El hack de Binance se llevó 6.150 millones de dólares en 31 minutos el pasado 29 de octubre. Tres días después, la plataforma sigue sin reanudar los retiros de sus carteras calientes.
La capitalización total del mercado cripto ronda ahora los 2,6 billones de dólares, un 2,89% menos en 24 horas, según los agregadores de precios que sigue el sector. No es un desplome, pero sí un aviso: cuando el exchange más grande del mundo estornuda, el resto se resfría en minutos.
Binance habló al principio de 6.300 millones. La firma de análisis blockchain BitOK, que ha seguido transacción por transacción, deja el total en 6.150 millones repartidos entre nueve cadenas: Bitcoin, Ethereum, Solana, XRP Ledger, TRON, Base, Optimism, Arbitrum y Avalanche. La propia BitOK lo describe como uno de los mayores robos de la historia de internet.
Qué pasó: 31 minutos, nueve redes y ninguna clave privada robada
El detalle que más inquieta no es la cifra, sino el método. El atacante no robó las claves privadas de Binance, los números secretos que autorizan cada transferencia. Consiguió que los propios sistemas del exchange aprobaran el robo.
Entre las 20:04 y las 20:35 (hora UTC) del 29 de octubre, las carteras calientes de Binance —las que la plataforma mantiene conectadas a internet para que los retiros salgan rápido— se vaciaron en nueve redes. El botín: 18.270 bitcoins, 197.540 ether, 2.490 millones en USDT, 823 millones en USDC, 233,46 millones de XRP y 970.522 SOL, además de decenas de tokens menores.
El golpe más fino llegó a las 20:20. El objetivo era Binance 14, una cartera de Ethereum muy activa. El atacante usó la función EIP-7702 de Ethereum, una propuesta que permite que una cartera delegue el control en un contrato inteligente, es decir, en un programa que ejecuta órdenes solo. Con ese permiso, quien controlara el contrato podía mover los fondos como si fuera la propia cartera.
El atacante no necesitó la llave del banco. Le bastó con convencer al cajero automático de que él era el dueño de la cuenta.
Quedaba un obstáculo: el nonce, el contador de transacciones de la cartera, que subía con cada pago a clientes. Una autorización con el número equivocado se descarta sin más. Así que el atacante hizo que el sistema de firmas de Binance sellara 50 órdenes simultáneas, cada una con un número distinto. Solo una debía encajar. Encajó.
Minutos después, una sola transacción vació 65 tokens por más de 2.200 millones de dólares, con 1.615 millones en USDT y 167.464 ether. Otra cartera, Binance 16, cayó por una vía más simple: nueve transferencias falsas coladas entre pagos reales a clientes, con 28 ether y 55,7 millones en USDT. Los 18.270 bitcoins salieron en once transacciones y se repartieron en 19 direcciones, 17 de ellas con 1.000 monedas cada una.
La carrera por congelar: 2.790 millones recuperados de 6.150
Con el dinero fuera, empezó una persecución contra reloj. Tether y Circle pueden congelar sus stablecoins (tokens atados al dólar que aspiran a valer siempre un dólar) porque son ellas quienes los emiten. Las monedas nativas, como BTC o ETH, no tienen ese botón.
El atacante lo sabía y corrió. Cambió 435 millones de USDT por ether en Uniswap, depositó 60 millones en Aave para pedir prestados 19.762 ether y, en TRON, cambió 234 millones de USDT por 638,2 millones de TRX. Una cartera movió 130 millones apenas 48 segundos antes de que llegara el congelamiento; otra dudó y perdió casi 175 millones.
El resultado de la operación de rescate fue este:
- Tether y Circle bloquearon 2.590 millones: 1.380 en USDT de Ethereum, 823 en USDC, 378,7 en USDT de TRON y 8,4 en USDt de Avalanche.
- El emisor de BEAM quemó 984 millones de tokens robados.
- El Security Council de Arbitrum, un comité de emergencia de doce miembros, confiscó 8.426 ether y 74,56 millones de ARB.
En total, unos 2.790 millones quedaron congelados, quemados o incautados. Otros 669 millones en USDT ya se habían convertido en ETH y TRX antes de que nadie pudiera reaccionar, y ese dinero sigue fuera de alcance.
Mientras tanto, la cartera seguía obedeciendo al atacante. A las 21:43, una recarga rutinaria de Binance envió 200 millones de USDT a Binance 14; doce segundos después, el contrato los retiró. A las 00:10 del 30 de octubre, casi cuatro horas después del primer movimiento, Binance canceló el traspaso.
De ahí que los retiros sigan bloqueados. Binance los pausó en Bitcoin y TRON hacia las 20:36 del día 29, y los depósitos, en cambio, nunca se detuvieron. Para el usuario español la consecuencia es concreta: ve su saldo, pero no puede moverlo. Y cuando un exchange no deja sacar el dinero, la pregunta obligada es cuánto tarda en volver la normalidad.
Quién está detrás: la pista norcoreana y el precedente de Bitget
BitOK ha encontrado lo que considera su evidencia más sólida. Los fondos de Binance acabaron en la misma dirección de Ethereum que ya estaba recibiendo dinero del hack de Bitget de septiembre de 2026, con THORChain como puente entre redes. Para las 06:20 del día 30, esa dirección había recibido 349,46 ether vinculados a Bitget y 13,63 a Binance.
Bitget culpó a Corea del Norte de su robo. BitOK señala patrones compatibles: ensayos previos, financiación con Tornado Cash (el mezclador que agrupa monedas de muchos usuarios para romper el rastro), cambios inmediatos de tokens congelables, y preparación en horario laboral UTC+9. Compartir una dirección no identifica a nadie por sí solo, y la propia firma lo admite: hablamos de una atribución de análisis, no de una prueba.
El sector ya ha visto esta película. Mt. Gox perdió 850.000 bitcoins en 2014 y arrastró al mercado a años de desconfianza; Bybit sufrió en febrero de 2025 un robo de unos 1.500 millones atribuido al grupo Lazarus. La diferencia esta vez no está en la magnitud, sino en el método: el hack de Binance no forzó la cerradura, convenció a la cerradura de que se abriera sola.
Ahí está el riesgo que conviene mirar con calma. Cualquier función que delegue el control de una cartera en un contrato amplía la superficie de ataque, y un exchange es el objetivo más goloso posible porque firma miles de pagos al día en piloto automático. La comodidad que hace años de operar con cripto se paga con nuevas puertas abiertas. EIP-7702 se diseñó para simplificar la experiencia del usuario; también le ha dado al atacante una herramienta que antes no existía.
Queda por ver cuándo reanuda Binance los retiros, qué concluye su auditoría interna y si los clientes europeos recuperan su dinero sin pasar por los tribunales. La CNMV y la ESMA tienen competencias sobre los servicios que el exchange presta en la UE desde que MiCA está en vigor, así que la pregunta sobre quién responde de los saldos bloqueados ya está sobre la mesa.
Nadie con fondos ahí va a dormir igual esta semana.
