El 29 de octubre de 2026, aproximadamente a las 4:20 p.m. hora del Este, fondos comenzaron a salir de las billeteras calientes de Binance que nadie en Binance había aprobado. Para cuando se calmó la situación a la mañana siguiente, Chainalysis estimó el robo en unos $6.4 mil millones y Binance en $6.3 mil millones. Eso lo convierte en el mayor robo de criptomonedas registrado, aproximadamente cuatro veces el tamaño del hackeo de Bybit que ostentaba el título desde febrero de 2025. La cifra principal es brutal. La cifra más interesante es la otra: cerca de $3 mil millones fueron congelados en cadena en cuestión de horas, y casi todo eso provino de una única fuente. Los emisores de stablecoins presionaron un botón.
Ese botón es la parte de las criptomonedas de la que la mayoría de los nativos de cripto aman quejarse. Esta semana fue lo único que funcionó.
¿Qué pasó en el hackeo de Binance?
La investigación inicial de Binance apunta a la laptop comprometida de un ingeniero de DevOps. Desde allí, el atacante llegó a un contenedor de servicio y envió transacciones de retiro que el sistema trató como legítimas. Binance dijo después que había encontrado puntos adicionales de brecha más allá de la laptop, y que no había visto evidencia de filtración de claves privadas de billeteras. Se promete un post mortem completo una vez verificados los hechos. Sin embargo, el co-CEO Richard Teng describió algo más quirúrgico que un asalto. Dijo que el ataque no fue una acción de "un clic", que el atacante usó un mecanismo de autodestrucción para limpiar rastros. Y que una delegación EIP 7702 le dio al atacante autoridad de ejecución sobre una billetera caliente, evadiendo los controles de aprobación normales. Ido Ben Natan de Blockaid lo expresó claramente: la actualización les dio a los atacantes "una forma de hacer esto en un solo barrido". Sin ella, el mismo drenaje habría requerido muchas transacciones separadas, cada una una oportunidad para que el monitoreo se activara.Chainalysis y TRM Labs atribuyen el robo a TraderTraitor, la unidad norcoreana que el FBI nombró por el hackeo de Bybit. TRM dice que sostiene esa opinión con alta confianza. El investigador en cadena ZachXBT y Chainalysis encontraron que los fondos de Binance se mezclaron con fondos del exploit de Bitget del mes pasado, llegando a la misma dirección vía THORChain. Mismo actor, segundo exchange en unas cuatro semanas.
¿Cómo hizo EIP 7702 que el drenaje fuera más rápido?
EIP 7702 se lanzó con la actualización Pectra de Ethereum. Permite que una cuenta de propiedad externa ordinaria delegue su ejecución a código de contrato inteligente, de modo que una billetera normal pueda agrupar transacciones, patrocinar gas o seguir reglas de gasto personalizadas. Según la especificación EIP-7702, esa delegación se establece mediante una autorización firmada y permanece vigente hasta que se reemplace o se borre.
Para los usuarios, eso es una característica de conveniencia. Para un atacante que obtiene una autorización válida firmada desde dentro de la infraestructura de un exchange, es una llave maestra con un procesador por lotes incorporado. En lugar de enviar retiros uno a la vez a través de colas de aprobación, el código delegado puede barrer una billetera en un solo flujo. Ivo Georgiev de Ambire señaló el riesgo posterior: los ingenieros que recuperan el control de una cuenta comprometida pueden no darse cuenta de que una delegación maliciosa sigue adjunta a ella.
Nada de esto significa que EIP 7702 esté roto. Significa que la infraestructura de firma de exchanges ahora tiene una nueva clase de permiso que monitorear. Y al menos uno de los mayores operadores de la industria no lo estaba vigilando lo suficiente.
¿Quién congeló qué y con qué rapidez?
Chainalysis cronometró los primeros congelamientos a las 5:14 p.m. hora del Este, unos 54 minutos después de las primeras salidas. Paolo Ardoino de Tether y Jeremy Allaire de Circle estaban publicando totales de congelamiento antes de que Binance siquiera hubiera detenido los retiros. Esto es lo que reportaron los emisores y protocolos.
| Parte congeladora | Activo | Monto congelado | Mecanismo de congelamiento |
|---|---|---|---|
| Tether | USDT | Más de $1.567 mil millones | Lista negra del emisor en el contrato del token |
| Circle | USDC | Más de $800 millones | Lista negra del emisor en el contrato del token |
| Consejo de Seguridad de Arbitrum | 74...6M ARB y 8,425 ETH | Alrededor de $30.5 millones | Acción de gobernanza de emergencia en Arbitrum |
| World Liberty Financial | USD1 y WLFI | $27 millones USD1, $2 millones WLFI | Lista negra del emisor |
| Ripple | RLUSD | No revelado | Lista negra del emisor |
| First Digital | FDUSD | No revelado | Lista negra del emisor |
| Nadie | ETH en mainnet, BTC | $0 | No existe |
El total acumulado de Binance alcanzó unos $3 mil millones congelados. Chainalysis lo sitúa más cerca de $2.8 mil millones, y Elliptic estimó que alrededor del 44 por ciento de los activos robados fueron congelados, con las stablecoins representando casi todo eso. Solo Tether y Circle suman aproximadamente $2.37 mil millones. Si se excluyen los emisores de stablecoins, el esfuerzo colectivo de congelamiento de la industria asciende a unas decenas de millones de dólares, la mayor parte de una sola acción de emergencia del Consejo de Seguridad de Arbitrum.
¿Por qué pudieron los hackers quedarse con los otros $3 mil millones?
Porque los otros $3 mil millones eran, o rápidamente se convirtieron en, activos que nadie controla. ETH nativo y BTC no tienen clave de administrador ni función de lista negra. Una vez que el valor robado está allí, las únicas herramientas que quedan son el rastreo, la cooperación de exchanges y la suerte. Por supuesto, los atacantes lo sabían y actuaron en consecuencia. Chainalysis rastreó aproximadamente $500 millones en stablecoins hacia una billetera creada para un solo trabajo: convertir activos congelables en no congelables. En unos 20 minutos, $325 millones en stablecoins se convirtieron en $285 millones en ETH. Unos diez minutos después, los $175 millones restantes se enviaron a billeteras intermedias. TRM Labs dice que los atacantes también vendieron USDT a creadores de mercado y pidieron prestado ETH contra colateral de stablecoins.Curiosamente, esa última táctica golpeó directamente a Aave. Alrededor de 40 minutos antes de que llegaran los congelamientos, el explotador depositó 60 millones de USDT y pidió prestado aproximadamente 19,762 WETH, por un valor de unos $44.6 millones. LlamaRisk confirmó que la posición estaba sobrecolateralizada y no representaba riesgo para los proveedores. Aave aún congeló 175 reservas V3 en 16 redes y 117 reservas V4 en cuatro redes como precaución, luego reactivó préstamos y empréstitos el 30 de octubre. La lógica comercial es sombríamente inteligente: deposita USDT que podría congelarse, vete con ETH que no puede serlo, y deja que el protocolo de préstamos cargue con el colateral en lista negra.
Nuestro análisis de los datos de flujo de Chainalysis muestra cuánto valió la velocidad para el atacante. Cambiar $325 millones de stablecoins por $285 millones de ETH costó unos $40 millones, un recorte del 12.3 por ciento por deslizamiento y ejecución apresurada. Pagar más de un dólar de cada ocho para escapar de la lista de congelamiento te dice cuán en serio toman los operadores norcoreanos el tiempo de respuesta de Tether y Circle. Chainalysis también señaló miles de transacciones automatizadas, con muchas direcciones nuevas recibiendo primero exactamente 1 TRX, y Levin dijo que grandes sumas se movieron a direcciones de Tron.
Hackeo de Binance vs hackeo de Bybit: ¿qué cambió?
| Métrica | Bybit (febrero de 2025) | Binance (octubre de 2026) |
|---|---|---|
| Monto robado | Alrededor de $1.5 mil millones | $6.3 a $6.4 mil millones |
| Atribuido a | TraderTraitor (FBI) | TraderTraitor (Chainalysis, TRM Labs) |
| Punto de entrada | Máquina de desarrollador comprometida en un proveedor de billeteras | Laptop de ingeniero DevOps comprometida, más otros puntos de brecha |
| Mezcla de activos robados | Principalmente ETH y ETH en staking | Gran proporción de stablecoins más ETH, BTC y otros tokens |
| Proporción congelada | Una pequeña fracción | Alrededor del 44 al 48 por ciento |
| Primeros congelamientos de emisores | Limitados, pocos activos congelables | Unos 54 minutos después de las primeras salidas |
El contraste es la historia. Bybit perdió casi en su totalidad ETH no congelable, y el esfuerzo de recuperación fue principalmente un ejercicio de ver cómo se lavaba. Binance perdió una pila mucho mayor, pero una porción mucho mayor de ella estaba en tokens con un emisor detrás. Cuanto más de la billetera caliente de un exchange se mantiene en stablecoins emitidas centralmente, más de un robo puede recuperarse. Esa es una lección incómoda para cualquiera que vendió stablecoins como "cripto sin la volatilidad" y se saltó la parte de "con un interruptor de apagado".
¿Están cubiertos los clientes de Binance?
Binance dice que sí. La cofundadora Yi He dijo que el exchange cubrirá todas las pérdidas, y Changpeng Zhao publicó que espera que los fondos de los usuarios estén completamente cubiertos. Binance dice que ha reservado más de $6.34 mil millones en fondos de la empresa, de los cuales unos $5 mil millones ya están en los mismos tokens que fueron robados. Está comprando el resto en el mercado extrabursátil y en exchanges, advirtiendo que la liquidez escasa puede retrasar algunas compras.
Sorprendentemente, los depósitos siguieron funcionando. Los retiros se pausaron a las 6:55 p.m. hora del Este el 29 de octubre, y la última guía apunta a un reinicio por fases dentro de unas 40 horas de la actualización de Binance del 30 de octubre, que cae este fin de semana. Una prueba de reservas actualizada vence el lunes. Se informa que Binance está trabajando con el FBI.
Para que lo sepas, las contrapartes revelaron su exposición rápidamente. Wintermute dijo que su exposición era menos del 20 por ciento de su patrimonio neto, y GSR dijo menos del 5 por ciento. Bybit confirmó que no se vio afectado.
¿Cómo reaccionó el mercado cripto?
Mal, aunque el hackeo cayó en un día ya inestable tras una pausa de la Fed y débiles resultados tecnológicos. Para el 30 de octubre, los datos de CoinGecko mostraban Bitcoin abajo un 4.9 por ciento en 24 horas a unos $76,937. Ether cayó un 5.7 por ciento a alrededor de $2,211. BNB bajó un 8 por ciento a roughly $693, AAVE perdió un 11.3 por ciento y UNI un 10.7 por ciento. El Índice de Miedo y Codicia de Bitcoin cayó a 30, su lectura más baja desde agosto.
Qué significa esto para cualquiera que tenga cripto en un exchange
Algunas conclusiones prácticas, ninguna nueva, todas recién subrayadas. Más importante aún, los saldos en exchanges son un pagaré. Binance parece capaz de absorber una pérdida de $6 mil millones. Muy pocos operadores en el mundo podrían. Las pausas de retiros ocurren incluso cuando el exchange es solvente, y ocurren exactamente cuando más quieres tus monedas.Los congelamientos de stablecoins cortan en ambos sentidos. La misma lista negra que salvó aproximadamente $2.4 mil millones aquí es la que puede bloquear una billetera inocente que recibió fondos contaminados. Si recibes USDT o USDC de una fuente desconocida después de un hackeo importante, verifica la dirección del remitente contra rastreadores públicos antes de moverlo.
Revisa tus propias delegaciones EIP 7702. Si has usado una función de billetera inteligente en Ethereum, revisa qué delegaciones tienen tus cuentas y borra las que no reconozcas. Una delegación maliciosa puede sobrevivir al momento en que recuperaste el control.
Mantén los fondos inactivos en autocustodia. Esto se aplica tanto a cuentas de trading como a saldos de juego. Plataformas como CryptoCasino.Vegas que pagan las ganancias directamente a la billetera del jugador hacen que el principio sea fácil de seguir: cuanto menos tiempo estén tus monedas en la billetera caliente de otra persona, menos te puede costar una laptop comprometida al otro lado del mundo.
La cifra final de recuperación se moverá a medida que continúe el rastreo, y la historia dice que se mueve hacia abajo, no hacia arriba. El propio resumen de Levin de la fase de lavado es el correcto para recordar: cuanto más viajan los fondos, menos oportunidades de incautación. El botón de congelamiento recuperó casi la mitad en una hora. Todo después de eso es una persecución.
