Mundo. El robo de US$6.300 millones a Binance: las pistas que apuntan a Corea del Norte

La plataforma de intercambio de criptomonedas Binance sufrió el mayor hackeo de activos digitales de la historia, después de que un grupo de ciberdelincuentes lograra sustraer aproximadamente US$6.300 millones de sus billeteras electrónicas mediante una operación coordinada que afectó a múltiples redes blockchain. El ataque, ocurrido el jueves 29 de octubre, provocó una fuerte conmoción en los mercados financieros y abrió una investigación internacional para identificar a los responsables.

La magnitud del robo supera ampliamente los US$1.500 millones sustraídos a Bybit en febrero de 2025, que hasta ahora representaban el mayor antecedente de un ataque contra una plataforma de criptomonedas. Según las primeras investigaciones, los responsables consiguieron ejecutar numerosas transferencias no autorizadas en un período de aproximadamente 20 minutos, aprovechando vulnerabilidades en los mecanismos de seguridad de Binance.

Las sospechas apuntan a TraderTraitor, una organización de hackers presuntamente vinculada con Corea del Norte, que ya fue relacionada con otros ataques de gran magnitud contra empresas del sector. Sin embargo, Binance todavía no identificó oficialmente a los responsables y continúa trabajando con especialistas en ciberseguridad y organismos internacionales para reconstruir lo ocurrido.

Cómo fue el hackeo a Binance que permitió robar US$6.300 millones

El ataque comenzó durante la tarde del jueves 29 de octubre, cuando los sistemas de monitoreo detectaron movimientos inusuales en distintas billeteras digitales administradas por Binance, la mayor plataforma de intercambio de criptomonedas del mundo.

Los investigadores identificaron una serie de transferencias realizadas desde billeteras utilizadas para administrar fondos y facilitar operaciones de los clientes. Estos dispositivos, conocidos como billeteras calientes o hot wallets, permanecen conectados a internet y permiten procesar transacciones de manera inmediata, aunque también presentan riesgos de seguridad mayores que los sistemas de almacenamiento desconectados.

Según el análisis de la empresa especializada TRM Labs, los ciberdelincuentes prepararon el ataque durante al menos 36 horas y realizaron pruebas antes de ejecutar las operaciones principales. La planificación incluyó la creación de billeteras receptoras y la utilización de herramientas automatizadas para transferir grandes cantidades de activos digitales.

Durante la fase principal, los atacantes ejecutaron numerosas autorizaciones que permitieron movilizar criptomonedas desde las billeteras comprometidas hacia direcciones bajo su control. La operación afectó a redes como Ethereum, Bitcoin, Tron, Solana y otras plataformas blockchain, lo que complicó las tareas destinadas a bloquear las transferencias.

El resultado fue la extracción de aproximadamente US$6.300 millones en activos digitales, una cifra que convirtió al episodio en el mayor robo registrado hasta el momento dentro del mercado de las criptomonedas.

Una computadora comprometida y nuevas vulnerabilidades bajo investigación

Una de las primeras hipótesis difundidas por Binance apuntaba a la computadora portátil de un ingeniero de su equipo de desarrollo y operaciones, conocido como DevOps, que habría sido comprometida por los atacantes para obtener acceso a determinados sistemas internos.

Sin embargo, la investigación posterior permitió detectar otros puntos de vulneración, lo que llevó a la compañía a reconocer que el incidente había sido más complejo de lo que inicialmente se suponía.

El codirector ejecutivo de Binance, Richard Teng, explicó que las maniobras no podían atribuirse simplemente a la utilización indebida de los permisos de un empleado y que los especialistas todavía estaban intentando determinar cómo se combinaron las distintas vulnerabilidades.

En su segunda actualización oficial, difundida el viernes 30 de octubre, la empresa reconoció que "nuestra investigación posterior descubrió puntos de vulneración adicionales", aunque aclaró que todavía no había encontrado pruebas de una filtración de las claves privadas de sus billeteras.

La diferencia resulta importante porque las claves privadas permiten controlar directamente los activos almacenados en una billetera digital. Si los atacantes consiguieron transferir fondos sin obtener esas claves, la investigación deberá determinar qué mecanismos de autorización y seguridad fueron manipulados para ejecutar las operaciones.

Binance anunció que publicará un informe técnico detallado una vez que complete las verificaciones necesarias, con el objetivo de esclarecer las circunstancias del ataque y explicar qué medidas implementará para evitar incidentes similares.

Corea del Norte, principal sospechosa del mayor robo de criptomonedas

Las primeras investigaciones independientes apuntan a TraderTraitor, una organización de ciberdelincuentes que distintas empresas de inteligencia blockchain vinculan con el régimen de Kim Jong-un.

Según las conclusiones preliminares de TRM Labs, Chainalysis y Elliptic, el ataque presenta similitudes con operaciones anteriores atribuidas a grupos norcoreanos, particularmente por la preparación de las billeteras utilizadas, los procedimientos de extracción y las estrategias empleadas para ocultar el recorrido de los fondos.

El grupo TraderTraitor ya había sido señalado por el FBI como responsable del robo de aproximadamente US$1.500 millones a Bybit, ocurrido en febrero de 2025, uno de los antecedentes más importantes de ciberdelincuencia financiera.

Los especialistas consideran que las organizaciones vinculadas con Corea del Norte desarrollaron capacidades avanzadas para infiltrarse en empresas de activos digitales, utilizando técnicas que incluyen ingeniería social, programas maliciosos y manipulación de sistemas internos.

Una de las hipótesis investigadas es que los fondos obtenidos mediante estas operaciones podrían contribuir al financiamiento del régimen norcoreano, que enfrenta importantes sanciones económicas internacionales por sus programas militares y nucleares.

No obstante, la participación de Corea del Norte todavía constituye una hipótesis de investigación y no una atribución oficialmente confirmada por las autoridades. Binance tampoco identificó públicamente a una organización específica como responsable del ataque.

Binance congeló US$3.000 millones y prometió devolver los fondos

Después de detectar el incidente, Binance suspendió temporalmente los retiros de criptomonedas y comenzó a trabajar con otras empresas del sector para impedir que los atacantes pudieran movilizar o convertir los activos sustraídos.

La coordinación permitió congelar aproximadamente US$3.000 millones, gracias a la intervención de emisores de criptomonedas estables, compañías de análisis blockchain y otras plataformas de intercambio.

El mecanismo resulta especialmente relevante para activos como USDT y USDC, cuyos emisores pueden bloquear determinadas direcciones cuando detectan operaciones vinculadas con actividades ilícitas. Sin embargo, otras criptomonedas, como Bitcoin, presentan mayores dificultades para implementar este tipo de restricciones.

En paralelo, la empresa anunció que asumirá el costo económico del incidente mediante su Secure Asset Fund for Users (SAFU) y recursos de su propia tesorería, con el objetivo de evitar que los clientes deban absorber las pérdidas.

"Binance asumirá el impacto financiero de estos fondos robados, no nuestros usuarios", aseguró la plataforma en su comunicado oficial, al comprometerse a mantener respaldados los activos afectados.

La compañía informó que reservó más de US$6.340 millones, de los cuales aproximadamente US$5.000 millones ya estaban disponibles en las mismas criptomonedas que habían sido sustraídas. Esa cifra equivale a cerca del 80% de los activos afectados, mientras continúa adquiriendo los restantes mediante operaciones de mercado.

La reposición de los fondos, sin embargo, no debe confundirse con su recuperación. Mientras Binance utiliza recursos propios para respaldar los saldos de sus clientes, los investigadores siguen intentando rastrear y recuperar las criptomonedas que permanecen bajo control de los atacantes.

El ataque golpeó al Bitcoin y provocó incertidumbre en los mercados

La noticia del hackeo tuvo consecuencias inmediatas sobre las cotizaciones de las principales criptomonedas, en un mercado que reaccionó con fuertes ventas ante la incertidumbre sobre la seguridad de la plataforma.

El Bitcoin cayó por debajo de los US$80.000 después de que comenzaran a difundirse los primeros detalles del ataque y posteriormente llegó a registrar valores cercanos a los US$76.400, según los datos publicados durante la jornada del viernes.

La caída también alcanzó a otros activos digitales, entre ellos BNB, la criptomoneda asociada con el ecosistema de Binance, que registró un retroceso superior al 6% en determinados momentos de la sesión.

La reacción refleja la importancia que tiene la plataforma dentro del sistema financiero digital, debido a que administra operaciones de millones de usuarios y participa de una porción significativa del volumen global de compraventa de criptomonedas.

El episodio también volvió a poner en discusión los riesgos asociados con la concentración de grandes cantidades de activos en plataformas centralizadas, donde una vulneración de los sistemas internos puede comprometer fondos distribuidos entre múltiples redes blockchain.

Aunque las criptomonedas utilizan tecnologías diseñadas para registrar y verificar transacciones, la seguridad de las plataformas que administran esos activos depende también de sus sistemas informáticos, protocolos internos y mecanismos de autorización.

El antecedente de Bybit y los millonarios robos atribuidos a hackers norcoreanos

El hackeo a Binance superó ampliamente el ataque sufrido por Bybit en febrero de 2025, cuando ciberdelincuentes sustrajeron aproximadamente US$1.500 millones mediante una operación que las autoridades estadounidenses atribuyeron a una organización vinculada con Corea del Norte.

Aquel episodio había marcado un récord dentro del sector y había demostrado las dificultades que enfrentan las empresas para proteger grandes volúmenes de fondos frente a ataques cada vez más sofisticados.

La comparación resulta especialmente significativa porque el robo a Binance cuadruplicó el monto sustraído a Bybit, lo que evidencia la capacidad de los atacantes para comprometer estructuras tecnológicas de enorme complejidad.

Además, la posibilidad de movilizar activos entre distintas redes digitales dificulta su rastreo, ya que los investigadores deben reconstruir operaciones realizadas mediante múltiples billeteras, plataformas de intercambio y herramientas destinadas a ocultar el origen de los fondos.

Las empresas especializadas en análisis blockchain intentan identificar patrones comunes entre ambos ataques, particularmente en relación con los movimientos previos, las herramientas utilizadas y las direcciones que recibieron las criptomonedas sustraídas.

Si se confirma la participación de TraderTraitor, el episodio representaría un nuevo avance de los grupos de ciberdelincuencia vinculados con Corea del Norte y profundizaría las preocupaciones internacionales sobre el financiamiento de actividades estatales mediante delitos informáticos.

Qué pasará con los usuarios de Binance después del hackeo

Uno de los principales interrogantes posteriores al ataque está relacionado con la situación de los usuarios que mantienen sus criptomonedas dentro de Binance, especialmente después de la suspensión temporal de los retiros.

La empresa aseguró que los fondos de sus clientes serán cubiertos mediante recursos corporativos y mecanismos de protección, aunque la normalización de las operaciones dependerá de los controles de seguridad implementados después del incidente.

En su comunicado del 30 de octubre, Binance informó que trabaja para restablecer progresivamente los retiros, una vez que finalicen las verificaciones destinadas a garantizar que los sistemas afectados puedan volver a funcionar sin riesgos adicionales.

La plataforma también anunció que publicará una nueva prueba de reservas (Proof of Reserves), un mecanismo destinado a mostrar los activos disponibles para respaldar determinados saldos de sus usuarios.

Según el cronograma comunicado, la empresa espera disponer de un informe actualizado el lunes 2 de noviembre, aunque la publicación y la normalización de los servicios estarán sujetas a la evolución de las revisiones técnicas.

Mientras tanto, los investigadores continúan trabajando para identificar a los responsables y rastrear los fondos que todavía no pudieron ser congelados, en una investigación que involucra a empresas especializadas y organismos de seguridad.

El hackeo a Binance no solamente estableció un nuevo récord por el dinero sustraído, sino que también expuso las vulnerabilidades de uno de los principales actores del mercado financiero digital. Su resolución será determinante para evaluar la capacidad de las plataformas de criptomonedas de proteger los fondos que administran y recuperar la confianza de los inversores.