Binance reporta incidente de US$ 6,3 mil millones

La Binance confirmó un incidente de seguridad con un impacto estimado en alrededor de USD 6,3 mil millones. Según la investigación inicial de la propia corretora, el invasor pudo haber utilizado el notebook comprometido de un ingeniero de DevOps para acceder a un contenedor de servicio y presentar órdenes de retiro no autorizadas. La empresa afirma no haber encontrado evidencia de fuga de claves privadas de billeteras y dice haber congelado alrededor de USD 3 mil millones de los activos afectados.

Según TRM Labs, una empresa de análisis de blockchain, la mayor parte de los recursos salió de billeteras de Binance en aproximadamente 20 minutos a partir de las 20:05 UTC del jueves (29), en diez blockchains diferentes. TRM estima el valor en USD 6,36 mil millones y lo clasifica como el mayor robo de criptoactivos jamás registrado, cerca de cuatro veces el ataque de USD 1,5 mil millones a Bybit en febrero de 2025.

La atribución y lo que aún falta

TRM atribuye el ataque a TraderTraitor, una unidad de hackers vinculada al gobierno de Corea del Norte, y dice hacer esta evaluación "con alta confianza", basándose en inteligencia dentro y fuera de la blockchain. Chainalysis llegó a una conclusión similar, según CoinDesk, que destaca que la autoría aún no ha sido definida de manera concluyente. Hasta el cierre de este artículo, Binance no había atribuido públicamente el ataque a Corea del Norte, y ningún gobierno había hecho esta atribución oficial.

El historial explica por qué los analistas llegaron rápidamente al mismo nombre. En el caso de Bybit, el FBI atribuyó formalmente a Corea del Norte el robo de USD 1,5 mil millones. El patrón se repite: en lugar de romper la criptografía de las billeteras, el grupo compromete a la persona o al proveedor que tiene acceso legítimo a la infraestructura de firma y retiro.

Un problema de endpoint, no de blockchain

Para un CISO fuera del mundo cripto, este es el punto clave de la historia. La explicación preliminar de Binance describe un ataque clásico al entorno corporativo: un dispositivo de ingeniero con privilegios elevados, acceso a un contenedor de producción y la capacidad de iniciar transacciones sin que un segundo control bloquee la operación. Nada de esto depende de blockchain. La misma cadena funciona contra el sistema de pagos de un banco o contra el pipeline de implementación de un proveedor de software.

El contrapunto merece ser registrado. Binance afirma que no se filtró ninguna clave privada y congeló cerca de la mitad del valor en pocas horas, lo que demuestra que el monitoreo en cadena reduce el perjuicio efectivo. Para quienes ven el caso como prueba de que las corretoras centralizadas son inseguras por naturaleza, los USD 3 mil millones congelados son un dato incómodo. Para quienes confían en estos controles, los otros USD 3,3 mil millones también lo son.

Lo que Binance aún no ha explicado es por qué una sola credencial de ingeniería fue suficiente para mover miles de millones en 20 minutos. La empresa prometió un informe detallado después de la conclusión de la investigación.

El mismo vector en otros mercados

En Japón, el caso tiene un precedente directo. En diciembre de 2024, el FBI y la Agencia Nacional de Policía japonesa atribuyeron al TraderTraitor el robo de más de USD 300 millones de la corretora DMM Bitcoin, ejecutado después de que un empleado de un proveedor de software de billeteras fuera engañado por una falsa oferta de trabajo. La ruta es la misma: la persona con acceso, no el protocolo.

En Brasil, el ataque de julio de 2025 a C&M Software, empresa que conecta instituciones financieras al Pix, partió de credenciales de un empleado y desvió recursos de cuentas de reserva de instituciones clientes. No hubo conexión con Corea del Norte, pero el vector es idéntico al descrito por Binance y llevó al Banco Central a endurecer los requisitos sobre proveedores de tecnología del sistema financiero.

En Estados Unidos y Europa, el efecto llega a los bancos que ofrecen custodia de criptoactivos a clientes institucionales y a las fintechs que integran corretoras por API. Para estos compradores, un incidente de USD 6,3 mil millones con origen en un único notebook transforma la pregunta estándar de due diligence, sobre claves y billeteras frías, en una pregunta sobre quién administra los contenedores de producción del proveedor.

La cuenta que importa para los consejos de administración no es el tamaño del robo. Es cuántas personas, dentro de la empresa o en los proveedores, pueden hoy iniciar una transferencia relevante sin que un segundo par de ojos apruebe la operación.