Binance reabre saques e tem saída líquida de US$ 3,6 bi

Binance reabrió los retiros el domingo (1) y, entre las 6h y las 15h30 GMT, procesó US$ 4,649 mil millones en retiradas contra US$ 1,01 mil millones en depósitos, según cifras divulgadas por la corredora y reportadas por Reuters. La salida neta de US$ 3,64 mil millones equivale al 2,1% de los activos de la plataforma. Es la primera prueba de liquidez después del robo de alrededor de US$ 6,3 mil millones ocurrido el 29 de octubre, el mayor registrado contra una correduría de criptoactivos.

Nueve horas y media de estrés

La reapertura fue escalonada. Según el co-CEO Richard Teng, el bitcoin y los activos de otras 15 blockchains volvieron primero, y la liberación de los demás depende de cheques de seguridad y estabilidad. La empresa advirtió que parte de los usuarios podría enfrentar un procesamiento más lento mientras se atiende la fila.

Para Ari Redbord, de TRM Labs, el volumen coloca los retiros "en el rango de una reacción preventiva, y no de fuga de capital". La BBC, basada en los mismos datos, informó que el pico inicial de pedidos perdió fuerza a lo largo del día y que los flujos estaban "estabilizándose como se esperaba", según palabras de la corredora. Una salida del 2,1% en un día es alta para cualquier institución financiera, pero está lejos del estándar de corrida que derribó corredoras en el pasado.

Lo que se sabe del ataque

El sábado (31), el FBI atribuyó la operación a un grupo vinculado a Corea del Norte al que la agencia llama TraderTraitor y divulgó centenas de direcciones en Ethereum, Bitcoin y Solana, pidiendo a las empresas del sector que bloqueen transacciones relacionadas. En febrero de 2025, el mismo FBI había atribuido a Pyongyang el robo de US$ 1,5 mil millones de Bybit, hasta entonces el récord. El nuevo caso es más de cuatro veces mayor.

La investigación preliminar de Binance apunta a la computadora comprometida de un ingeniero de DevOps, quien supuestamente le dio al invasor acceso a un contenedor de servicios y permitió enviar transacciones de retiro no autorizadas. La empresa afirma no haber encontrado evidencia de fuga de claves privadas de las wallets. Teng luego declaró que el ataque no fue una acción "de un clic" y que el invasor no se limitó a los permisos de un único ingeniero.

Quién paga la cuenta

Binance dice que los clientes no asumirán la pérdida. Teng afirmó que la corredora repuso con recursos propios la mayor parte de los activos robados, combinando tesorería corporativa, el fondo SAFU (Secure Asset Fund for Users) y el seguro del mercado de futuros. La empresa no detalló cuánto salió de cada fuente, y los informes publicados desde el viernes difieren sobre esta división. Mientras no haya este desglose, el mercado no puede medir cuánto del colchón de protección al cliente fue consumido.

Para quienes siguen el sector desde Estados Unidos, la atribución del FBI tiene un efecto práctico inmediato: la lista de direcciones se convierte en insumo de cumplimiento para cualquier custodiante, banco o fintech que procese transferencias en cripto. En Corea del Sur, donde el mismo ecosistema de grupos norcoreanos ya atacó corredoras locales, la lectura es de continuidad. En Brasil, bancos y fintechs que han comenzado a ofrecer custodia de criptoactivos a clientes minoristas heredan la misma obligación de cribado, sin tener la escala de monitoreo de una Binance.

La lección está en el pipeline, no en la bóveda

El dato más relevante para un CISO corporativo es el vector. Durante una década, la seguridad de las corredoras giró en torno a la protección de las claves privadas, con wallets frías y firmas múltiples. En los dos mayores robos registrados, de US$ 1,5 mil millones en Bybit y de US$ 6,3 mil millones en Binance, la puerta de entrada descrita fue la estación de trabajo de alguien con acceso a la infraestructura operativa. En el caso de Bybit, las investigaciones publicadas en 2025 señalaron la máquina de un desarrollador de Safe{Wallet}, proveedor de la wallet multi-firma.

El patrón aplica a cualquier empresa que automatiza pagos, liquidaciones o despliegues a partir de contenedores con credenciales privilegiadas: el atacante no necesita la clave si puede hacer que el sistema firme por él. La prueba que falta a Binance no es la del domingo, sino la de la reapertura de los activos que aún están bloqueados, cuando quedará claro si la confianza medida en nueve horas y media se sostiene en semanas.