Binance hackeado: ojo, abrir retiros no es abrir tu moneda

Binance, hackeado el jueves 29 de octubre de 2026, reabrió los retiros por fases, pero abrir retiros no es abrir tu moneda. La empresa calcula la pérdida en unos US$ 6.300 millones y el domingo 1 de noviembre publicó la primera fase de la reapertura. Este lunes 2, a las 11:38 de Chile, medimos lo que de verdad estaba abierto en sus datos públicos: 630 monedas aceptan depósito y solo 14 tienen algún retiro disponible. El FBI ya atribuye el robo a Corea del Norte. Y a quien trabaja con tecnología le importa por otra razón: Binance apuntó primero al portátil de un ingeniero y luego a otros puntos de entrada, sin decir cuáles, mientras TRM Labs y Elliptic sostienen que el atacante logró que el propio sistema firmara por él. Si tienes cripto en Binance, o si decides qué equipos y cuentas llegan a producción, esto es lo que abrió, cómo salió el dinero y qué conviene revisar.

Binance retiros: qué abrió de verdad el 2 de noviembre

Lo primero es entender qué es una ruta: una moneda en una red. Binance tiene 1.365. Ese lunes, 967 recibían depósitos y solo 30 dejaban retirar. La propia empresa lo muestra red por red en su página de estado: abres USDT, por ejemplo, y aparece normal en Ethereum o en Solana, y cerrada en la mayoría de las demás.

La primera fase se anunció con 15 redes y 15 monedas, elegidas según lo que más pidieron los usuarios la última semana, y Binance avisó que abriría de forma progresiva. Cruzamos esa lista con lo abierto: de 33 rutas prometidas, 30 estaban disponibles. Faltaban tres: USDT en Polygon, USDT en Avalanche y POL en Polygon. El motivo que da Binance es reponer la billetera caliente, la que paga los retiros. Richard Teng, su codirector ejecutivo, explica que la gran mayoría de los fondos está en billeteras frías y solo pasa a una caliente cuando alguien retira. En dos de esas rutas, Binance estimaba volver ese mismo lunes, a más tardar a las 21:00 de Chile.

La foto cambia rápido: USDT en Tron estaba cerrada a las 11:22 y a las 11:38 ya estaba abierta. Cambió mientras medíamos.

Fuera de la lista, monedas como Cardano, Chainlink, Hyperliquid y Litecoin no tenían ninguna ruta de retiro. Tampoco USD1 ni RLUSD, que Binance cuenta entre las diez respaldadas al 100 %. Los depósitos, en cambio, siguen abiertos, así que una moneda puede entrar y todavía no salir. Las 14 con algún retiro abierto eran ARB, AVAX, BNB, BTC, DOGE, ETH, GRAM, SOL, SUI, TRX, USDC, USDT, XRP y ZEC.

Hackeo de Binance: cómo salió el dinero sin robar la clave

Todo partió a las 20:05 UTC del 29 de octubre, las 17:05 de Chile. Según la firma de rastreo TRM Labs, casi todo salió en unos 20 minutos: es el mayor robo de cripto registrado, unas cuatro veces el de Bybit de febrero de 2025, que fue de US$ 1.500 millones.

La mayor salida se ve en un explorador público: 1.615 millones de USDT en una sola transacción, desde Binance 14, una de sus billeteras calientes. Lo llamativo es quién la envía: otra cuenta, que le ordena a la billetera vaciarse. Eso es posible por EIP-7702, una función que llegó a Ethereum en mayo de 2025 con la actualización Pectra y que, como explica TRM, permite que una cuenta común le entregue el control de su comportamiento a un contrato inteligente firmando una autorización.

Binance dice que no encontró evidencia de una filtración de claves privadas. TRM considera que la explicación más probable es que el atacante logró que el sistema de firma de las billeteras calientes firmara las transacciones que él eligiera, y Elliptic, otra firma de rastreo, lo describe en el mismo sentido. Elliptic detalla la mecánica: a las 20:20 UTC, una sola transacción trajo 50 autorizaciones firmadas con la clave de Binance 14, cada una con un nonce distinto, para asegurarse de que alguna calzara. Calzó una. Tres minutos y medio después, el contrato del atacante se llevó más de 167.000 ETH y 63 tokens.

Este lunes miramos esas dos billeteras en Ethereum. Binance 14 ya no tiene código, lo que calza con la revocación que anunció la empresa. Y la que recibió el dinero sigue con 1.175 millones de USDT y 823 millones de USDC, inmóviles.

Los 37 minutos: por qué Tether y Circle frenaron una parte del dinero

Esos saldos no se mueven porque Tether congeló esa billetera 37 minutos después del barrido, y Circle hizo lo mismo con los USDC tres minutos más tarde. En total, Elliptic verificó US$ 2.850 millones congelados o incautados, el 44 % de lo robado, casi todo en USDT y USDC. La razón es simple: las monedas estables tienen un emisor que puede congelarlas. Las nativas, como Bitcoin o Ether, no tienen quién lo haga.

Binance y el FBI: Corea del Norte y las 628 direcciones

Ahí entra el FBI. El sábado 31 de octubre atribuyó a Corea del Norte el robo de más de US$ 6.000 millones y llamó a esta actividad TraderTraitor, el nombre al que ya apuntaban TRM Labs y Elliptic. Con Bybit, el aviso tardó cinco días; aquí, dos.

El aviso trae además una lista de direcciones que tienen o tuvieron activos del robo. Las contamos y las consultamos una por una: son 628, con 608 de Ethereum, 19 de Bitcoin y una de Solana. Las 19 de Bitcoin guardan 18.270 BTC, justo lo que Elliptic dice que se robó en esa moneda, y ninguna ha gastado nada todavía. En las de Ethereum hay más de 551.000 ETH y en la de Solana, casi 416.000 SOL. A precios de ese lunes, unos US$ 2.700 millones a la vista de cualquiera. Ojo: son saldos de la lista, no un balance del robo.

Lo demás se mueve rápido. Elliptic analizó la principal billetera de lavado en Tron: 1.113 transferencias entre el 30 de octubre y el 1 de noviembre, con una mediana de 90 segundos entre una y otra. Para esa firma, gran parte del lavado lo hizo software, y aclara que con los datos de la cadena no se puede determinar si hay agentes de IA detrás. Por eso el FBI pide bloquear las transacciones con esas direcciones o derivadas de ellas. Si en tu trabajo recibes pagos en cripto o ves cumplimiento, conviene cruzar esa lista con tus depósitos de estos días.

El portátil del ingeniero y los otros puntos de entrada

El FBI dice quién, pero no cómo entraron. Y ahí Binance cambió de versión. Primero dijo que el incidente podría involucrar el portátil comprometido de un ingeniero DevOps, que habría dado acceso a un contenedor de servicio desde donde se enviaron retiros no autorizados. En Hacker News la pregunta fue directa: ¿cómo un portátil comprometido llega a borrar miles de millones en minutos? Después corrigió: su propia investigación encontró otros puntos de entrada, sin decir cuáles. También prometió más hallazgos técnicos en unas 48 horas y, al terminar, un informe del incidente; este lunes, esos hallazgos todavía no estaban en sus anuncios. Sobre el ingeniero, Teng escribió: «Nuestra investigación no ha atribuido la responsabilidad a ninguna persona».

Lo que sí está documentado es cómo trabaja este grupo. En 2022, el FBI, CISA y el Tesoro de Estados Unidos describieron el método: mensajes a empleados de empresas de cripto, a menudo de administración de sistemas o DevOps, que imitan un proceso de selección, ofrecen un trabajo bien pagado y te hacen bajar una aplicación con malware. Binance no ha dicho cómo se comprometió ese portátil: esto es el patrón, no la causa.

Y ya había pasado. En Bybit, la entrada fue la máquina de un desarrollador de Safe{Wallet}, y los firmantes aprobaron una transacción disfrazada. Aquí, posiblemente, el portátil de un ingeniero propio y algo más; y según TRM y Elliptic, firmó el sistema. En los dos casos, dice Elliptic, se comprometió a la gente y la infraestructura alrededor de las billeteras, no la criptografía.

Qué revisar en tus accesos si decides qué llega a producción

Cuatro controles salen de TRM Labs, de Binance y del aviso de 2022. Primero, los equipos con acceso a producción no instalan apps de cripto ni proyectos que manda un reclutador. Segundo, ningún servicio pide una firma sin una aprobación aparte: Teng admitió que esa delegación no pasó por sus controles normales. Tercero, separa la firma por cadena y por nivel de billetera, porque aquí un solo actor consiguió firmas válidas para billeteras de diez cadenas en cuestión de horas. Cuarto, una alerta inmediata ante permisos que no deberían existir y una revocación probada de antemano.

Binance prueba de reservas: una foto de antes de abrir

Este lunes, Binance anunció que completó su prueba de conocimiento cero y que ya se puede verificar. Según la empresa, muestra que las reservas cubren los saldos al menos uno a uno, sin revelar el saldo de nadie. Para comprobarla tú, debes iniciar sesión y bajar su verificador, solo desde el sitio oficial.

La letra chica está en la fecha. La foto es del 31 de octubre a medianoche UTC, antes de que los retiros empezaran a abrir, el 1 de noviembre. Y cubre diez monedas: BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD y ZEC. Binance planea otra, con más tokens, para el 4 de noviembre.

¿Se fue la gente? La salida de fondos y el 5 % por cubrir

Binance dice que se quedó. Según las cifras de la empresa que recogió Bitcoin.com News, entre las 06:00 y las 15:30 UTC del 1 de noviembre procesó US$ 4.649 millones en retiros y US$ 1.010 millones en depósitos. Hecha la cuenta, son unos US$ 3.640 millones de salida neta, cerca del 2,1 % de sus US$ 171.000 millones en activos. Su fundador, Changpeng Zhao, escribió que el 98 % se queda. Son cifras de Binance y de esas horas. DefiLlama muestra unos US$ 16.600 millones menos desde el hackeo, aunque eso incluye lo robado y la baja de precios.

Queda además un pedazo por cubrir. Binance dice haber cubierto cerca del 95 % de lo afectado; el 5 % restante son tokens fuera de los diez principales, con menos liquidez y más lentos de conseguir. Nuestra cuenta: unos US$ 315 millones. La empresa promete absorber el impacto ella, no sus usuarios.

¿Tu moneda sale? Qué mirar antes de mover nada en Binance

Depende de dos cosas: la moneda y la red. Bitcoin, Ether, Solana y XRP tenían retiro abierto. USDT, solo por algunas redes, y eso puede cambiar en minutos, como en Tron. La siguiente fase, dice Binance, es este martes 3 de noviembre, progresiva y con los detalles aún por publicar. Así que abre su página de estado y busca tu moneda y tu red. No te decimos que muevas ni que dejes nada: mira tu ruta antes.

Y cuidado con quién te escribe mientras tanto. Binance pide confiar solo en sus canales oficiales: si te contacta un supuesto soporte con un formulario de reembolso, desconfía. Desde Latinoamérica no encontramos reglas distintas: los anuncios son globales y no distinguen países.

Nuestra lectura: qué significa para ti

El caso deja dos lecciones. Una: no rompieron la criptografía, rompieron el proceso, porque alguien logró que el sistema firmara. Dos: cada promesa hay que medirla. Retiros abiertos, sí, en 14 monedas. Respaldo completo, sí, en una foto de antes de abrir. Y falta lo que más te sirve: el informe técnico. Hasta que Binance diga cuáles fueron los otros puntos de entrada, nadie puede decirte si tus controles habrían alcanzado.

Nuestro veredicto: los retiros volvieron, pero por partes. Si tienes fondos ahí, tu respuesta está en tu ruta, no en el titular. Y si decides accesos, no esperes el informe para revisar esos cuatro controles. ¿Y tú? ¿Qué revisarías primero entre un portátil y el sistema que firma?