Un ordenador de un empleado posiblemente comprometido, decenas de autorizaciones preparadas con antelación y una secuencia de transferencias ejecutadas en pocos minutos. Estos son algunos de los elementos que empiezan a explicar cómo unos hackers lograron robar más de 6.000 millones de dólares de Binance, en lo que ya se considera el mayor ataque hacker de la historia de las criptomonedas.
El robo ocurrió el jueves (29) y afectó a monederos de la mayor exchange de criptomonedas del mundo en distintas blockchains. Según la empresa de análisis de datos TRM Labs, se desviaron aproximadamente 6.360 millones de dólares, con la mayor parte de los fondos retirados en un intervalo de solo 20 minutos.
La cifra representa más de cuatro veces los cerca de 1.500 millones de dólares robados a Bybit en febrero de 2025, incidente que hasta entonces se consideraba el mayor ataque hacker registrado en el sector de las criptomonedas.
Aunque Binance todavía no ha concluido su investigación, los primeros comunicados de la exchange y los análisis de empresas especializadas en rastreo de criptomonedas permiten reconstruir parte de la operación, desde su preparación hasta las estrategias utilizadas por los delincuentes para mover y tratar de preservar los fondos robados.
El ataque pudo empezar en el ordenador de un empleado de Binance
La primera pista sobre el origen del ataque la dio la propia Binance el viernes (30). Según la exchange, la investigación inicial indica que el portátil de un ingeniero de DevOps —profesional responsable de actividades relacionadas con la infraestructura y la operación de sistemas— podría haber sido comprometido.
Lee también: Binance pierde más de 6.000 millones de dólares en el mayor ataque hacker de la historia de las criptomonedas
Ese acceso habría permitido a los delincuentes alcanzar un contenedor de servicio de la empresa y enviar transacciones de retirada no autorizadas. La exchange subrayó, no obstante, que no encontró evidencias de filtración de las claves privadas de los monederos, la información criptográfica utilizada para autorizar movimientos de activos digitales.
Posteriormente, Binance informó de que había identificado otros puntos de compromiso además del ordenador inicialmente sospechoso, lo que indica que el ataque fue más complejo de lo que se pensaba.
Richard Teng, co-CEO de Binance, afirmó que los delincuentes no se limitaron a utilizar los permisos de un único ingeniero para mover el dinero y que el ataque no se ejecutó con un solo clic. La empresa también señaló que su investigación no ha atribuido responsabilidad del incidente a ningún empleado.
Mientras la exchange busca identificar el origen de la intrusión, TRM Labs logró reconstruir parte de la preparación de los delincuentes a partir de los movimientos registrados en las blockchains.
Según la empresa, la planificación empezó al menos 36 horas antes del robo. En la mañana del miércoles (28), un monedero controlado por los atacantes recibió tres pequeñas transferencias procedentes de Tornado Cash, un servicio utilizado para dificultar el rastreo del origen de las criptomonedas.
Al día siguiente, los delincuentes empezaron a preparar y probar códigos que utilizarían en la operación. TRM identificó pruebas en distintos monederos, incluido un ensayo con la versión final del código aproximadamente cuatro horas antes de que se instalara en un monedero de Binance.
Esta preparación indica que el ataque no fue un intento improvisado, sino una operación planificada para permitir la retirada simultánea de fondos desde distintas direcciones.
Cómo lograron los hackers retirar miles de millones de dólares en minutos
El robo empezó hacia las 17:05 del jueves (29), hora de Brasilia, cuando cinco monederos de Binance en la red XRP Ledger transfirieron aproximadamente 233,46 millones de XRP a una única dirección controlada por el atacante.
Pocos minutos después, los monederos de la exchange en las redes Solana y Optimism también empezaron a enviar fondos a direcciones vinculadas a los delincuentes.
Hacia las 17:20, un monedero de Bitcoin de Binance transfirió 18.270 BTC, valorados en unos 1.470 millones de dólares. Los fondos empezaron de inmediato a dividirse en transferencias menores, principalmente de 1.000 y 100 BTC, una estrategia que dificulta el rastreo de las criptomonedas.
Casi al mismo tiempo, otro monedero de Binance, esta vez en la red Tron, envió 612,7 millones de USDT y 46,4 millones de TRX a los atacantes.
Pero fue en la red Ethereum donde se produjo la parte más sofisticada del ataque. Los delincuentes explotaron una funcionalidad conocida como EIP-7702, introducida en la actualización Pectra de Ethereum, en mayo de 2025.
Esta tecnología permite que un monedero convencional autorice la ejecución de código de contratos inteligentes en su nombre. Se trata de una función legítima de la red, desarrollada para ampliar las capacidades de los monederos, pero que puede explotarse si un atacante obtiene autorizaciones indebidas.
Según TRM Labs, los delincuentes lograron preparar con antelación 50 autorizaciones firmadas por uno de los monederos de Binance. Todas ellas dirigían el control de determinadas operaciones hacia un contrato inteligente controlado por el atacante.
El elevado número de autorizaciones tenía un fin concreto. Cada una correspondía a un contador distinto de transacciones del monedero, conocido como nonce. Como el monedero de Binance procesaba retiradas de forma continua, ese contador cambiaba con rapidez. Al preparar 50 posibilidades, el atacante aumentaba las probabilidades de que al menos una autorización fuera válida en el momento de la ejecución.
La estrategia funcionó. Una de las autorizaciones fue aceptada, lo que permitió a los delincuentes pasar a controlar operaciones de ese monedero a través del contrato inteligente malicioso.
Apenas tres minutos y 24 segundos después, el atacante ejecutó una transacción que retiró 167.464 ETH y otros 63 tokens del monedero, incluidos aproximadamente 1.615 millones de USDT.
El código malicioso siguió activo y permitió a los delincuentes retirar nuevos fondos que llegaron posteriormente a la misma dirección. El monedero comprometido también tenía permisos relacionados con otra cuenta de Binance, lo que posibilitó la sustracción de 823 millones de USDC.
El mecanismo utilizado en Ethereum, sin embargo, no explica por sí solo la dimensión del ataque.
Otros monederos de Binance, distribuidos en distintas redes, realizaron transferencias con firmas criptográficas válidas, sin recurrir a la misma funcionalidad de Ethereum.
Para TRM Labs, esto indica que los delincuentes probablemente lograron comprometer la infraestructura que Binance utiliza para autorizar transacciones en sus monederos conectados a internet, conocidos como hot wallets.
Dicho de otro modo, la principal hipótesis es que los hackers consiguieron que los propios sistemas de la exchange autorizasen transferencias fraudulentas, en lugar de limitarse a robar las claves privadas de un monedero aislado.
Esta interpretación es compatible con la información preliminar de Binance de que no se identificaron evidencias de filtración de claves privadas. No obstante, todavía no está claro cómo los delincuentes lograron obtener las distintas autorizaciones necesarias para ejecutar las transacciones.
En total, TRM Labs identificó movimientos fraudulentos en diez blockchains, entre ellas Ethereum, Bitcoin, Tron, Solana, XRP Ledger, Arbitrum, Avalanche, Optimism, Base y Polygon.
Las transferencias identificadas por la empresa sumaron aproximadamente 6.360 millones de dólares, de los cuales unos 3.790 millones se concentraron en la red Ethereum. Además de las cantidades en Bitcoin y XRP, el ataque implicó miles de millones de dólares en stablecoins, como USDT, USDC y RLUSD.
Qué pasó con los 6.000 millones de dólares robados a Binance
Tras la retirada de los fondos, empezó una segunda fase de la operación: el intento de mover las criptomonedas antes de que las empresas responsables de los activos y los mecanismos de seguridad de las redes lograran bloquearlas.
Esa carrera fue especialmente relevante para las stablecoins. A diferencia de Bitcoin y Ethereum, algunas de estas monedas digitales cuentan con mecanismos que permiten a sus emisores congelar fondos en direcciones concretas.
En cuanto se detectaron los movimientos sospechosos, empresas como Tether, Circle, Ripple y World Liberty Financial empezaron a bloquear los tokens asociados al ataque.
TRM Labs identificó aproximadamente 2.700 millones de dólares en activos congelados en las primeras horas, incluidas las medidas adoptadas por el consejo de seguridad de Arbitrum. Posteriormente, Binance informó de que el total bloqueado había alcanzado unos 3.000 millones de dólares.
Los atacantes, por su parte, intentaron convertir rápidamente parte de las stablecoins en Ethereum, un activo que no cuenta con el mismo mecanismo de congelación controlado por un emisor.
Según la investigación de TRM Labs, aproximadamente 325 millones de USDT se convirtieron en unos 122.300 ETH mediante operaciones con protocolos descentralizados y creadores de mercado. Para ejecutar rápidamente esas operaciones, los delincuentes aceptaron condiciones significativamente desfavorables respecto a los precios de mercado.
En otro movimiento, el atacante depositó cerca de 60 millones de USDT en el protocolo de préstamos Aave y utilizó esos fondos como garantía para obtener aproximadamente 19.760 ETH.
El movimiento llevó a Aave a adoptar medidas de seguridad de emergencia para impedir nuevas operaciones con fondos asociados al robo. TRM Labs
El rastreo también reveló una posible conexión con hackers vinculados a Corea del Norte. TRM Labs atribuyó el ataque al grupo TraderTraitor, asociado al gobierno norcoreano, con un alto grado de confianza. La empresa afirmó haber identificado similitudes con ataques anteriores, incluida la preparación anticipada de transacciones y el uso de servicios destinados a dificultar el rastreo de criptomonedas.
El mismo grupo fue señalado por el FBI como responsable del robo de aproximadamente 1.500 millones de dólares a Bybit, en febrero de 2025.
Elliptic, otra empresa especializada en rastreo de criptomonedas, también identificó evidencias que apuntan a la participación de delincuentes vinculados a Corea del Norte, incluidos movimientos asociados a un ataque anterior contra la exchange Bitget. Pese a estas conclusiones, la autoría todavía no ha sido confirmada oficialmente por Binance. MarketScreener+1
La exchange afirma que sus clientes no sufrirán pérdidas y que cubrirá todos los daños con los recursos de su fondo de emergencia, conocido como SAFU, y con dinero de la propia empresa.
Como medida de seguridad, Binance suspendió temporalmente las retiradas, revocó la autorización de las direcciones afectadas y empezó a trabajar con empresas de análisis de blockchain y con las autoridades policiales para recuperar los activos. El viernes, los depósitos ya se habían normalizado, mientras las retiradas seguían suspendidas.
La empresa también prometió publicar un informe técnico completo una vez concluida la investigación, además de una versión actualizada de su prueba de reservas.
Por ahora, la principal incógnita es cómo los atacantes lograron convertir un posible compromiso de sistemas internos en autorizaciones válidas para retirar miles de millones de dólares de monederos repartidos en distintas blockchains. La respuesta podría ayudar a esclarecer no solo el mayor robo registrado hasta la fecha en el mercado de criptomonedas, sino también las vulnerabilidades de los sistemas de custodia utilizados por las mayores exchanges del mundo.
Si quieres invertir en criptomonedas con seguridad, Mercado Bitcoin ofrece una ventaja especial para nuestros lectores: usa el código PORTAL250 al registrarte y consigue 8,27 EUR de bono en Bitcoin al comprar 41,33 EUR en activos. Haz clic aquí para abrir tu cuenta.
