Binance: El caso de los US$ 6.300 millones y la grieta custodial del ecosistema cripto

En la noche del 29 de octubre, la unidad norcoreana TraderTraitor extrajo cerca de 6.360 millones de dólares de las carteras operativas de la mayor plataforma de intercambio del mundo, en apenas veinte minutos y a través de diez cadenas de bloques. El golpe cuadruplica el récord de Bybit, castigó con especial dureza a las altcoins y obliga a replantear una pregunta incómoda: si el eslabón débil de los activos que aspiraban a sustituir al dinero fiduciario es la tecnología o la intermediación.

A partir de las 20:05 UTC del 29 de octubre, una sucesión de transferencias vació en cuestión de minutos las carteras operativas de Binance, la mayor plataforma de intercambio de criptoactivos del mundo por volumen negociado. Según la reconstrucción forense de TRM Labs, el atacante sustrajo unos 6.360 millones de dólares repartidos en diez redes, la mayor parte en una ventana de aproximadamente veinte minutos. La cifra cuadruplica el anterior récord, los 1.500 millones sustraídos a Bybit en febrero de 2025, y coloca el episodio entre los mayores robos financieros jamás registrados.

TRM Labs, Chainalysis y Elliptic atribuyen la operación, con alto grado de confianza, a TraderTraitor, unidad de élite del aparato de ciberoperaciones de la República Popular Democrática de Corea vinculada al conglomerado conocido como Lazarus. Binance ha suspendido depósitos y retiradas, ha reservado más de 6.340 millones de dólares de fondos propios para cubrir las pérdidas y coopera con el FBI y el Servicio Secreto estadounidense, según Reuters.

El presente análisis examina la mecánica del ataque, su encaje en la estrategia de financiación de Pyongyang, el castigo diferencial que sufrieron las altcoins y, sobre todo, la cuestión de fondo: en qué medida los activos que se presentaron como alternativa al dinero fiduciario arrastran un déficit estructural de seguridad, y dónde se localiza exactamente ese déficit.
 

Anatomía de una exfiltración: veinte minutos, diez cadenas

La preparación comenzó al menos treinta y seis horas antes. La cartera operadora del atacante recibió la mañana del 28 de octubre tres pequeñas retiradas procedentes de Tornado Cash, un mixer que oculta el origen de los fondos. El día 29 ensayó el código del ataque sobre carteras propias y, cuatro horas después del último ensayo, lo instaló sobre una hot wallet de Binance.

El vector más sofisticado se observó en Ethereum. El atacante explotó EIP-7702, una funcionalidad incorporada con la actualización Pectra de mayo de 2025, que habilita a una cartera ordinaria delegar su comportamiento en un contrato inteligente mediante una autorización firmada. Para sortear el problema del nonce —el contador de transacciones, que en una cartera de retiradas masivas avanza sin pausa—, el operador llevaba preparadas cincuenta autorizaciones consecutivas firmadas por la propia hot wallet de Binance. Bastaba con que una coincidiera con el contador en el momento de la ejecución, y así ocurrió. Tres minutos y veinticuatro segundos después de la delegación, una única transacción trasladó 167.464 ETH y 1.615 millones de USDT. La delegación permaneció activa y el atacante barrió los fondos que seguían ingresando en otras seis ocasiones, hasta casi la medianoche UTC. En Bitcoin, los 18.270 BTC sustraídos se fragmentaron de inmediato en lotes de 1.000 y 100 unidades mediante una peel chain, técnica clásica para dificultar el rastreo.

Lo verdaderamente revelador es lo ocurrido en paralelo. En la misma media hora, carteras de Binance en las otras nueve redes —con esquemas criptográficos, tipos de clave y procedimientos de firma distintos— emitieron transferencias perfectamente válidas hacia direcciones del atacante, sin artificio de delegación alguno. La lectura de TRM es que el adversario logró que el propio sistema de firma de Binance autorizara transacciones de su elección en múltiples cadenas. La plataforma atribuyó inicialmente la intrusión al portátil comprometido de un ingeniero de DevOps, que habría dado acceso a un contenedor de servicio; sostuvo no haber hallado indicios de filtración de claves privadas y, horas después, reconoció haber encontrado 'puntos de brecha adicionales' que no ha detallado.

Ambas versiones son compatibles. Resulta innecesario robar una clave cuando se controla la máquina que ordena utilizarla. Esa es, probablemente, la lección operativa más incómoda del episodio.


La firma de Pyongyang: el robo como instrumento de Estado

El patrón operativo coincide con el de Bybit y con el del protocolo KelpDAO en abril de 2026: financiación inicial a través de un mezclador, una fase de preparación prolongada y firmas obtenidas por anticipado que se ejecutan en una única ráfaga. Hay, no obstante, una variación táctica relevante. El blanqueo inicial se apoyó en grandes permutas con creadores de mercado y en protocolos de préstamo, en lugar del uso intensivo de puentes entre cadenas que siguió al caso Bybit.

La magnitud debe leerse en clave macroeconómica norcoreana. Chainalysis cifró en 2.020 millones de dólares lo sustraído por actores vinculados a Pyongyang en 2025: el 59% de los 3.400 millones robados en todo el ecosistema y el 76% del valor sustraído en ataques contra servicios. Su acumulado desde 2022 ascendía a unos 6.750 millones. Elliptic estimaba que, antes del 29 de octubre, el régimen ya había superado los 1.000 millones en 2026. Una sola operación equivale, en valor nominal, a prácticamente cuatro años de actividad previa.

Incluso descontando lo inmovilizado, el saldo neto es extraordinario. TRM calcula que el atacante conserva más de 420.000 ETH y los 18.270 BTC, unos 2.400 millones de dólares fuera del alcance de cualquier emisor. Pagó por ello un peaje considerable: para adelantarse a las congelaciones vendió unos 325 millones de USDT a creadores de mercado y solvers a un precio implícito próximo a 2.650 dólares por ETH, cuando el mercado cotizaba entre 2.300 y 2.350. Esa prima superior al 10% mide la urgencia de convertir activos confiscables en activos inembargables.

El destino de esos fondos está razonablemente documentado. Según Chainalysis, el Equipo Multilateral de Monitoreo de Sanciones (MSMT) ha vinculado el producto de estos robos con la adquisición de material militar, desde vehículos blindados hasta sistemas portátiles de defensa antiaérea. La misma firma subraya dos rasgos estructurales del modelo norcoreano: la infiltración de personal propio en empresas del sector mediante falsos trabajadores informáticos en remoto, y un ciclo de blanqueo de unos 45 días que descansa en redes de pago y garantía en lengua china. Conviene recordar que el mismo aparato intentó sustraer casi 1.000 millones de dólares al Banco Central de Bangladesh en 2016 a través de la red SWIFT, y se llevó 81 millones de dólares. Pyongyang elige sus blancos por rentabilidad y vulnerabilidad, con indiferencia hacia la naturaleza fiduciaria o criptográfica del sistema atacado.
 

El castigo diferencial a las altcoins

La reacción del mercado fue inmediata y asimétrica. Bitcoin cedió entre un 4% y un 5% y marcó mínimos de seis semanas por debajo de 77.000 dólares; la capitalización total retrocedió en torno a un 3,6%, hasta unos 2,68 billones. Las altcoins, en cambio, sufrieron caídas más pronunciadas.


Tres mecanismos explican la asimetría. El primero es el apalancamiento: más de 1.500 millones de dólares en posiciones liquidadas en 24 horas, alrededor del 85% de ellas largas, en más de 240.000 cuentas. Las altcoins, con libros de órdenes menos profundos, amplifican cada liquidación en cascada. El segundo es la reflexividad: BNB funciona en la práctica como un instrumento de exposición al balance y a la reputación de Binance, y por ello cayó más que ningún otro activo mayor pese a que no figuraba entre lo robado. El tercero es la fragmentación de la liquidez: con las retiradas suspendidas en la mayor plataforma del mundo, el arbitraje entre mercados se interrumpe y las primas de riesgo se disparan. La plataforma india CoinDCX llegó a restringir la apertura de nuevas posiciones en futuros. A ello se sumó la venta de activos ilíquidos por parte del atacante: un token poco conocido de 2017 se desplomó cerca de un 90%.

Standard Chartered prevé que la presión bajista se prolongue hasta que se conozcan los detalles técnicos y se liberen los fondos congelados, y sostiene que el episodio acelerará la migración del volumen hacia plataformas descentralizadas. Es una hipótesis plausible a medio plazo; a corto, los tokens de esas mismas plataformas cayeron con el resto. En un shock de confianza, la correlación entre activos de riesgo tiende a la unidad, y la diversificación dentro del universo cripto ofrece una protección menor de la que sugieren los modelos.
 

La paradoja de la recuperabilidad

Quizá el dato más significativo del episodio sea éste: cerca de la mitad de lo sustraído pudo inmovilizarse, y casi todo lo inmovilizado eran stablecoins. Tether congeló unos 1.770 millones de USDT, con la primera orden ejecutada 37 minutos después del barrido principal; Circle, unos 825 millones de USDC, en coordinación con las fuerzas de seguridad; Ripple, 40,5 millones de RLUSD; World Liberty Financial, 27,8 millones de USD1. El Consejo de Seguridad de Arbitrum fue más lejos y ejecutó transferencias forzosas desde la cartera del atacante para retirarle 8.426 ETH y 74,6 millones de ARB.

Ninguna intervención de ese tipo fue posible sobre el bitcoin o el ether nativos. Lo recuperable fue precisamente aquello que depende de un emisor centralizado con capacidad de lista negra, o de una red con un órgano de gobierno dotado de poderes de emergencia. Lo irrecuperable fue lo que se ajusta con mayor fidelidad al ideal original de dinero sin intermediarios.

La implicancia es de primer orden. Los activos digitales que más se asemejan al dinero fiduciario —denominados en dólares, respaldados por reservas, sujetos a un emisor identificable— ofrecen también las garantías propias de ese sistema: reversibilidad, cooperación con las autoridades, capacidad coercitiva. Los que encarnan la promesa de resistencia a la censura ofrecen exactamente lo contrario. Seguridad recuperable y soberanía del titular avanzan en direcciones opuestas, y el mercado no ha resuelto ese dilema. Queda además un interrogante de gobernanza: el poder de congelar se ejerce hoy por decisión discrecional de empresas privadas, sin un marco procesal homogéneo ni criterios públicos.
 

¿Falla el protocolo o falla el custodio?

Conviene afinar el diagnóstico. Ni el protocolo de Bitcoin ni el consenso de Ethereum fueron vulnerados. El ataque golpeó la capa de custodia: el entramado de servidores, portátiles, contenedores y procesos de firma con el que un intermediario centralizado gestiona carteras conectadas a internet para atender retiradas. Desde una óptica estrictamente técnica, la criptografía resistió; falló la seguridad operativa.

Esa distinción resulta, sin embargo, menos tranquilizadora de lo que aparenta. La adopción real de los criptoactivos discurre mayoritariamente a través de plataformas centralizadas que concentran volumen, liquidez y saldos, y en mucha menor medida por la autocustodia. El ecosistema que pretendía eliminar intermediarios ha generado intermediarios de escala sistémica, con una superficie de ataque amplísima y sin garantías equivalentes a las bancarias: los saldos depositados en una plataforma de intercambio carecen del seguro automático de depósitos. La protección del usuario depende de la solvencia y la voluntad del operador; en este caso, de los 6.340 millones reservados por Binance, de los que unos 5.000 millones ya estaban denominados en los activos afectados. Analistas como los de Fundstrat no aprecian, por ahora, un riesgo de solvencia significativo, lo que dice tanto de la fortaleza del balance de Binance como del grado de concentración del mercado en una sola entidad.

La propia innovación amplía el perímetro vulnerable. EIP-7702 se concibió para mejorar la experiencia de usuario y la programabilidad de las carteras; en manos de un adversario con acceso a la infraestructura de firma, se convirtió en un mecanismo de barrido persistente. Cada capa de funcionalidad añadida es también una capa de riesgo.

Las estadísticas desmienten la hipótesis del accidente aislado. CertiK contabilizó 656 incidentes y unos 2.680 millones de dólares en pérdidas en los nueve primeros meses de 2026, con septiembre como peor mes del año por el robo de 387,5 millones a Bitget. El golpe a Binance más que duplica esa cifra en una sola noche. El rasgo dominante es la concentración: pocos ataques de enorme escala, dirigidos casi siempre contra custodios centralizados y atribuidos con frecuencia a Corea del Norte. El precedente es antiguo: Mt. Gox perdió unos 850.000 bitcoins en 2014, y la propia Binance cubrió en 2019 con su fondo SAFU el robo de 7.000 BTC.
 

Black October y la erosión del perímetro defensivo

El robo llega al cierre de un mes que la comunidad de ciberseguridad ha bautizado como 'Black October'. El 21 de octubre se publicaron parches de emergencia para dos vulnerabilidades críticas de ejecución remota de código en PHP —lenguaje presente en torno al 70% de los sitios web—, identificadas con ayuda de modelos de IA de OpenAI y Google. El ciclo de parches de octubre de Microsoft corrigió alrededor de 1.411 fallos, un récord, y Rapid7 estima que los atacantes explotan ya las vulnerabilidades graves unos tres días después de su divulgación.

La tentación de vincular el ataque a Binance con esa ola debe resistirse por ahora. No existe evidencia pública de que la operación norcoreana empleara IA ni vulnerabilidades descubiertas mediante IA; una revisión independiente de los 28 incidentes que popularizaron la etiqueta solo halló dos con ataques impulsados por IA, y la evidencia de uno de ellos era débil. Lo que sí comparten es un denominador común: credenciales y accesos privilegiados de larga duración alojados en equipos de desarrollo. El portátil de un ingeniero de DevOps es hoy el equivalente funcional a la llave de la cámara acorazada. Si la IA acelera el hallazgo de vulnerabilidades y estrecha la ventana de explotación, el riesgo para los custodios crece de forma desproporcionada, porque su modelo de negocio exige mantener sumas cuantiosas en carteras permanentemente conectadas.
 

Conclusiones accionables

Del episodio se desprenden, a juicio de este análisis, seis conclusiones operativas para decisores públicos, inversores institucionales y responsables de riesgo.

1. Las plataformas de intercambio de escala global son ya infraestructura financiera crítica. Su riesgo ha dejado de ser idiosincrásico: una brecha en Binance desencadena en horas liquidaciones superiores a 1.500 millones y paraliza el arbitraje entre mercados. La supervisión debería exigir auditorías de seguridad operativa y de los procesos de firma, además de las pruebas de reservas.
2. La arquitectura de firma es el nuevo perímetro. Segmentar la infraestructura por cadena y por nivel de cartera, limitar los saldos en carteras calientes, rechazar por defecto las autorizaciones EIP-7702 no previstas y disponer de mecanismos de revocación preaprobados deberían dejar de ser buenas prácticas para convertirse en requisitos.
3. La exposición a altcoins implica una beta elevada frente a shocks de custodia. El comportamiento de BNB demuestra que los tokens de plataforma incorporan riesgo de contraparte; su valoración debería descontar la concentración operativa del emisor, y las carteras institucionales, medir la exposición indirecta a un mismo custodio.
4. La capacidad de congelación es, de facto, una herramienta de política pública. Su eficacia quedó demostrada en minutos, pero su ejercicio discrecional por emisores privados reclama reglas de debido proceso, coordinación transfronteriza y transparencia sobre criterios.
5. La contrainteligencia financiera frente a Pyongyang debe desplazarse hacia los puntos de salida. Mesas OTC, creadores de mercado, solvers y redes de pago en lengua china concentran la vulnerabilidad. Los 325 millones de USDT vendidos a contrapartes profesionales minutos después del robo revelan que el cribado de direcciones en tiempo real es hoy el eslabón más débil del dispositivo.
6. Sobre la cuestión de fondo. El déficit de seguridad de los criptoactivos se localiza en la intermediación más que en la criptografía, pero esa intermediación es inseparable de su adopción masiva. Cuanto más se acercan al uso cotidiano, más reproducen las dependencias del sistema que aspiraban a sustituir, sin heredar todavía sus salvaguardas. Un robo, por grande que sea, no refuta la promesa de reemplazar al dinero fiduciario; sí la somete a una condición exigente: ofrecer garantías de custodia equiparables a las bancarias sin renunciar a la razón de ser de la tecnología. Esa ecuación sigue sin resolverse.