Binance sufrió el mayor robo de criptomonedas registrado hasta ahora: unos USD 6.300 millones salieron de sus billeteras calientes en una operación sigilosa, preparada y sin violencia. El incidente se detectó hacia las tres de la tarde del jueves, hora Colombia, cuando la plataforma notificó un comportamiento extraño en sus sistemas, y las principales sospechas de firmas de ciberseguridad apuntan a un grupo de hackers vinculado a Corea del Norte, aunque ninguna autoridad ha confirmado oficialmente a los responsables.
Las billeteras calientes de un exchange funcionan como monederos virtuales conectados a internet, necesarios para facilitar las compras, ventas y retiros de los usuarios; las frías, en cambio, operan desconectadas de la red y actúan como cajas fuertes para los activos que no requieren movimientos inmediatos. Sus conexiones permanentes a internet son lo que convirtió a las billeteras calientes en el punto vulnerable que explotaron los atacantes.
Cómo entraron los atacantes
La investigación inicial de Binance sugirió que los hackers habrían accedido al computador de un trabajador con privilegios en los sistemas internos de la empresa. Los avances de la pesquisa revelaron que no fue uno, sino varios los equipos comprometidos desde los cuales los atacantes lograron entrar al corazón de la plataforma y ejecutar la salida de semejante cantidad de criptomonedas.
Jake Moore, asesor global de ciberseguridad de ESET, advirtió sobre el riesgo que deja a la vista el caso. «No solo es preocupante la rapidez con la que miles de millones de dólares pueden desaparecer en un robo de la era digital, sino que resulta increíble que una sola computadora portátil tuviera acceso privilegiado suficiente para hacerlo posible», señaló.
La respuesta de Binance
Para contener el daño, la plataforma suspendió temporalmente los retiros y anunció que los reanudaría en un plazo de 45 horas —los depósitos funcionan con normalidad—. Ese tiempo, según lo previsto, permitiría identificar y corregir las vulnerabilidades que facilitaron el ingreso de los atacantes y restablecer las operaciones de manera segura. Los depósitos, según la propia plataforma, siguen operando con normalidad. Binance, además, emite boletines periódicos para informar a sus usuarios sobre el avance de las investigaciones.
En sus comunicados, la empresa ha sido enfática en que responderá por la totalidad de los fondos robados a través de su SAFU (Secure Asset Fund for Users), un fondo de reserva de emergencia creado en julio de 2018 para proteger los activos de los usuarios. Binance asegura que ya cuenta con recursos para cubrir el 80 % de las pérdidas y que avanza en la compra de las criptomonedas restantes para completar la reposición.
La respuesta también incluye trabajo conjunto con fuerzas del orden, firmas de inteligencia en blockchain, emisores de activos y socios de la industria para rastrear y congelar los activos afectados. El esfuerzo ya da frutos: aproximadamente USD 3.000 millones han sido congelados, lo que impide a los atacantes moverlos, transferirlos o convertirlos en dinero. Los controles de seguridad se han reforzado en toda la infraestructura afectada.
Quién estaría detrás del ataque
Binance no ha señalado a nadie, pero varias firmas de seguridad informática han puesto su lupa en Corea del Norte. Las principales sospechas recaen en TraderTraitor, una unidad de hackers de élite de ese país dedicada a robar activos digitales como bitcoin y ether. Entre sus técnicas tradicionales figuran el envío de correos electrónicos de phishing y la infección de víctimas mediante archivos de código malicioso, como troyanos.
La firma TRM Labs, especializada en inteligencia y seguridad en blockchain, atribuye con un alto grado de confianza el ataque a ese grupo, con base en información recopilada dentro y fuera de la cadena de bloques. Elliptic, otra empresa del sector, identificó similitudes entre los movimientos de los activos robados y las operaciones anteriores atribuidas a TraderTraitor. A pesar de los indicios, la identidad de los responsables no ha sido confirmada oficialmente por las autoridades.
Según la firma de seguridad en la nube Wiz, desde que TraderTraitor salió a la luz pública en 2022 ha sido vinculado con varios ciberataques, entre ellos el ataque a la cadena de suministro de JumpCloud, en julio de 2023, y el robo de USD 1.500 millones a Bybit, que hasta entonces era considerado el mayor de este tipo. «El beneficio económico es su principal objetivo», detalla Wiz sobre el régimen norcoreano, sometido a fuertes sanciones, que usa estas operaciones cibernéticas para robar criptomonedas y generar ingresos que financien programas estatales.
Kaspersky, por su parte, considera que detrás del ataque estaría Lazarus, la organización sombrilla bajo la cual opera TraderTraitor, lo que no necesariamente riñe con las sospechas previas. «Este grupo es conocido por realizar ciberataques con motivaciones financieras, incluidas operaciones dirigidas contra el sector de las criptomonedas», explicó Georgy Kucherin, investigador senior del Equipo Global de Investigación y Análisis (GReAT) de la firma, quien recordó que en 2016 Lazarus fue acusado del intento de robo de USD 1.000 millones al banco central de Bangladesh.
Las lecciones del mayor hackeo cripto
Para los expertos, el incidente deja al menos tres lecciones. La primera: prácticamente ningún sector de la economía está a salvo de un ataque informático, aunque no todos enfrentan el mismo nivel de exposición ni las mismas consecuencias. La segunda: el factor humano sigue siendo una de las principales vulnerabilidades, porque empleados con privilegios en los sistemas pueden ser engañados para instalar código malicioso que convierte sus equipos en la puerta de entrada; capacitar al talento humano es clave.
La tercera es la gestión del riesgo: aunque ninguna organización está exenta, sí puede anticiparse con protocolos de actuación y mecanismos de protección para contener los daños. En el caso de Binance, esa estrategia se refleja en el uso de billeteras frías y en la existencia del fondo de reserva. Kucherin resalta que estas plataformas no son inmunes a los ciberataques y pueden verse comprometidas por distintos métodos, mientras que también podría resaltarse la transparencia con la que la empresa ha informado a sus usuarios sobre el incidente y las medidas adoptadas.
Qué deben hacer los usuarios
Ante el riesgo de fraudes derivados del incidente, ESET publicó una lista de recomendaciones para los clientes de Binance. Seguir únicamente los canales oficiales del exchange —sitio web, aplicación y perfiles verificados— para informarse sobre el caso. Desconfiar de mensajes sobre reembolsos y no abrir enlaces recibidos por correo electrónico, SMS o aplicaciones de mensajería sin verificar su autenticidad. No compartir contraseñas, códigos de autenticación ni frases semilla, incluso si la solicitud parece provenir del soporte de la plataforma. Y revisar la configuración de seguridad de la cuenta: verificar que la autenticación en dos factores esté activada y revisar la lista de direcciones autorizadas para retiros.