Una semana antes, el 22 de octubre, Changpeng Zhao (CZ) había escrito en X que ninguna wallet ni tecnología es completamente segura. La coincidencia temporal llamó la atención después del ataque, aunque aquel mensaje no era una advertencia sobre esta operación concreta.
Un ataque preparado durante meses y ejecutado en minutos
Binance confirmó que el incidente se produjo el 29 de octubre y que afectó a varias de sus hot wallets, es decir, monederos conectados a internet que una plataforma utiliza para gestionar parte de su liquidez y atender operaciones y retiradas. En su informe del 3 de noviembre, la compañía cifró en unos 6.340 millones de dólares el valor de los activos afectados y explicó que el atacante accedió sin autorización a un servicio interno de firma de transacciones. Chainalysis calificó el episodio como el mayor robo de criptoactivos registrado hasta ahora.
La investigación de Binance describe una campaña de varias fases, no un simple correo fraudulento. Según su reconstrucción, los atacantes combinaron software manipulado, ingeniería social mediante falsas entrevistas de trabajo, dispositivos de empleados comprometidos y el uso de una herramienta interna de inteligencia artificial para avanzar dentro de la infraestructura.
El objetivo final fue llegar al sistema que autorizaba movimientos desde las wallets de la plataforma. Binance afirmó el 30 de octubre que no había encontrado pruebas de que se filtraran las claves privadas. En Ethereum, los atacantes aprovecharon un mecanismo de delegación de permisos para dar a un contrato controlado por ellos capacidad parcial de ejecución sobre una hot wallet.
El grueso de las salidas se concentró en torno a 20 minutos, según la reconstrucción de TRM Labs citada por Reuters y WIRED. Aun así, no todo terminó en ese intervalo: Binance sitúa la última transferencia no autorizada confirmada en cadena a las 23:56 UTC del 29 de octubre. El FBI atribuyó el robo a Corea del Norte y denominó esta actividad como TraderTraitor. La atribución oficial disponible es esa; el comunicado del FBI no utiliza el nombre Lazarus Group.
Por qué los grandes exchanges son objetivos tan atractivos
La primera razón es económica. Un exchange centralizado reúne activos de muchos clientes y mantiene una parte de ellos en monederos conectados a internet para facilitar la operativa. Esa concentración crea un objetivo de gran valor: una brecha en los sistemas que autorizan las transacciones puede permitir mover cantidades muy superiores a las que tendría una wallet individual.
La segunda razón es operativa. Las criptomonedas pueden transferirse entre redes y jurisdicciones sin pasar por los horarios ni los intermediarios de una transferencia bancaria tradicional. Eso no significa que sean invisibles: las operaciones en blockchain dejan rastros públicos que pueden analizarse. Pero los atacantes pueden mover fondos con rapidez, dividirlos entre direcciones y tratar de convertirlos a otros activos antes de que los emisores, exchanges o investigadores consigan bloquearlos. El FBI señaló que los responsables estaban convirtiendo principalmente los activos robados en ether y que esperaban nuevos movimientos a través de servicios de finanzas descentralizadas (DeFi) e intercambios instantáneos.
En su informe del 3 de noviembre, Binance comunicó que se habían congelado o interceptado unos 2.850 millones de dólares en activos, una cifra sujeta a conciliación y a cambios de valoración. La diferencia importa: fondos congelados o interceptados no son necesariamente fondos recuperados.
Binance afirmó que asumiría el impacto económico y, en su actualización del 4 de noviembre, aseguró haber repuesto aproximadamente el 98% de los activos afectados con recursos propios. Reponer los saldos de los usuarios no equivale a recuperar del atacante todos los criptoactivos robados. El 5 de noviembre, la plataforma seguía reabriendo retiradas por fases y por activo y red.
MiCA y DORA reducen riesgos, pero no garantizan que no haya ataques
En la Unión Europea, MiCA establece requisitos de organización, custodia y continuidad para los proveedores de servicios de criptoactivos autorizados. En particular, exige que la política de custodia incluya procedimientos internos para minimizar el riesgo de pérdida por fraude, amenazas cibernéticas o negligencia.
A ello se suma DORA, aplicable desde el 17 de enero de 2025 a las entidades incluidas en su ámbito, entre ellas los proveedores de criptoactivos autorizados bajo MiCA. Sus obligaciones abarcan la gestión del riesgo tecnológico, las pruebas de resiliencia y la notificación de incidentes graves. Ese marco eleva el nivel mínimo de exigencia, pero no convierte una plataforma en inexpugnable: la regulación obliga a gestionar y reducir riesgos, no puede prometer que nunca habrá una intrusión.
Hay, además, un matiz importante para el usuario español: las protecciones de MiCA se vinculan a la entidad jurídica autorizada y a los servicios cubiertos, no automáticamente a cualquier empresa que opere bajo una marca internacional. Binance comunicó el 24 de junio que retiraba su solicitud de autorización en Grecia y que buscaría otra vía dentro de la UE; en el listado de proveedores consultado por la CNMV no aparece una entidad con el nombre Binance. El informe del ataque tampoco identifica la entidad jurídica concreta que operaba las hot wallets afectadas, por lo que no permite concluir que esa infraestructura estuviera bajo el perímetro de MiCA o DORA.
Para quien utiliza criptomonedas, la lección no es que todos los exchanges sean inseguros ni que una wallet propia elimine cualquier peligro. La custodia propia cambia el tipo de riesgo: reduce la dependencia de una plataforma, pero hace que el usuario sea responsable de sus claves, dispositivos y autorizaciones. Nuestra guía de seguridad en criptomonedas explica cómo proteger esos puntos; la de phishing en criptomonedas ayuda a reconocer engaños que pueden abrir la puerta a una intrusión. Para entender el alcance de las reglas españolas, puedes consultar nuestra guía sobre CNMV y MiCA.
El ataque a Binance deja una conclusión más útil que el miedo: en cripto, la seguridad no depende solo de la blockchain ni del tamaño de una empresa. También depende de quién puede autorizar una transferencia, cómo se protegen los dispositivos internos y qué entidad responde ante el cliente. Antes de valorar una plataforma, conviene revisar precisamente esos elementos y comprobar qué proveedor legal presta el servicio en el país de residencia.
