La respuesta corta
Binance perdió unos $6.3 mil millones porque los atacantes se hicieron con el control de lo que firmaba su hot wallet, no porque se forzara una cámara acorazada. Los primeros hallazgos apuntan al portátil comprometido de un ingeniero, a un token de acceso total que nunca caducaba y a un sistema de firma que aprobó delegaciones a un contrato del atacante. Cualquier equipo que desarrolle software fintech que mueve dinero de forma automática tiene el mismo punto débil.
¿Qué ocurrió en Binance?
El 29–30 de octubre de 2026, según la zona horaria, empezaron a salir fondos de las hot wallets de Binance en XRP Ledger, Ethereum, Bitcoin y otras cadenas. Associated Press informa de que unos $6.36 mil millones se movieron a través de diez blockchains en unos 20 minutos. Binance congeló depósitos y retiros, confirmó que solo se vieron afectadas las hot wallets, mientras que la mayoría de los activos están en almacenamiento en frío, y reservó fondos de la empresa para cubrir la pérdida.
Las firmas de inteligencia blockchain TRM Labs y Chainalysis vincularon el robo a TraderTraitor en menos de un día, y el FBI lo atribuyó públicamente al mismo grupo norcoreano, señalando que los activos se estaban convirtiendo principalmente en Ether y que era probable un blanqueo posterior. Tether y Circle congelaron unos $3 mil millones en USDT y USDC, lo que CNBC describe como aproximadamente la mitad del botín. Binance afirma que las pérdidas restantes no se repercutirán a los usuarios.
¿Cómo entraron los atacantes?
El análisis post mortem completo no es público, así que los detalles deben tomarse como informaciones publicadas. Según AP, el primer hallazgo de Binance fue un portátil comprometido; trabajos posteriores descubrieron otros puntos de intrusión, y los atacantes disponían de «un token de acceso total que nunca caducaba» a una hot wallet.
El análisis on-chain de TRM Labs añade la mecánica en Ethereum. El atacante envió una única transacción con 50 autorizaciones EIP-7702, cada una firmada de antemano por la hot wallet de Binance para nonces consecutivos. Esas delegaciones dirigían la wallet a un contrato de barrido (sweeper) controlado por el atacante, de modo que el saldo y los depósitos posteriores salieron. La conclusión de TRM es que lo más probable es que el atacante pudiera hacer que el sistema de firma de Binance firmara las transacciones que quisiera, lo que supone comprometer la ruta de aprobación y no el robo de una clave privada.
¿Por qué importa más allá de las criptomonedas?
Cambie «hot wallet» por «servicio de pagos» y el patrón encaja en la mayoría de los stacks fintech modernos. La emisión de tarjetas, ACH, los pagos en tiempo real y las herramientas de tesorería tienen un componente que convierte una llamada a la API en un movimiento de dinero, normalmente protegido por un token de servicio y un motor de reglas. Si el motor de reglas solo comprueba importes y destinos, un atacante que pueda enviar solicitudes no necesita las claves en absoluto.
El detalle de EIP-7702 es una advertencia, en particular, sobre los nuevos tipos de transacción. Una política de firma redactada antes de un cambio de protocolo puede aprobar un mensaje cuyo efecto no entiende. El mismo riesgo aparece cada vez que una red de pagos, una API bancaria o un esquema de tarjetas añade un nuevo tipo de instrucción y el servicio de aprobación no se actualiza al mismo tiempo.
Qué significa para los equipos de software de EE. UU. y la UE
Para las fintech de EE. UU., los grupos respaldados por Estados como TraderTraitor atacan directamente a los desarrolladores, a menudo con ofertas de empleo falsas o herramientas envenenadas, porque la sesión de un solo ingeniero puede abrir todo el sistema. Trate los portátiles de desarrollo que pueden acceder a los servicios de firma o de pagos en producción como parte del perímetro de datos de titulares de tarjetas y de custodia, y pruebe ese límite con una prueba de penetración y auditoría de seguridad que incluya la ruta de CI/CD y de secretos, no solo la aplicación pública.
Para los equipos de la UE, el incidente llega cuando las normas de riesgo TIC y de notificación de incidentes de DORA se aplican a las entidades financieras y MiCA regula a los proveedores de servicios de criptoactivos. Ambos exigen un control de acceso documentado, una recuperación probada y una clasificación rápida de incidentes. Un token que nunca caduca para un sistema que mueve fondos de clientes es exactamente el tipo de hallazgo sobre el que preguntará un auditor o un supervisor.
¿Qué deben hacer ahora los equipos fintech?
- Elimine los tokens de larga duración. Haga un inventario de todas las credenciales que pueden solicitar una firma o un pago; hágalas de corta duración, con alcance limitado y vinculadas a un dispositivo o a una identidad de carga de trabajo.
- Haga que el firmante entienda lo que firma. Decodifique los tipos de transacción o de instrucción y gestione una lista de permitidos; rechace delegaciones, aprobaciones y llamadas a contratos que la política no cubra de forma explícita.
- Limite la velocidad. Unos límites estrictos por minuto y por hora en las hot wallets y las cuentas de pago habrían convertido un vaciado de 20 minutos en un incidente contenido.
- Exija dos partes para los cambios de política. Los cambios en las reglas de firma, las listas de permitidos y los límites necesitan una aprobación separada y alertas.
- Refuerce los equipos de los ingenieros. Dispositivos gestionados, MFA resistente al phishing y ningún secreto de producción en los portátiles.
- Ensaye la congelación. Sepa a quién llamar en los emisores de stablecoins, los bancos y los procesadores de pagos, y con qué rapidez puede detener las salidas de fondos.
Nada de esto constituye asesoramiento jurídico. Sin embargo, la dirección es clara: el objetivo más valioso en un sistema que mueve dinero es ahora la automatización que aprueba las transferencias, y merece el mismo escrutinio que las propias claves. Qué significa para el mercado español: las entidades financieras supervisadas por el Banco de España y la CNMV están sujetas a DORA, y los proveedores de servicios de criptoactivos que operan en España necesitan la autorización MiCA de la CNMV. Para los equipos que desarrollan pagos, neobancos o custodia en España, un token sin caducidad hacia el servicio de firma es un hallazgo que conviene corregir antes de la próxima auditoría, no después de un incidente.
Preguntas frecuentes
¿Qué ocurrió en el hackeo de Binance?
El 29-30 de octubre de 2026, unos atacantes sacaron unos $6.3 mil millones en criptomonedas de las hot wallets de Binance a través de diez blockchains, según Associated Press. El FBI atribuyó el robo a TraderTraitor, un grupo norcoreano. Binance afirmó que cubriría las pérdidas por su cuenta y reanudó los retiros de forma escalonada el 1 de noviembre.
¿Cómo accedieron los atacantes a la hot wallet de Binance?
La investigación inicial de Binance apuntó al portátil comprometido de un ingeniero de software, y AP informa de que los atacantes obtuvieron un token de acceso total a una hot wallet que nunca caducaba. La firma de análisis blockchain TRM Labs afirma que la explicación más probable es que el atacante pudiera hacer que el sistema de firma de la hot wallet de Binance firmara las transacciones que quisiera, incluidas 50 delegaciones EIP-7702 de Ethereum firmadas de antemano.
¿Qué es EIP-7702 y por qué fue relevante en este caso?
EIP-7702 es una funcionalidad de Ethereum, activa desde mayo de 2025, que permite a una cuenta normal delegar su comportamiento en código de un contrato inteligente. TRM Labs informa de que el atacante utilizó delegaciones firmadas para dirigir la hot wallet de Binance a un contrato de barrido que controlaba, de modo que también se pudieran barrer los fondos que llegaran después. Las políticas de firma que solo comprueban importes y destinos de las transferencias pueden pasar por alto este tipo de autorización.
¿Perdieron dinero los clientes de Binance?
Binance dice que no. El exchange declaró que asumirá el impacto financiero y que las pérdidas no se repercutirán a los usuarios. TechCrunch informa de que Binance cubrió alrededor del 95 % de los activos robados, y Tether y Circle congelaron unos $3 mil millones en stablecoins vinculadas al robo.
¿Qué deben extraer de esto los equipos fintech ajenos a las criptomonedas?
Trate el servicio de firma o de aprobación de pagos como la joya de la corona, no solo las claves. Elimine los tokens de acceso total y de larga duración, haga que el firmante inspeccione lo que firma, limite la velocidad de las hot wallets y de los pagos y refuerce los dispositivos de los ingenieros que pueden acceder a producción. Estos controles se aplican igualmente a las plataformas de tarjetas, ACH y pagos en tiempo real.
Fuentes
Associated Press vía PBS NewsHour — What to know about the $6.3B hack on Binance, likely the biggest-ever crypto theft (en inglés) (31 de octubre de 2026)
CNBC — Binance hack: Investigators in a ‘cat and mouse game’ to recover $6.3 billion in stolen funds (en inglés) (30 de octubre de 2026)
TechCrunch — Binance resumes withdrawals following $6.3 billion breach (en inglés) (1 de noviembre de 2026)
TRM Labs — North Korea steals USD 6.36 billion from Binance in the largest hack in history (en inglés) (análisis on-chain, 30 de octubre de 2026)