El hackeo de Binance del pasado 29 de octubre deja una factura de 6.340 millones de dólares. El exchange ha anunciado este jueves que esa cantidad ya está cubierta íntegramente con fondos propios, dos semanas después del mayor robo de la historia del sector.
Conviene detenerse en una palabra: cubrir. Binance no ha recuperado las monedas robadas ni ha detenido a nadie. Lo que ha hecho es reponer con su propio dinero los tokens que desaparecieron de las carteras calientes (las hot wallets, las que están conectadas a internet para poder operar) para que los clientes afectados recuperen su saldo. El agujero contable lo paga la empresa; el agujero real sigue abierto.
La financiación ha salido de tres grifos. El primero, el SAFU o Secure Asset Fund for Users, un fondo que el exchange nutre con parte de sus comisiones y que funciona como colchón de emergencia para los clientes. El segundo, una porción de su fondo de seguros de futuros situada por encima del nivel que exige su propio marco de riesgo. El tercero, la tesorería corporativa. Con ese dinero ha recomprado los tokens afectados en mercado abierto y en operaciones OTC, las que se pactan fuera de libro sin pasar por el libro de órdenes.
El SAFU ha quedado tocado, y Binance se ha comprometido a reconstituirlo hasta unos 1.000 millones de dólares. Es la parte menos vistosa del anuncio y, probablemente, la que más importa a medio plazo: sin colchón, el siguiente incidente no tendría la misma red debajo.
Un puñado de tokens afectados ya no cotiza en la plataforma. Binance asegura que esos saldos se gestionarán con su proceso habitual de descatalogación y que sus dueños quedarán cubiertos igualmente.
Las retiradas siguen abriéndose por fases. El exchange las reabrió el 1 de noviembre empezando por bitcoin y ampliando después a otras redes, y desde entonces no ha desbloqueado todo de golpe. El comunicado de este jueves no incluye un calendario cerrado para el resto de las colas.
Cubrir el agujero con dinero propio no es cerrarlo: el saldo del cliente vuelve, pero la causa que lo vació sigue sin resolverse.
Una cobertura en cuatro tramos: del 90% al 100%
El proceso no fue instantáneo y su rastro público permite reconstruirlo. En las horas siguientes al ataque, Binance ya prometió movilizar más de 6.340 millones para cubrir las pérdidas. Después informó de una cobertura del 90%, luego del 95% y más tarde de una reposición del 98% de los tokens afectados. El 2% restante correspondía a activos menos líquidos, esos que no se compran en minutos sin mover el precio.
El mensaje de este jueves es la primera vez que la compañía da el proceso por terminado. La secuencia completa dibuja una compra a contrarreloj en la que el socio silencioso ha sido el mercado: cada token recomprado en caliente empuja el precio hacia arriba y encarece el siguiente.
El informe de incidente que la empresa publicó el 3 de noviembre describe el origen: una falsa entrevista de trabajo y una herramienta de desarrollo manipulada. El ataque no entró por una grieta del código, sino por la puerta de las personas. Ese detalle es el que menos se ha subrayado y el que más debería preocupar a cualquier plataforma.
La prueba de reservas salta a 198 tokens, pero aún no se puede comprobar
Binance ha publicado una nueva instantánea de su prueba de reservas, el ejercicio con el que un exchange demuestra que tiene activos suficientes para respaldar los saldos de sus clientes. La foto está tomada a las 00:00 UTC del 12 de noviembre y el salto es notable: 198 tokens frente a los 10 que incluía la anterior, del 31 de octubre. Las cifras están publicadas en la página oficial de prueba de reservas de Binance.
Hay un matiz que la propia compañía reconoce. La prueba criptográfica completa, la de conocimiento cero (que permite verificar el respaldo sin revelar los saldos individuales de cada usuario), tardará entre 40 y 50 horas en generarse por carga computacional. Hasta que esté lista, el respaldo uno a uno es una afirmación de Binance, no un dato que el cliente pueda comprobar por su cuenta.
Dicho de otro modo: la foto existe, el marco existe y falta la firma. Cuando llegue, los usuarios con tokens afectados podrán verificar que sus activos están respaldados al menos al 100%. Es el tipo de promesa que en este sector conviene leer con el calendario en la mano.
Lo que este episodio enseña y lo que deja sin responder
El sector ya había vivido golpes así, aunque ninguno de esta escala. Mt. Gox, la casa de cambio japonesa que en 2014 perdió cientos de miles de bitcoins, tardó años en devolver parte del dinero y acabó con miles de acreedores atrapados en un proceso judicial eterno. FTX, en 2022, no repuso nada: sus clientes se convirtieron en acreedores de una quiebra. La diferencia con este caso es sustancial: aquí la cobertura se ha completado en dos semanas y con dinero de la empresa.
Eso dice algo bueno de la caja del exchange y algo incómodo del modelo. La mayoría de las plataformas centralizadas no publican su balance completo, y las pruebas de reservas resuelven solo media ecuación: certifican activos, no pasivos. Saber que hay monedas suficientes no equivale a saber que no hay deudas ocultas.
El segundo riesgo es más viejo. El ataque del 29 de octubre no explotó un contrato inteligente ni una vulnerabilidad de protocolo: usó una oferta de empleo falsa y una herramienta de programación envenenada. La ingeniería social sigue siendo la vía más barata para vaciar una cartera, y ninguna prueba criptográfica protege de eso.
Tampoco se sabe cuánto del dinero robado se ha recuperado, y Binance no ha identificado a ningún atacante. Son dos preguntas que el comunicado deja intactas.
Queda una prueba concreta a muy corto plazo: si la verificación de conocimiento cero aparece en las próximas 48 horas y cuadra con la instantánea, el episodio pasará al manual como un caso de gestión de crisis. Si no cuadra, la conversación cambia de sitio. Y una segunda, más lenta: cuándo funcionan con normalidad todas las retiradas. Para el cliente, ese es el único indicador que importa de verdad.
