José ZegarraTable of Contents
Resumen
Binance confirmó un incidente de seguridad con retiros no autorizados por aproximadamente US$6,300 millones y anunció que cubriría las pérdidas con recursos corporativos y su fondo SAFU. La investigación de IT/USERS® Magazine, actualizada al 31 de octubre de 2026, contrasta las comunicaciones de la plataforma con los análisis de TRM Labs y Elliptic.
El ataque expone un riesgo que trasciende las criptomonedas: un sistema puede producir firmas válidas para operaciones fraudulentas. La investigación todavía busca establecer cómo ocurrió. Ilustración conceptual generada con IA para IT/USERS® Magazine.
Lima, Perú, 31 de octubre de 2026.— El conocido portal de transacciones en criptomonedas Binance confirmó un muy grave incidente de seguridad con retiros no autorizados por aproximadamente US$6,300 millones y anunció que cubrirá las pérdidas mediante recursos corporativos y su fondo SAFU. El ataque comenzó el 29 de octubre y afectó billeteras operativas en distintas redes. TRM Labs y Elliptic lo describen como el mayor robo de criptomonedas registrado y señalan vínculos con actores norcoreanos.
La plataforma informó que había separado más de US$6,340 millones para respaldar su compromiso. También comunicó la suspensión temporal de retiros y una investigación que, además de una posible laptop comprometida, encontró otros puntos de intrusión. Son declaraciones de la compañía: no equivalen a una auditoría independiente de solvencia ni a la restitución comprobada de todos los activos. Fuente: Binance Announcement on Binance Square
El punto técnico más importante es otro: una transacción correctamente firmada puede seguir siendo fraudulenta. La firma demuestra que se utilizó una capacidad criptográfica autorizada, pero no que la operación respondiera a una decisión legítima del negocio.
Qué sabemos y por qué las cifras difieren
El artículo de Bloomberg Línea publicado el 30 de octubre recoge las explicaciones iniciales de Binance y las atribuciones de firmas especializadas. Su cobertura permitió identificar pronunciamientos que no habíamos localizado en la sección general de anuncios de la plataforma.
Las estimaciones disponibles no son idénticas. Cambian por el momento del análisis, las redes incluidas y el precio utilizado para valorar los activos.
| Fuente | Estimación comunicada | Alcance y precaución |
|---|---|---|
| Binance | Aproximadamente US$6,300 millones | Impacto reconocido por la plataforma |
| TRM Labs | Aproximadamente US$6,360 millones | Valoración de transferencias al precio del momento de la extracción |
| Elliptic | US$6,430 millones | Análisis de activos sustraídos a través de varias redes |
| Binance: fondos separados para cobertura | Más de US$6,340 millones | Compromiso corporativo; no debe confundirse con activos recuperados |
Estas cantidades describen cosas diferentes. Tampoco corresponde restar automáticamente los activos congelados del monto robado y presentar el resultado como pérdida definitiva: un congelamiento impide determinados movimientos, pero no significa que el dinero haya regresado a su propietario.
La cronología: preparación, extracción y contención
El ataque combinó una preparación previa con movimientos coordinados en distintas cadenas de bloques.
Antes del drenaje
TRM Labs sitúa el comienzo de los preparativos al menos 36 horas antes. Su investigación describe financiación inicial mediante Tornado Cash y ensayos de código antes de intervenir las billeteras de Binance.
La secuencia importa porque contradice la idea de un incidente reducido a un clic desafortunado. Una intrusión puede comenzar con un equipo comprometido y avanzar después mediante accesos, herramientas y autorizaciones adicionales.
La salida de los activos
Según TRM, el movimiento principal comenzó aproximadamente a las 20:05 UTC del 29 de octubre, equivalentes a las 3:05 p. m. en Perú. Gran parte de la extracción se concentró en unos veinte minutos, con otra ola posterior.
La diferencia de fecha con referencias al 30 de octubre puede responder al huso horario: las 20:05 UTC del día 29 corresponden a las 04:05 del día siguiente en UTC+8.
Después de la detección
La respuesta incluyó suspensiones, seguimiento de fondos y coordinación con emisores y otras organizaciones. La velocidad de contención fue relevante, pero las cifras iniciales requieren conservar su fecha de corte.
| Momento | Hecho descrito | Lectura para la investigación |
|---|---|---|
| Desde el 28 de octubre | Preparación y financiación de infraestructura, según TRM | Existió actividad previa susceptible de investigación |
| 29 de octubre, alrededor de 20:05 UTC | Inicio de transferencias coordinadas | El incidente abarcó distintas redes |
| Durante y después de la extracción | Conversión y desplazamiento de activos | La contención compitió con el movimiento de fondos |
| Actualizaciones posteriores | Congelamientos y revisión de infraestructura | Persisten diferencias entre inmovilización, recuperación y cobertura |
El sistema de firma bajo investigación
TRM interpreta la coincidencia de transferencias válidamente firmadas en distintas redes como un indicio de compromiso de la infraestructura de firma de las billeteras operativas. Es una evaluación técnica de la firma investigadora; la causa raíz completa todavía necesita el informe de Binance.
En Ethereum, el análisis identifica una delegación mediante EIP-7702 y autorizaciones firmadas previamente. En otras redes describe transferencias ordinarias. Por ello, atribuir todo el robo a una sola función de Ethereum dejaría sin explicar una parte sustancial del incidente. Fuente: TRM Labs
Qué permite EIP-7702
La especificación oficial de EIP-7702 permite que una cuenta delegue la ejecución de su comportamiento en código mediante una autorización firmada. Es una capacidad del protocolo; su uso malicioso no demuestra por sí mismo una vulnerabilidad criptográfica de Ethereum.
Para entenderlo, pensemos en una tesorería cuyo sistema acepta una orden porque contiene una firma válida. Si un atacante consigue utilizar el mecanismo que produce esa firma, puede superar la comprobación criptográfica sin que la operación sea legítima.
La defensa necesita revisar también destinatarios, montos, propósito y contexto. Proteger una clave y proteger la autorización de su uso son tareas relacionadas, pero distintas.
Qué significa “sin evidencia de claves comprometidas”
Binance afirma que no ha encontrado evidencia de compromiso de claves privadas. La formulación debe conservar su alcance provisional.
No permite concluir que los atacantes carecieron de acceso a cualquier capacidad de firma. Un sistema puede mantener la clave dentro de un componente protegido y, aun así, recibir instrucciones fraudulentas para utilizarla.
Tampoco sería correcto declarar que una intrusión externa excluye posibles fallas internas de control. La investigación debe establecer ambas dimensiones.
Corea del Norte: atribución técnica y confirmación oficial
TRM atribuye el ataque con alta confianza a TraderTraitor. Elliptic considera probable la participación de actores vinculados con Corea del Norte y describe conexiones financieras con otro incidente atribuido a ese entorno.
La atribución debe presentarse con nombre y fuente. La similitud operativa aporta indicios, pero no convierte cada relación entre direcciones en una identificación concluyente de una persona.
El antecedente de Bybit tiene un respaldo distinto: en febrero de 2025, el FBI atribuyó a Corea del Norte el robo de aproximadamente US$1,500 millones y vinculó la actividad con TraderTraitor. Esa confirmación corresponde a Bybit; no debe trasladarse automáticamente a Binance.
| Incidente | Magnitud de referencia | Estado de atribución utilizado |
|---|---|---|
| Binance, octubre de 2026 | Aproximadamente US$6,300–6,430 millones | Atribución de firmas especializadas; investigación en curso |
| Bybit, febrero de 2025 | Aproximadamente US$1,500 millones | Atribución a Corea del Norte publicada por el FBI |
| Binance, mayo de 2019 | 7,000 BTC sustraídos | Incidente reconocido por Binance; cobertura anunciada mediante SAFU |
El comunicado de Binance de 2019 confirma aquel robo. Comparar incidentes exige conservar la valoración de cada fecha: el precio actual del bitcoin no representa el perjuicio comunicado entonces.
Congelar activos no significa recuperarlos
Elliptic informó haber verificado US$2,840 millones congelados, alrededor del 44% de su estimación del robo, en su actualización del 30 de octubre a las 08:00 UTC. También describió conversiones hacia activos sin un emisor central capaz de congelarlos. Elliptic
Este mecanismo muestra una diferencia entre tipos de criptoactivos. Algunas stablecoins incorporan controles del emisor; esa capacidad no se extiende automáticamente a bitcoin, ether o cualquier token.
| Concepto | Qué significa | Qué no demuestra |
|---|---|---|
| Activo robado | Salió hacia una dirección controlada por el atacante | Que pueda recuperarse |
| Activo congelado | Su movilidad quedó restringida mediante un mecanismo aplicable | Que ya haya sido devuelto |
| Activo recuperado | Se obtuvo nuevamente su control conforme al procedimiento correspondiente | Que todas las reclamaciones estén resueltas |
| Fondos corporativos de cobertura | Recursos aportados por la empresa | Una recuperación del botín |
| Prueba de reservas | Evidencia sobre determinados activos y saldos | Una auditoría integral de pasivos, riesgos y solvencia |
El estado de los retiros debe comprobarse por activo y red en el canal oficial. Un calendario anunciado es un objetivo operativo, no una garantía de reapertura.
Qué deberían revisar las organizaciones
La principal lección empresarial es examinar quién puede provocar una firma, bajo qué condiciones y con qué controles independientes.
Separar privilegios y limitar el impacto
El acceso de desarrollo, administración y tesorería necesita fronteras verificables. Una revisión debe comprobar qué ocurre si un dispositivo o una identidad privilegiada queda comprometida: hasta dónde puede avanzar y qué operaciones puede desencadenar.
Los límites de monto, destinatarios y frecuencia pueden reducir el alcance de una intrusión. Su efectividad depende de que no compartan el mismo punto de fallo que el sistema comprometido.
Comprobar la intención antes de ejecutar
Una operación técnicamente válida puede contradecir las políticas del negocio. Para movimientos de alto impacto, conviene contrastar la solicitud con una referencia independiente y someter los cambios de permisos a una revisión específica.
La monitorización debe considerar transferencias, nuevas delegaciones, modificaciones de controles y comportamientos coordinados entre sistemas.
Ensayar la respuesta completa
Un plan necesita responsables capaces de suspender operaciones, revocar autorizaciones, conservar evidencia y comunicar hechos verificados. También requiere contactos preparados con proveedores, investigadores y autoridades.
Elliptic publicó una lista de direcciones asociadas al incidente. Es un recurso para equipos especializados de cumplimiento e investigación; debe incorporarse a procesos de evaluación, no utilizarse como sustituto de ellos.
Qué pueden hacer los usuarios sin añadir otro riesgo
Las actualizaciones deben consultarse entrando directamente a los canales oficiales. Un incidente de esta magnitud puede aprovecharse para enviar mensajes que prometen liberar retiros o recuperar fondos a cambio de credenciales, códigos o firmas.
La autenticación reforzada ayuda a proteger una cuenta personal, pero no evita por sí sola un compromiso de la infraestructura del custodio.
La autocustodia también exige una evaluación realista. Reduce determinadas dependencias, pero traslada al usuario responsabilidades sobre claves, respaldos y transferencias irreversibles. No corresponde recomendar movimientos apresurados ni presentar una billetera física como protección absoluta.
Visión estratégica para Perú y Latinoamérica
Para las empresas peruanas y latinoamericanas, el caso plantea una revisión de dependencias: qué activos o procesos controla un tercero, cómo se verifica su disponibilidad y qué alternativa existe durante una interrupción.
La lección también alcanza a pagos, tesorería y administración de infraestructura. Una credencial válida no basta para justificar cualquier operación. Los controles necesitan evaluar intención, alcance y autorización mediante mecanismos que no dependan de una sola identidad.
Los directorios deberían pedir escenarios de pérdida, tiempos de recuperación y pruebas de funcionamiento de los límites. También distinguir reservas disponibles de promesas de cobertura. El objetivo es conocer cuánto daño podría producir un acceso comprometido y qué evidencia existe de que la organización puede contenerlo.
Glosario
Billetera operativa o hot wallet
Billetera conectada a sistemas en línea para atender operaciones frecuentes.
Autocustodia
Modelo en el que el usuario controla las claves necesarias para disponer de sus activos.
Firma digital
Mecanismo criptográfico que permite verificar una autorización, sin demostrar por sí solo su legitimidad comercial.
EIP-7702
Especificación de Ethereum que permite delegar mediante autorización firmada la ejecución de una cuenta en código.
Stablecoin
Criptoactivo diseñado para mantener una referencia de valor. Sus controles dependen del diseño y del emisor.
SAFU
Fondo de emergencia de Binance destinado a atender determinados incidentes.
Prueba de reservas
Procedimiento para aportar evidencia sobre activos o saldos; su utilidad depende del alcance y las verificaciones realizadas.
Atribución
Evaluación de evidencias para asociar una actividad con un actor, con un grado de confianza declarado.
Tu Opinión Nos Importa 🗣️
Me interesa llevar la discusión a una pregunta concreta: si una identidad privilegiada fuera comprometida hoy, ¿qué impediría que sus sistemas autorizaran una operación válida en apariencia, pero fraudulenta?
¿Qué evidencia exigirías a un proveedor que custodia información o activos críticos? Comparte tu reflexión con nuestros hashtags #ItusersAwards2026 y #superfan.
Apoya al Periodismo Independiente
¿Te sirvió en algo este contenido?, ayúdanos a combatir la Desinformación, dona desde S/ 1.00 a nuestro PLIN 943-438-457
