Binance perdió 6.000 millones de dólares y un botón de congelación salvó casi la mitad

A las 20:20:59 UTC del 29 de octubre de 2026, una transacción con una comisión de 14,46 dólares llegó a la red Ethereum. No movía dinero: el campo de valor marca cero. Ese mismo día, el atacante había ensayado el esquema con monederos propios, moviendo entre 2 y 6 dólares cada vez. Tres minutos y medio después, 167.464 ether y 1.600 millones de dólares en la stablecoin USDT salieron de un monedero caliente de Binance que los analistas conocen como Binance 14. Por la mañana, el exchange cifró el daño en unos 6.300 millones de dólares. Los analistas externos cuentan por ahora menos: entre 5.300 y 5.900 millones. El récord anterior, el robo al exchange Bybit en febrero de 2025, fue de unos 1.500 millones.

Pero la cifra no es lo más raro. Casi la mitad del botín, unos 3.000 millones, se detuvo en cuestión de horas. No lo hizo la policía ni “la propia cadena de bloques”, sino un puñado de empresas que tienen un botón de congelación. Las criptomonedas se inventaron precisamente para que nadie lo tuviera.

Un poder notarial de catorce dólares

Un exchange guarda el dinero de sus clientes en dos tipos de monederos. Los fríos están desconectados y custodian la reserva principal. Los calientes están siempre en línea: por ellos pasan los retiros diarios, así que siempre tienen saldo operativo. En el mayor exchange del mundo, ese saldo llega a miles de millones.

La clave del ataque fue una función llamada EIP-7702. Llegó a Ethereum el 7 de mayo de 2025 con la actualización Pectra. Dicho sin rodeos, es un poder notarial: un monedero corriente autoriza a un programa externo a actuar en su nombre. Se diseñó por comodidad, para reunir varias acciones en un solo clic o para que otro pague la comisión. Solo el propio monedero puede firmar esa autorización, y sigue vigente hasta que el dueño la revoca.

La transacción de 14,46 dólares era justo una autorización así. Llevaba 50, y cada una cedía Binance 14 a un programa “barredor” que el atacante había desplegado cuatro horas antes. Una de las cincuenta funcionó. Imagina un talonario en el que cada autorización solo vale para un cheque con un número concreto. Un monedero caliente emite esos “cheques” sin parar, así que el siguiente número es difícil de adivinar. Cincuenta firmas seguidas parecen una forma de asegurarse de que alguna acierte.

El barredor vació Binance 14 en una sola operación y dejó 1 ether. En los 12 minutos siguientes, el dinero de otros diez monederos calientes del exchange, repartidos en cuatro redes, fluyó a la misma dirección. Así reconstruyó el ataque Blockaid, una empresa de seguridad en cadenas de bloques.

Cómo consiguió el atacante la firma del monedero sigue sin estar claro. Según el relato preliminar de Binance, todo empezó con el portátil comprometido de un ingeniero DevOps, el tipo de empleado que gestiona servidores y despliegues de software. Desde ese portátil el intruso llegó a un contenedor de servicio y envió desde allí retiros no autorizados. El exchange afirma que no halló indicios de que se filtrara ninguna clave privada de los monederos. Si es cierto, el ladrón nunca necesitó robar una clave: logró que el propio sistema del exchange firmara la autorización por él.

El botón que el bitcoin no tiene

USDT y USDC se llaman stablecoins. Son dólares digitales emitidos por dos empresas privadas, Tether y Circle, y cada una promete canjear su token por un dólar. De una de sus características se habla poco: el emisor puede bloquear cualquier dirección de la red. En las condiciones de USDC, Circle se reserva expresamente el derecho de bloquear transferencias hacia y desde una dirección. Tether tiene la misma capacidad.

Aquella noche lo hicieron. El director de Tether, Paolo Ardoino, escribió que la compañía había congelado más de 1.567 millones de USDT. El de Circle, Jeremy Allaire, dijo que más de 800 millones de USDC se habían bloqueado en coordinación con las fuerzas del orden. Ripple frenó unos 200 millones de su stablecoin, y World Liberty Financial, unos 27 millones. Hasta Arbitrum, una red que suele describirse como descentralizada, congeló 74,56 millones de tokens ARB por decisión de su Consejo de Seguridad.

Con el ether y el bitcoin fue otra historia. Sin emisor, no hay botón. La firma de análisis Glassnode contó 17.985 bitcoin entre los activos robados, unos 1.450 millones de dólares. El ether del primer barrido también se quedó en manos del atacante. Nadie en el mundo puede revertir una transferencia firmada con la clave correcta. Para un ladrón, esa es la mejor virtud del bitcoin. Cómo llegó el atacante a los monederos de bitcoin del exchange, que están aparte, Binance aún no lo ha revelado. La teoría del contenedor de servicio, en la que el propio sistema firmaba los retiros, lo explicaría.

Un rescatador con derecho de veto

Es absurdo, la verdad. El mayor robo de la historia cripto fue detenido casi a medias por herramientas que la criptomoneda “de verdad” se supone que no tiene. El bitcoin se comportó exactamente como quiso su creador: una transferencia firmada es definitiva. Los dólares digitales se comportaron como un banco.

El botón que le quitó mil quinientos millones a un ladrón funciona contra cualquiera. Lo pulsa una empresa, no un juez. Tarda minutos. Quien tiene USDT no posee un dólar en una cuenta, sino la promesa de Tether de canjear el token, y esa promesa viene con letra pequeña. A muchos les parecerá un trato razonable: los bancos también bloquean transferencias sospechosas. Solo que una stablecoin se parece más a una cuenta bancaria que a efectivo en el bolsillo, y esta noche mostró la diferencia mejor que cualquier conferencia.

Qué significa para los clientes de Binance

Según el propio exchange, Binance tiene más de 335 millones de usuarios registrados. La noche del hackeo suspendió depósitos y retiros, y en la mañana del 30 de octubre aún no había dicho cuándo se reanudarían. La cofundadora de Binance, Yi He, prometió que el exchange “cubrirá todas las pérdidas por el hackeo” con su fondo de seguro SAFU y con dinero propio. El fundador, Changpeng Zhao, siguió el robo casi como espectador. “Parece un hackeo a Binance”, escribió en X, y señaló en el mismo mensaje que ya no dirige el exchange pero espera que los fondos de los usuarios queden cubiertos por completo.

Desde febrero de 2026, el fondo SAFU se guarda en bitcoin: 15.000. Al precio del 30 de octubre son unos 1.200 millones de dólares. Si la estimación del exchange es correcta, la parte no congelada de la pérdida, unos 3.300 millones, es casi tres veces mayor. Así que la mayor parte del agujero tendrá que taparse con dinero del propio exchange. El fondo, por cierto, tiene menos bitcoin de los que se llevó el atacante.

Los mercados reaccionaron de inmediato, aunque también pesaban sobre ellos los débiles resultados de las tecnológicas. El bitcoin cayó por debajo de 77.000 dólares, su mínimo en seis semanas. BNB, el token del propio exchange, perdió más de un 8 % en un día.

Se desconoce quién lo hizo. El investigador de cadenas de bloques ZachXBT y la empresa Blockaid señalaron a Corea del Norte como probable culpable, pero nadie ha atribuido oficialmente el ataque. El FBI sí atribuyó a Corea del Norte el robo a Bybit. Según Blockaid, el atacante financió las primeras operaciones con Tornado Cash, un mezclador que oculta el rastro de las transferencias. Binance promete un análisis técnico detallado cuando los hechos estén verificados.

Durante años, la comunidad cripto ha discutido si el dinero necesita un botón de parada. En una sola noche, uno salvó unos 3.000 millones. Lo más probable es que ahora el debate cambie: ¿quién decide, y con qué reglas, cuándo pulsarlo?