreanos.
La relación con Lazarus, el conocido grupo de amenazas persistentes avanzadas (APT) vinculado a Corea del Norte, también aparece en los análisis y comentarios iniciales sobre el incidente. No obstante, no existe por ahora una atribución pública concluyente que permita afirmar que Lazarus esté detrás del ataque a Binance. La identificación de TraderTraitor y su posible relación con otras estructuras de ciberdelincuencia norcoreanas debe mantenerse en el terreno de las investigaciones y las atribuciones de las empresas especializadas.
Los riesgos para el conjunto del sistema financiero
El incidente ha reabierto el debate sobre la seguridad de las infraestructuras financieras digitales y la capacidad de las organizaciones para responder a ataques que pueden tener consecuencias más allá de la plataforma inicialmente afectada.
Chris Dimitriadis, director global de Estrategia de ISACA, considera que el caso debe servir de advertencia para el conjunto del sistema financiero. A su juicio, la principal enseñanza es que la seguridad de una tecnología no garantiza por sí misma la protección de los sistemas que la utilizan.
«La verdadera debilidad puede encontrarse en los sistemas, las personas y los procesos que interactúan con esta tecnología», advierte Dimitriadis. El responsable de ISACA señala que ninguna innovación puede compensar una gobernanza deficiente o una preparación insuficiente frente a las amenazas.
La advertencia tiene especial relevancia para España, donde bancos, aseguradoras y otras entidades financieras dependen de infraestructuras digitales cada vez más interconectadas. Un incidente de esta naturaleza podría extender sus consecuencias a proveedores, operaciones y clientes, con efectos económicos y reputacionales.
Dimitriadis también apunta a una brecha entre innovación y preparación: según los datos de ISACA que cita, el 71% de las organizaciones europeas nunca ha realizado simulacros de respuesta ante incidentes relacionados con inteligencia artificial. El dato, aunque referido específicamente a ejercicios vinculados a IA y no a la preparación general frente a ciberataques, ilustra las carencias que pueden existir en los procedimientos de respuesta.
El directivo defiende que la respuesta no pasa por cuestionar blockchain ni frenar la innovación, sino por reforzar la resiliencia operativa, identificar las dependencias tecnológicas, realizar pruebas periódicas e invertir en profesionales especializados. También recuerda que marcos regulatorios como DORA deben traducirse en capacidades efectivas de prevención, detección y respuesta.
Los empleados técnicos, una superficie de ataque crítica
Georgy Kucherin, investigador sénior de seguridad de Kaspersky GReAT, destaca por su parte que el incidente de Binance demuestra cómo los equipos internos y los componentes externos pueden convertirse en puertas de entrada para los atacantes.
El investigador advierte de que los profesionales técnicos de las plataformas de criptomonedas, incluidos ingenieros y desarrolladores experimentados, pueden ser objetivos de campañas dirigidas. El compromiso de un equipo de trabajo puede proporcionar acceso a entornos internos y abrir el camino a operaciones que no requieren necesariamente robar las claves privadas de los monederos.
Kucherin recuerda que los atacantes también pueden recurrir a componentes de terceros para comprometer servicios financieros digitales. En este sentido, considera que los incidentes de Binance y Polymarket muestran dos superficies de ataque diferentes: la infraestructura interna de una organización y las dependencias externas que se integran en sus servicios.
El investigador tampoco descarta que operaciones de esta magnitud puedan estar relacionadas con actores APT, aunque subraya que la posible participación de Lazarus en el ataque a Binance sigue bajo investigación y no puede darse por demostrada.
