Escucha este artículo
Audio generado con IA de Google
/
El 29 de octubre de 2026 pasó a la historia como el día en que se cometió el mayor robo de criptomonedas de la historia. En cuestión de horas, los atacantes lograron extraer de los bolsillos de Binance, la plataforma de intercambio cripto más grande del mundo, la exorbitante suma de USD 6.300 millones.
No fue un robo a mano armada ni un ataque marcado por la violencia o la toma de rehenes. Detrás de la operación habría una estrategia sigilosa y sofisticada, posiblemente vinculada a Corea del Norte, un país que ha formado auténticos ejércitos cibernéticos dedicados al espionaje geopolítico y al robo de activos financieros a gran escala.
Esto es lo que se sabe y las lecciones que deja este incidente
¿Qué pasó?
Hacia las tres de la tarde del jueves, hora Colombia, Binance detectó un comportamiento extraño en sus ‘hot wallets’ (billeteras calientes). Para quienes no están inmersos en el mundo cripto, una ‘hot wallet’ es una especie de monedero virtual que se usa para guardar las criptomonedas. Reciben el nombre de “caliente” porque están conectadas a internet, lo que las diferencia de las ‘cold wallets’, que están desconectadas de la red.
Esto tiene su lógica, pues para operar (comprar y vender criptomonedas), una plataforma como Binance necesita mantener parte de sus activos en billeteras conectadas a internet, que faciliten las transacciones y los retiros de los usuarios. En cambio, las billeteras frías funcionan más como una caja fuerte que protege los activos que no necesitan estar disponibles para las operaciones inmediatas.
Con el propósito de contener el daño, la plataforma suspendió temporalmente los retiros y anunció que los reanudaría en un plazo de 45 horas (los depósitos funcionan con normalidad). Ese tiempo, según lo previsto, permitiría identificar y corregir las vulnerabilidades que facilitaron el ingreso de los atacantes y restablecer las operaciones de manera segura.
Binance también ha emitido diversos boletines en los que informa a sus usuarios sobre cómo avanzan sus investigaciones y las acciones que están tomando.
En sus comunicados, la plataforma ha sido enfática en que responderá por la totalidad de los fondos robados a través de su SAFU (Secure Asset Fund for Users, o Fondo de Activos Seguros para Usuarios). Se trata de un fondo de reserva de emergencia, creado en julio de 2018 para proteger los fondos y activos de los usuarios. Binance asegura que ya cuenta con recursos para cubrir el 80 % de las pérdidas y que avanza en la compra de las criptomonedas restantes para completar la reposición.
Parte de su respuesta al incidente también ha incluido el trabajo en conjunto con las fuerzas del orden, firmas de inteligencia en blockchain (el libro contable mediante el cual operan las cripto), emisores de activos y socios de la industria. Con ellos se busca rastrear y congelar los activos afectados. En otras palabras, Binance ha juntado un ejército de colaboradores para intentar recuperar lo robado.
Este esfuerzo ya ha dado frutos, pues aproximadamente USD 3.000 millones han sido congelados, lo que impide a los atacantes mover estos activos, transferirlos o convertirlos en dinero.
También se han reforzado los controles de seguridad en toda la infraestructura afectada. En suma, es como si Binance estuviera convirtiendo su plataforma en una ciudad amurallada en medio de una guerra: levanta nuevas barreras, blinda sus puntos vulnerables y, al mismo tiempo, sale a perseguir a quienes la atacaron para intentar recuperar los activos robados.
No obstante, Jake Moore, quien es el asesor global de ciberseguridad de ESET, señala que “recuperar criptomonedas robadas es mucho más difícil, especialmente cuando los delincuentes mueven los fondos entre varias billeteras y blockchains con extrema rapidez, utilizando tácticas de evasión simples y ampliamente conocidas”.
Si quiere conocer más detalles de cómo habría sido el paso a paso de este ataque, le invitamos a ver la infografía que encuentra al finalizar la nota.
¿Cómo pasó?
Los ataques informáticos no suelen ser improvisados. Detrás de este tipo de incidentes suele haber un trabajo previo de investigación, identificación de puntos débiles y diseño de una estrategia eficaz.
Se cree que el grupo de ciberdelincuentes detrás de este ataque dedicó tiempo a estudiar de cerca a Binance. ¿Quiénes son sus cabezas? ¿Qué personas tienen acceso a sus sistemas? ¿Quiénes cuentan con los privilegios necesarios para autorizar movimientos de semejante magnitud, como la extracción de USD 6.300 millones?
Si, por ejemplo, un atacante tuviera acceso al computador de uno de estos líderes y, de forma remota autorizar un movimiento de criptomonedas de semejante magnitud, el robo estaría hecho.
La investigación inicial adelantada por Binance sugirió precisamente eso, que los atacantes habrían accedido a la laptop de un trabajador con privilegios en los sistemas internos de la empresa. El avance pesquisa ha revelado que no fue uno, sino varios los equipos comprometidos por los que los atacantes lograron entrar al corazón de la plataforma y ejecutar la salida de semejante cantidad de criptomonedas.
Para Moore, “no solo es preocupante la rapidez con la que miles de millones de dólares pueden desaparecer en un robo de la era digital, sino que resulta increíble que una sola computadora portátil tuviera acceso privilegiado suficiente para hacerlo posible”.
¿Quién lo causó?
¿Qué mente criminal está detrás de este ataque? ¿A quién identificar y perseguir? Al igual que ocurre con un crimen en el mundo físico, en el que los investigadores analizan las huellas para dar con los responsables, en el mundo digital también quedan rastros. Su análisis puede aportar pistas para identificar a los atacantes y establecer si pertenecen a alguna agrupación de ciberdelincuentes.
De momento, Binance no ha señalado a nadie. Sin embargo, diversas firmas y expertos en seguridad informática han puesto su lupa en Corea del Norte.
Las principales sospechas se posan sobre TraderTraitor, una unidad de hackers de élite perteneciente al mencionado país asiático. Su objetivo es ampliamente conocido: robar activos digitales como bitcoin y ether.
Entre sus técnicas tradicionales figura el envío de correos electrónicos de phishing, así como la infección de sus víctimas mediante archivos de código malicioso, como troyanos.
Según la firma especializada en seguridad en la nube Wiz, desde que TraderTraitor salió a la luz pública en 2022, el grupo ha sido vinculado con varios ciberataques. Entre ellos figuran el ataque a la cadena de suministro de JumpCloud, en julio de 2023, y el robo de criptomonedas a Bybit (USD 1.500 millones, hasta entonces se consideró el mayor ataque en la historia de este tipo).
“El beneficio económico es su principal objetivo. El régimen norcoreano, sometido a fuertes sanciones, utiliza estas operaciones cibernéticas para robar criptomonedas y generar ingresos que financien programas estatales. Las campañas de TraderTraitor se dirigen específicamente a organizaciones de blockchain y criptomonedas con el objetivo de robar activos digitales. Los fondos robados (a menudo en bitcoin, ether u otras criptomonedas) se blanquean y se convierten para apoyar las prioridades de Corea del Norte”, detalla WIZ.
Una de las firmas que atribuye con un alto grado de confianza la responsabilidad del ataque a Binance al grupo TraderTraitor es TRM Labs, especializada en inteligencia y seguridad en blockchain. La empresa sostiene que su señalamiento se basa en información sólida, recopilada tanto dentro como fuera de la cadena de bloques.
Otras empresas, como Elliptic, también han identificado pistas que apuntan a esta organización criminal, como similitudes entre los movimientos de los activos robados a Binances y las operaciones anteriores atribuidas a TraderTraitor. En otras palabras: tiene plumas de pato y camina como pato ¿Qué es? A pesar de los fuertes indicios, la identidad de los responsable no ha sido confirmada oficialmente por las autoridades.
Kaspersky, otra firma de seguridad informática, considera que detrás de este ataque estaría Lazarus, lo que no necesariamente riñe con las sospechas contra TraderTraitor, pues la primera funciona como la organización sombrilla bajo la cual opera la segunda.
“Este grupo es conocido por realizar ciberataques con motivaciones financieras, incluidas operaciones dirigidas contra el sector de las criptomonedas, y cuenta con una amplia experiencia en este ámbito. En 2016, Lazarus fue acusado de atacar al banco central de Bangladesh en un intento de robo de USD 1.000 millones. No se trató de un caso aislado: durante la presente década, el grupo ha mantenido su actividad contra las plataformas de intercambio de criptomonedas”, explica Georgy Kucherin, investigador senior de seguridad del Equipo Global de Investigación y Análisis (GReAT) de Kaspersky.
¿Qué lecciones deja?
Kucherin resalta que estos incidentes demuestran que las plataformas de intercambio de criptomonedas no son inmunes a los ciberataques y pueden verse comprometidas mediante diferentes métodos.
La primera lección es que prácticamente no hay ningún sector de la economía ni ámbito de la sociedad que esté a salvo de un ataque informático. La diferencia está en que no todos enfrentan el mismo nivel de exposición ni las mismas consecuencias potenciales en caso de sufrir uno.
La segunda lección es prestarle atención al factor humano. Esta sigue siendo una de las principales vulnerabilidades de las que se aprovechan los atacantes. Empleados de organizaciones, con privilegios en los sistemas de las empresas, pueden ser engañados para instalar archivos de códigos maliciosos que infectan los equipos y los convierten en la puerta de entrada para los atacantes. Capacitar al talento humano en seguridad informática es clave para evitar este tipo de incidentes.
La tercera lección está en la gestión del riesgo. Aunque ninguna organización está exenta de sufrir un ciberataque, sí puede anticiparse a esa posibilidad y prepararse para responder. Para ello, es fundamental contar con protocolos de actuación y mecanismos de protección que permitan contener los daños. En el caso de Binance, parte de esa estrategia se refleja en el uso de billeteras frías para proteger los activos y en la existencia de un fondo de reserva para responder ante posibles pérdidas de sus usuarios.
También podría resaltarse la transparencia con la que Binance ha manejado la situación, al mantener informados a sus usuarios sobre el desarrollo del incidente, las medidas adoptadas para contenerlo y las acciones encaminadas a recuperar los activos robados.
¿Qué hacer?
Con el ánimo de contener el daño, ESET publicó la siguiente lista de lo que debería hacer un cliente de Binance:
- Seguir únicamente los canales oficiales de Binance. Consulta el sitio web, la aplicación y los perfiles verificados del exchange para obtener información sobre el incidente.
- Desconfiar de mensajes sobre reembolsos. Evita acceder a enlaces enviados por correo electrónico, SMS o aplicaciones de mensajería sin antes verificar su autenticidad.
- No compartir contraseñas, códigos de autenticación ni frases semilla. Esta información es confidencial y no debe proporcionarse a terceros, incluso si la solicitud parece provenir del soporte del exchange.
- Revisar la configuración de seguridad de la cuenta. Verifica si la autenticación en dos factores está activada y revisa la lista de direcciones autorizadas para retiros.
💰📈💱 ¿Ya se enteró de las últimas noticias económicas? Lo invitamos a verlas en El Espectador.
Conoce más
