Cómo fue el robo por US$6300 millones a Binance que puso patas arriba a todo el mundo cripto

La noticia del jueves a la tarde dejó a todos helados por lo inverosímil: al exchange Binance, el más grande del mundo cripto, le habían robado casi US$6300 millones, un número difícil de dimensionar para cualquier mente común. Es sin dudas el mayor hackeo de la historia cripto, y es difícil pensar en otro ciberataque tradicional que esté a la altura en cuanto a valor monetario sustraído. Y requirió la reacción inmediata de Binance, firmas de ciberseguridad, emisores de stablecoins y del resto del ecosistema para frenar la sangría de dinero y minimizar los costos, que todavía deben determinarse plenamente.

Qué es Binance, el servicio afectado

Fundada en 2017 por Changpeng Zhao (conocido en el ambiente como “CZ”) Binance se consolidó como la mayor plataforma de intercambio (exchange) de criptomonedas del planeta. Funciona como el corazón operativo del ecosistema cripto global, donde más de 300 millones de usuarios e instituciones negocian diariamente activos digitales como Bitcoin, Ethereum y diversas stablecoins (una criptomoneda cuyo valor está atado al de una moneda convencional, como el dólar). Su tamaño y volumen de liquidez son tan grandes que sus movimientos influyen en todo el mundo cripto.

¿Por qué es el hackeo más grande de la historia?

Los análisis en la cadena de bloques (on-chain) revelan un desfalco que inicialmente se calculó en US$3520 millones; pero luego firmas forenses y datos on-chain detectaron flujos sospechosos de divisas que alcanzan entre US$5500 y 6000 millones a través de varias blockchains. La propia Binance dijo más tarde que “el impacto total estimado se sitúa en alrededor de US$6300 millones. Hemos trabajado con socios de blockchain para congelar los activos afectados, con ~US$3000 millones congelados en cadena hasta ahora. Binance cubrirá todas las pérdidas del fondo SAFU y de los fondos de la compañía. Los fondos de los usuarios están seguros. También publicaremos una Prueba de Reservas actualizada una vez que la remediación esté completa.”

Esta cifra supera los US$1500 millones que fueron robados al exchange Bybit en febrero de 2025. La noticia del ataque a Binance tuvo un efecto inmediato: la valuación del bitcoin cayó por debajo de los US$80.000 (a 77.533 dólares cerca de la medianoche del jueves), con más de US$1000 millones en liquidaciones mientras muchos usuarios prefirieron salir temporalmente del ecosistema para resguardar sus divisas.

Cómo detectaron el robo

A diferencia de la banca tradicional, donde las transacciones son opacas (solo las conocen los involucrados en forma directa y la entidad intermediaria), la seguridad del ecosistema cripto se apoya en la transparencia de la blockchain, un sistema repartido en toda la red que anota todas las operaciones, y que se considera inviolable (pero que no hace comprobación de identidad; solo puede decir que tal usuario hizo tal operación, sin saber quién está detrás). Firmas de inteligencia forense como Blockaid, Arkham y Unchained detectaron salidas anómalas de altísima frecuencia desde las billeteras calientes identificadas como “Binance 14” y “Binance 16”, al punto de que directamente las vaciaron.

“Todos los exchanges tienen dos tipos de wallets: Hot, que se usa para todo lo que es entrada y salida de depósitos y retiros, y Cold, que tienen activos que usualmente no se tocan -explica el experto en cripto Fernando Molina-. Tienen sistemas de seguridad diferentes, porque las hot wallets tienen movimientos constantes. Pero las dos son internas: vos tenés bitcoins en Binance, están en una wallet, pero no exclusiva tuya; si vos hacés un retiro sale de una hot wallet que por ahí tiene miles de millones de dólares; una de esas es la que hackearon” y con eso obtuvieron acceso al resto de las divisas almacenadas en la wallet, o en este caso, de dos: la 14 y la 16.

Los analistas notaron la creación de nuevas direcciones de destino (es decir, para recibir dinero), financiadas inicialmente a través del mezclador de privacidad Tornado Cash para oscurecer el origen (así como la blockchain anota todo el historial de pase de manos de un activo cripto, los mezcladores permiten “romper” ese historial). Ante la detección en tiempo real de estas transferencias masivas e incongruentes, Binance interrumpió depósitos y retiros y confirmó que investigaba el incidente.

El vector de ataque: billeteras calientes y una laptop en problemas

Sobre cómo lo lograron, Binance explicó que “la investigación inicial sugiere que el incidente de seguridad podría involucrar una laptop comprometida de un ingeniero de DevOps, lo que permitió que un atacante obtuviera acceso a un contenedor de servicio y realizara transacciones de retiro no autorizadas. No hemos encontrado evidencia de ninguna filtración de claves privadas de billeteras. Compartiremos un análisis técnico detallado post-mortem una vez que la investigación esté completa y los hechos estén completamente verificados.”

Investigadores de ciberseguridad apuntan al abuso de una función que permite que una billetera común delegue el control de la ejecución de operaciones a un contrato inteligente. El atacante habría enviado una ráfaga de 50 autorizaciones firmadas aprovechando el flujo constante de transacciones (nonces) que procesaba la billetera de Binance. Al acertar una de las autorizaciones, activó un contrato de barrido (sweeper contract) no verificado que extrajo automáticamente millones en USDT, ETH y decenas de altcoins en cuestión de minutos.

La respuesta coordinada de la industria

Lo que siguió fue una contraofensiva combinada entre Binance y el ecosistema cripto: Tether congeló más de US$1560 millones en USDT, Circle bloqueó más de US$800 millones en USDC y Ripple hizo lo propio con cerca de US$200 millones en RLUSD. En conjunto, la industria logró congelar entre US$2500 millones y US$3000 millones del botín.

Además, plataformas de finanzas descentralizadas como Aave congelaron sus préstamos para evitar que usaran los activos robados para pedir prestado Ethereum u otros tokens no congelables.

Binance suspendió todas las operaciones de retiro, mientras que aseguró que los fondos de los usuarios están a salvo y que cualquier pérdida no recuperada será cubierta por las reservas de la empresa.