El mayor robo de criptomonedas de la historia: así desaparecieron 6.300 millones de dólares de Binance

Bastaron unas decenas de minutos para ejecutar el mayor robo de criptomonedas de la historia. El 29 de octubre desaparecieron unos 6.300 millones de dólares de los monederos de Binance, la mayor plataforma de intercambio de criptomonedas del mundo. Según la firma de análisis de blockchain TRM Labs, la mayor parte del botín se sustrajo en unos veinte minutos.

Sin embargo, detrás de aquel ataque fulminante hubo una preparación mucho más larga. Los atacantes pusieron en el punto de mira a empleados y sistemas internos hasta acceder a la infraestructura que permitía mover enormes sumas de dinero.

Meses de preparación para un ataque de veinte minutos

El ataque no comenzó vulnerando las redes de Bitcoin o Ethereum. Tras una investigación interna, Binance informó de que, semanas antes del robo, un empleado había sido víctima de una sofisticada operación de ingeniería social que incluía un falso proceso de selección de personal. Más tarde, la empresa descubrió que existían varios puntos de acceso y que la operación era más compleja de lo que se pensaba inicialmente.

En septiembre, un desarrollador de software recibió un contacto a través de una plataforma de empleo legítima. Una persona se hizo pasar por director de proyecto y, después, el empleado mantuvo una videollamada con un supuesto responsable de recursos humanos. Los atacantes utilizaron incluso perfiles en redes sociales con fotografías personales para dar credibilidad al engaño.

Durante una entrevista posterior, el empleado recibió una prueba de programación. El programa que debía descargar para realizarla contenía software malicioso que, según Binance, logró eludir las medidas de seguridad existentes.

El 20 de octubre, los atacantes utilizaron el ordenador previamente infectado para llegar a otros dos empleados que trabajaban con monederos. Así se acercaron a los sistemas que Binance utilizaba para autorizar transacciones.

El robo

El robo se ejecutó el 29 de octubre. Con credenciales sustraídas, los atacantes accedieron a una parte de la infraestructura interna y ejecutaron software malicioso. Hacia las 20.05 UTC, enormes sumas comenzaron a salir de los monederos de Binance.

En unos veinte minutos se sustrajeron miles de millones de dólares a través de distintas cadenas de bloques. Solo en Ethereum, la cifra ascendió a unos 3.790 millones de dólares, según TRM Labs, incluidos 200.630 ETH y grandes cantidades de USDT, USDC y RLUSD.

También se robaron 18.270 bitcoins (BTC), valorados entonces en unos 1.470 millones de dólares. Además, se sustrajeron cientos de millones de dólares a través de redes como Tron, XRP Ledger y Solana.

En Ethereum, los atacantes aprovecharon una función que permite autorizar de antemano la ejecución de determinados programas en nombre de un monedero. En la práctica, manipularon un monedero de Binance para que su propio código pudiera ejecutar transacciones.

Cuando Binance detectó lo que estaba ocurriendo, suspendió las retiradas y sus empleados comenzaron a revocar permisos de acceso. Sin embargo, cuando el ataque quedó completamente controlado, hacia medianoche, la mayor parte del botín ya había desaparecido.

Binance calcula las pérdidas totales en unos 6.300 millones de dólares. TRM Labs eleva la cifra a unos 6.360 millones y Elliptic, a cerca de 6.430 millones.

Sea cual sea el cálculo, el récord es claro. Hasta entonces, el mayor robo de criptomonedas había sido el ataque a Bybit de febrero de 2025, en el que se sustrajeron unos 1.460 millones de dólares. El robo a Binance superó en más de cuatro veces aquella cifra.

Elliptic va más allá y considera que probablemente se trata del mayor robo conocido, de cualquier tipo.

Bloqueo inmediato de miles de millones de dólares

Tras el ataque comenzó una carrera para bloquear la mayor cantidad posible de criptomonedas robadas. Los principales resultados se lograron con las monedas estables, ya que emisores como Tether y Circle pueden congelar direcciones.

Según Elliptic, se han congelado o interceptado unos 2.850 millones de dólares del botín, alrededor del 44% del importe robado. Casi todo corresponde a monedas estables como USDT y USDC.

El resto de las criptomonedas resulta más difícil de bloquear. Por ello, los atacantes convirtieron varios de los tokens robados en Ethereum (ETH) y utilizaron distintas cadenas de bloques y protocolos de finanzas descentralizadas (DeFi) para seguir dispersando los fondos. Días después, TRM Labs detectó nuevos métodos que recurrían, entre otros recursos, a puentes entre cadenas y tokens creados por los propios atacantes para dificultar el seguimiento de las transacciones.

El FBI atribuyó el ataque a Corea del Norte el 31 de octubre. La agencia estadounidense vincula el robo con TraderTraitor, la denominación utilizada para identificar operaciones cibernéticas norcoreanas dirigidas específicamente contra empresas de criptomonedas. Corea del Norte niega estas acusaciones.

Binance repone casi todas las criptomonedas robadas

Binance aseguró de inmediato a sus clientes que no tendrían que asumir las pérdidas. La plataforma destinó más de 6.340 millones de dólares de recursos propios, procedentes, entre otras fuentes, del fondo de emergencia SAFU y de otras reservas de la empresa.

El 4 de noviembre, Binance comunicó que ya había repuesto alrededor del 98% de los activos afectados. El 2% restante corresponde principalmente a tokens menos líquidos, cuya recompra en grandes cantidades resulta más difícil.

También se realizó una nueva prueba de reservas. Mientras que la comprobación anterior abarcaba diez tokens, esta incluyó 44 criptomonedas. Con ello, Binance busca demostrar que los fondos de sus clientes están respaldados, como mínimo, en una proporción de uno a uno.

El ataque provocó, no obstante, una importante salida de fondos. Según Reuters, las retiradas netas de los clientes de Binance rondaron los 4.720 millones de dólares, cerca del 3% de todos los activos de la plataforma. Su consejero delegado, Richard Teng, afirmó unos días después que los flujos de fondos se habían normalizado en gran medida.

Mientras tanto, los servicios se restablecen de forma gradual y las retiradas se reabren red por red. Binance también trabaja en medidas de seguridad adicionales y en una investigación más exhaustiva sobre las vulnerabilidades concretas que aprovecharon los atacantes.

El robo demuestra, sobre todo, que el punto más débil de una plataforma de criptomonedas no siempre es la propia cadena de bloques. No fue necesario vulnerar Bitcoin ni Ethereum. Al atacar a los empleados y la infraestructura de los monederos, los responsables lograron mover más de 6.000 millones de dólares en unos veinte minutos.

Esa combinación hace excepcional este ataque: meses de preparación desembocaron en uno de los robos financieros más rápidos y cuantiosos de los que se tiene constancia.