Binance, el mayor criptorobo de la historia

El pasado 29 de octubre de 2026, se produjo el mayor robo de criptomonedas y stablecoins de la historia, cuando unos ciberdelincuentes drenaron en solo 20 minutos, con múltiples transferencias coordinadas a través de unas diez blockchains distintas, una cantidad equivalente a 6.340 millones de dólares de las carteras calientes.

Lo hicieron aprovechando la vulnerabilidad de Binance, el mayor exchange del mundo que custodia 144.000 millones de dólares, frente a los 98.000 millones de Coinbase, negociando cinco veces más que OKX, la segunda gran empresa en volumen.

En términos absolutos, este robo supera con creces cualquier precedente en la historia de las criptomonedas y se sitúa entre los mayores hurtos de activos financieros de cualquier tipo en la era moderna, rivalizando incluso con los robos físicos históricos, si los ajustamos por la inflación.

El ataque afectó a múltiples cadenas y tokens tales como Ethereum, Bitcoin, Tron, XRP y Solana. Cifras de 18.270 bitcoins, BTC, valorados en unos 1.470 millones de dólares, 450 millones de dólares en Ethereum y 1.000 millones en otros criptoactivos, superando el anterior récord, de 1.500 millones de dólares del ataque a Bybit en febrero de 2025, convirtiéndose en un acontecimiento de relevancia geoeconómica global.

Una operación sofisticada y prolongada atribuida por el FBI, al grupo norcoreano TraderTraitor, del Grupo Lazarus, el mismo responsable del robo a Bybit en el año 2025.Corea del Norte ha convertido el robo de criptomonedas en una fuente clave para la financiación de la compra de armamento como forma de eludir las sanciones internacionales de occidente, por lo que este incidente puede comprometer el posible encuentro de Trump con el dictador Kim Jong-un durante su próximo viaje a China.

Un ataque que fue el resultado de meses de preparación e incluyó ingeniería social avanzada con entrevistas de trabajo falsas a empleados de Binance, la infección de dispositivos corporativos mediante un malware con acceso al portátil de un ingeniero del desarrollo de software, usando herramientas internas, incluidas las basadas en la inteligencia artificial.

Los atacantes lograron el acceso a los sistemas de firma y autorización de retirada de valores desde las carteras calientes sin la necesidad de extraer las claves privadas tradicionales. Binance custodia la mayor parte de sus criptos en carteras «frías», desconectadas de internet y solo una parte de las criptos están en carteras «calientes», conectadas para atender las retiradas, y son estas últimas las asaltadas por los ciberdelincuentes.

Básicamente se trató de un ataque de phishing mediante ingeniería social dividido en dos partes. La primera, uno de los ingenieros de Binance se descargó una versión falsa de Homebrew, lanzador de aplicaciones para Nintendo, a través de un enlace fraudulento en Google. Aunque el equipo de seguridad detectó la anomalía y realizó el cambio del equipo, las responsabilidades del ingeniero y de sus contactos, ya habían quedado expuestas.

La segunda parte, otro ingeniero tenía su CV en un portal de búsqueda de empleo, y alguien que se presentó como director de proyectos lo contactó. Tras una entrevista por video llamada con un supuesto técnico de selección, que le mando su red social con fotos y videos personales para generar confianza, le da paso al falso CEO.

Le piden que descargue un ejercicio de código como prueba técnica, y el ingeniero lo ejecuta en el ordenador corporativo. El código reemplaza una herramienta legitima por una versión con malware que se conectó al servidor de los atacantes que borró sus huellas.

El antivirus de Binance no lo detectó confundiendo confianza con seguridad. Tras el incidente, los investigadores de TRM encontraron que en la red Ethereum se habían preparado 50 autorizaciones de transacciones antes de ejecutar el vaciamiento de la billetera, consiguiendo que la propia infraestructura de la empresa autorizara transferencias fraudulentas.

Este patrón utilizado por los ciberdelincuentes, acceso interno prolongado, ensayos previos, rapidez en la extracción y posterior lavado mediante swaps cross-chain y mixers, es el característico de los actores estatales norcoreanos, que han perfeccionado estas técnicas como una herramienta de geoeconomía ofensiva, con el objetivo final de generar ingresos en divisas fuertes al margen del sistema financiero tradicional en el que se encuentran bloqueados.

La distribución detallada del robo de 6.340 millones de dólares, incluye principalmente 3.800 millones de dólares en Ethereum, incluyendo ETH, USDT y USDC y 1.470 millones de dólares en Bitcoin, además de cientos de millones en Tron. Alrededor de 3.000 millones de dólares fueron interceptados en una hora gracias a la colaboración rápida de los emisores de stablecoins, Tether, USDT y Circle, USDC, que pueden bloquear los tokens de una dirección. Las stablecoins con emisor regulado han demostrado ser la primera línea de defensa.

El resto, bitcoins y ethereums, permaneció bajo el control de los atacantes, dado que son muy difíciles de congelar por la naturaleza de esas cadenas. Binance se ha comprometido a cubrir la totalidad de las pérdidas de los usuarios mediante su fondo SAFU y los recursos propios de su tesorería, para lo que está reponiendo la mayor parte de los activos sustraídos.

El daño reputacional a toda la industria de criptos, trasciende a Binance y afecta al conjunto del ecosistema de los activos digitales, con unas consecuencias geoeconómicas muy profundas. Binance es actualmente, el principal punto de garantía de la liquidez global de las criptomonedas y un vehículo central de adopción en los mercados emergentes, especialmente en Argentina, Venezuela y Brasil, donde millones de usuarios lo utilizan como un eficaz refugio frente a la inflación galopante, las devaluaciones sorpresa, las restricciones cambiarias y como un canal de remesas seguras.

Un incidente de esta magnitud en la plataforma dominante genera un efecto de contagio de desconfianza que afectó al ciudadano medio. Desde el punto de vista geoeconómico, el ataque refuerza varias dinámicas estructurales.

La primera sobre el uso de las criptomonedas como una herramienta de poder estatal y evasión de las sanciones en ecosistema financiero. Corea del Norte ha demostrado que el ciberespacio y los activos digitales permiten a un régimen vetado a operar en el mundo financiero, generar unos ingresos a gran escala industrial para adquirir componentes de misiles, equipos electrónicos y tecnología de navegación.

Cada uno de los éxitos en los robos de criptoactivos, debilita la efectividad del régimen de sanciones de occidente, además de elevar los costes futuros de la contención. La seguridad de los exchanges centralizados pasa a ser un asunto de seguridad nacional para las grandes potencias que imponen dichas sanciones.

Segundo, este robo pone en evidencia la vulnerabilidad de las carteras calientes y de los sistemas de custodia centralizada. Se pone en cuestión la seguridad del exchange más grande y con mayores recursos tecnológicos. Se acelera la narrativa a favor de las soluciones de auto custodia, de finanzas descentralizadas y wallets particulares, generando una presión regulatoria adicional mucho más intensa sobre las plataformas o exchanges centralizados, CEX, que custodian los fondos y las claves privadas de los usuarios.

Las autoridades financieras de los Estados Unidos, Europa y Asia ven reforzados con este evento sus argumentos para exigir unas mayores reservas de capital, unas auditorías más estrictas, la segregación de los activos y mejores controles de ciberseguridad en equivalencia a los regulados con la banca tradicional.

Tercero, se constata el impacto asimétrico de este robo sobre las finanzas de las empresas del Sur Global y en los mercados emergentes, que son las regiones donde Binance es una infraestructura financiera paralela, donde el golpe reputacional es mucho más severo.

La percepción de inseguridad puede frenar la adopción institucional y minorista, elevar las primas de riesgo de los activos digitales y favorecer el retorno parcial a los instrumentos tradicionales o a stablecoins emitidas bajo marcos regulados más estrictos.

Al mismo tiempo, refuerza el argumento de quienes ven las criptomonedas como un riesgo sistémico exportado desde jurisdicciones con regulación laxa. No hay que olvidar que Binance no puede operar en Europa desde el 1 de julio pasado al negársele desde el regulador de los valores griego, HCMC, la licencia de proveedor de servicios de criptoactivos, CASP, al amparo del reglamento MICA, Markets in Cryto-Assets.

Entre las razones de la denegación esta la posible relación con el blanqueo de capitales de su máximo responsable, Changpeng Zhao, condenado en 2023 en los EEUU e indultado por Trump en 2025. De hecho, Binance Spain acaba de anunciar su cierre el 31 de diciembre de 2026.

Cuarto, con respecto a la geoeconomía de la competencia tecnológica y regulatoria, el incidente se produce en un contexto de una gran rivalidad geoeconómica amplia, Estados Unidos y China, Occidente y Corea del Norte, reguladores frente a la creciente industria de las criptomonedas.

Binance con más de 335 millones de usuarios en todo el mundo y con una historia compleja de su sede operativa en Abu Dabi, Dubái y Ho Chi Minh, con unos conflictos regulatorios previos y una presencia global, se convierte en un claro símbolo de las tensiones entre la innovación financiera sin fronteras, la protección al inversor y la necesidad de cierto control soberano sobre los flujos de capital.

El hecho de que un actor estatal hostil pueda extraer miles de millones de un exchange global en 20 minutos eleva a las criptomonedas al rango de activo estratégico en la competencia entre potencias.

Finalmente, los efectos de segundo orden en la liquidez, por el posible contagio financiero y la narrativa macro. Aunque el precio de Bitcoin no colapsó de una forma catastrófica, bajó un 5 %, a diferencia de lo ocurrido con otros incidentes previos menores en el pasado, el evento produjo la aceleración de liquidaciones, una presión vendedora temporal y un aumento de la aversión al riesgo en el sector.

A medio plazo, puede encarecer el coste de capital de los proyectos cripto, dificultar la entrada de nuevos inversores institucionales tradicionales y reforzar la visión de que los activos digitales siguen siendo un dominio de alto riesgo concentrado tanto geopolítico como operacional, de ciberseguridad y de mercado.

En síntesis, el reciente robo no fue solo un fallo de seguridad de un exchange. Fue una operación de extracción de valor a escala estatal que se aprovechó de las interdependencias globales del sistema financiero digital.

Su volumen sin precedentes y la atribución de la autoría a Corea del Norte lo convierten en un caso de estudio importante de geoeconomía del siglo XXI. Cómo actores sancionados utilizan la frontera tecnológica de las criptomonedas para generar recursos financieros, cómo la reputación de una infraestructura crítica digital se convierte en un bien público global, y cómo la confianza, el activo más escaso en el mundo de las finanzas, puede quedar erosionado en pocos minutos cuando el exchange dominante del planeta resulta tan vulnerable.

La respuesta ofrecida por Binance ha sido la cobertura total de las pérdidas mediante sus recursos propios usando el Secure Asset Fund for Users (SAFU) con 1.000 millones de dólares, un fondo de emergencia creado en 2018 y financiado con una parte de las comisiones de trading además del fondo de seguro de futuros y su propia tesorería corporativa.

Se han publicado nuevas capturas de pruebas de las reservas para ofrecer total transparencia y permitir a los usuarios verificar que los activos están respaldados 1:1. Ya se permiten las retiradas, inicialmente suspendidas, de una forma escalonada desde el 1 de noviembre de 2026, priorizando las redes y los tokens de mayor demanda.

Se han contabilizado salidas netas de unos 4.700 millones de dólares en los primeros días, un porcentaje reducido del total de activos de la plataforma, acompañadas también de entradas. Binance actúa como contraparte para que cada usuario conserve el mismo saldo que tenía antes del incidente. No se ha reportado ningún proceso de reclamación individual ni quitas ya que la cobertura es automática y total.

Todas estas medidas, mitigan el daño inmediato de los usuarios, pero no borra lo ocurrido. En un mundo de gran competencia geoeconómica, la seguridad de las plataformas de los activos digitales es parte de la seguridad nacional y de la estabilidad sistémica.

La protección del cliente no puede depender únicamente de que la plataforma tenga suficientes recursos para cubrir estos eventos. Se constata que hacen falta reglas de custodia y de resiliencia operativa para las plataformas globales, del tipo de las recogidas en MiCA y DORA dentro de la Unión Europea.

José Luis Moreno, economista, profesor de la UFV. Autor de Geoeconomía Estratégica con editorial ESIC.