El 29 de octubre de 2026 quedará grabado en la historia financiera como el día en que la infraestructura de criptomonedas sufrió el ciberataque más grande registrado hasta ahora. En apenas 31 minutos, un atacante vació hot wallets de Binance por un valor estimado de 6.150 millones de dólares a través de nueve blockchains distintas.
A diferencia de los robos cibernéticos convencionales, el intruso no vulneró las claves privadas de la plataforma. La verdadera sofisticación del asalto radicó en que manipuló los sistemas internos de Binance para obligar a la propia empresa a validar y firmar las órdenes fraudulentas.
Ensayos milimétricos y un acceso silencioso
La operación no se improvisó. Días antes, el 28 de octubre, el atacante financió sus direcciones de prueba mediante el uso de Tornado Cash, un mezclador de privacidad diseñado para borrar el rastro del dinero. Ya con los fondos listos, el 29 de octubre entre las 02:28 y las 16:47 UTC, ejecutó una serie de ensayos en vivo con contratos inteligentes diseñados para vaciar cuentas con permisos delegados.
El primer ensayo con versiones de prueba fue un éxito, lo que dio paso a una versión definitiva dotada de un poder inusual: la capacidad de ordenar a una cartera de Binance realizar cualquier tipo de operación. Este nivel de personalización evidenciaba que el atacante conocía con precisión la configuración informática del exchange.
A las 20:04 UTC comenzó la fase definitiva. Tras comprometer la computadora portátil de un ingeniero de DevOps, el atacante logró inocular órdenes falsas dentro de un contenedor de servicios interno. En menos de media hora, el botín acumuló más de 18.200 bitcoins, cerca de 197.500 ethers, 2.490 millones en USDT, 823 millones en USDC y cientos de millones en tokens adicionales como XRP y Solana.
La jugada maestra: el truco de las 50 claves
El momento más crítico ocurrió a las 20:20 UTC, cuando el blanco principal pasó a ser Binance 14, una cartera de Ethereum de altísimo tráfico. Debido a la constante actividad de la cuenta, el contador de transacciones —conocido como nonce— cambiaba de forma permanente, lo que invalidaba cualquier orden de autorización desactualizada.
Para sortear este obstáculo, el atacante forzó al sistema de firmas de Binance a procesar 50 solicitudes en paralelo, cada una con un número de nonce diferente, como quien prueba medio centenar de llaves simultáneamente en una cerradura. Una de ellas encajó. A partir de ese instante, el contrato malicioso asumió el control operativo de la cuenta, permitiendo extraer más de 2.200 millones de dólares en tokens en una sola transacción, mientras la cartera continuaba operando con aparente normalidad.
Con miles de millones en monedas estables expuestas, se desató una frenética batalla digital. Los emisores de stablecoins como Tether y Circle comenzaron a procesar bloqueos de emergencia a través de carteras multifirma, mientras el atacante intentaba intercambiar con desesperación los USDT por activos nativos imposibles de congelar, como ETH y TRX, a través de plataformas descentralizadas como Uniswap y SunSwap.
La presión coordinada dio resultados parciales pero contundentes. Tether, Circle y el Consejo de Seguridad de Arbitrum lograron congelar, quemar o incautar cerca de 2.790 millones de dólares. No obstante, el emisor no pudo evitar que unos 669 millones de USDT fueran convertidos de manera irrevocable antes de que se accionaran los bloqueos.
Una firma criminal compartida y la respuesta del mercado
Las investigaciones posteriores de la firma de análisis blockchain BitOK revelaron que la ruta de los fondos robados conectó directamente con una dirección utilizada en el hackeo contra Bitget ocurrido en septiembre de 2026. Las tácticas empleadas, desde los ensayos previos hasta la utilización de franjas horarias específicas y la rápida liquidación de activos, apuntan con fuerza hacia metodologías asociadas con grupos de piratería informática vinculados a Corea del Norte.
Por su parte, Binance actuó con rapidez para contener la crisis. Tras pausar de inmediato los retiros en sus carteras afectadas, la directiva aseguró que todas las pérdidas de los clientes serían cubiertas en su totalidad mediante el fondo de emergencia SAFU y recursos propios de la compañía. Sin embargo, el impacto colateral se sintió de inmediato en todo el ecosistema, provocando la liquidación masiva de más de 1.580 millones de dólares en posiciones apalancadas en apenas 24 horas.
A pesar de los miles de millones inmovilizados por la industria, el balance final deja una cifra alarmante: el atacante retiene bajo su control absoluto activos en criptomonedas puras, como Bitcoin, Ethereum, XRP y Solana, valorados en aproximadamente 2.950 millones de dólares, un recordatorio contundente de que en la ciberseguridad financiera, la protección de las claves privadas ya no es suficiente para contener brechas estructurales.
«Los exchanges también necesitan controles sobre la autoridad de firma, protección contra instrucciones de retiro sospechosas, revocación inmediata de permisos comprometidos y monitoreo continuo de los movimientos de activos entre redes», detalla el portal BeinCrypto.