El mayor robo de criptoactivos de la historia no se ejecutó forzando una bóveda digital, sino logrando que el propio sistema de la víctima firmara las transferencias. La lección alcanza a cualquier organización que autorice pagos, dependa de proveedores tecnológicos o confíe en que sus controles funcionan porque nunca han fallado.
El jueves 29 de octubre, a las 2:05 de la tarde, hora de San Salvador, cinco billeteras digitales de Binance comenzaron a enviar cientos de millones de unidades de XRP a una dirección desconocida. Quince minutos después salían 18,270 bitcoins. A las 2:24 una sola transacción en Ethereum vació otra billetera con 167,464 ether y más de 1,600 millones de dólares en la stablecoin USDT. Cuando el exchange más grande del mundo suspendió los retiros, unas dos horas después del primer movimiento, el daño estaba hecho.
Binance estima el impacto en alrededor de 6,300 millones de dólares. La firma de inteligencia blockchain TRM Labs lo calcula en 6,360 millones, distribuidos en diez cadenas de bloques, y lo atribuye con alta confianza a TraderTraitor, una unidad de piratería de Corea del Norte. Para dimensionarlo: el récord anterior, el robo a Bybit de febrero de 2025, fue de 1,500 millones. Este lo cuadruplica.
Sería un error leer el caso como un episodio más de un sector exótico. Lo que ocurrió en Binance es, en esencia, un fraude de autorización de pagos ejecutado a una escala y velocidad que ninguna tesorería tradicional ha visto. Y sus causas son conocidas por cualquier auditor o director financiero.
No robaron las llaves: hicieron firmar al sistema
Según la investigación preliminar de Binance, el punto de entrada fue la laptop comprometida de un ingeniero de operaciones (DevOps). Desde ella, el atacante llegó a un servicio interno capaz de enviar órdenes de retiro, y el sistema de billeteras las firmó como si fueran legítimas. La empresa sostiene que no hubo filtración de llaves privadas. Horas más tarde admitió que había “puntos de vulneración adicionales” y su co-CEO, Richard Teng, aclaró que no se trató de una acción aislada ni de los permisos de un solo empleado.
En Ethereum, el atacante aprovechó además una funcionalidad legítima incorporada al protocolo en 2025, conocida como EIP-7702, que permite a una cuenta delegar su comportamiento a un programa. Consiguió autorizaciones firmadas por adelantado y convirtió una billetera de Binance en una aspiradora que siguió barriendo fondos durante casi cuatro horas, incluidos depósitos que llegaban después del ataque.
La custodia de las llaves es necesaria, pero no suficiente. Si el sistema que decide qué se firma puede ser engañado, la llave mejor guardada firmará lo que el atacante quiera.
Traducido al lenguaje de cualquier empresa: no importa cuán protegido esté el token bancario del gerente financiero si la persona o el sistema que prepara la transferencia ha sido comprometido y nadie valida, de forma independiente, el destino y el monto antes de aprobarla.
Un patrón que se repite
Binance no es un caso aislado. En febrero de 2025, Bybit perdió 1,500 millones porque la interfaz de un proveedor de billeteras fue manipulada para mostrar a los firmantes una operación distinta de la que realmente aprobaban. En abril de 2026, el protocolo Drift perdió unos 285 millones tras una campaña de ingeniería social que, según los análisis publicados, empezó meses antes en una conferencia, cuando los atacantes se presentaron como una firma de inversión interesada en hacer negocios. Ese mismo mes, KelpDAO perdió unos 292 millones por una configuración que dependía de un único verificador. En el tercer trimestre, Bitget sufrió pérdidas superiores a 350 millones por una vulnerabilidad en un producto de seguridad de un tercero.
La constante no es un error de programación. Es una combinación de personas manipuladas, proveedores con acceso privilegiado y decisiones de configuración que dejaron un punto único de falla. La firma de seguridad Hacken estimó que el 77% de las pérdidas del tercer trimestre de 2026 provino de proveedores y herramientas que estaban fuera del alcance de las auditorías. Y detrás de los golpes más grandes aparece casi siempre el mismo actor: según Chainalysis, grupos vinculados a Corea del Norte robaron 2,020 millones de dólares en 2025, casi seis de cada diez dólares sustraídos en el sector ese año.
| Las cifras del caso
≈ US$6,300 millones: impacto estimado por Binance (US$6,360 millones según TRM Labs).
20 minutos: tiempo en que salió la mayor parte de los fondos.
10 cadenas de bloques afectadas, de Ethereum y Bitcoin a Solana y Polygon.
≈ 2 horas entre el primer movimiento y la suspensión de retiros.
US$2,500 a 3,000 millones congelados por emisores de stablecoins y otros actores.
≈ US$2,400 millones en ether y bitcoin que, sin emisor que los congele, siguen en manos del atacante.
US$6,340 millones reservados por Binance para cubrir a sus usuarios. |
Por qué debe importarle a una empresa que nunca ha tocado un bitcoin
Las lecciones de Binance se trasladan casi sin cambios a la tesorería de cualquier compañía, a un hospital que paga a proveedores o a una institución pública que gestiona fondos. Hay cuatro que merecen atención inmediata.
Primero, los equipos de las personas con acceso privilegiado son parte de la caja fuerte. Una laptop fue la puerta de entrada a miles de millones. Las organizaciones suelen invertir en proteger servidores y bases de datos, pero tratan las computadoras de sus administradores de sistemas, contadores y tesoreros como equipos de oficina comunes.
Segundo, firmar no debe equivaler a autorizar. Entre la solicitud de un pago y su aprobación debe existir un control independiente que verifique destino, monto y razonabilidad. Las listas de beneficiarios autorizados, los límites por período y la doble aprobación para operaciones fuera de patrón son controles antiguos que siguen funcionando, siempre que no dependan del mismo canal que puede estar comprometido.
Tercero, la velocidad de respuesta define el tamaño de la pérdida. Tether congeló 971 millones de dólares 37 minutos después del barrido principal y Circle otros 823 millones tres minutos más tarde. Esa reacción salvó casi la mitad del botín. La pausa de retiros de Binance, en cambio, llegó dos horas después. Las organizaciones necesitan alertas y cortacircuitos automáticos que detengan salidas anómalas en minutos, no protocolos que dependan de convocar a un comité.
Cuarto, cada nueva funcionalidad tecnológica cambia el mapa de riesgo. La herramienta que usó el atacante en Ethereum era legítima y tenía poco más de un año. Lo mismo ocurre con la banca en línea, las integraciones con proveedores o la inteligencia artificial: cada novedad debe pasar por una revisión de controles antes de habilitarse, no después del primer incidente.
El costo va más allá del monto robado
Binance asegura que cubrirá todas las pérdidas y que los fondos de sus usuarios están a salvo. Aun así, los efectos ya se sienten. Quienes tienen saldos en la plataforma no pueden retirarlos al menos durante dos días: para una empresa que mantiene allí parte de su liquidez, eso se traduce en pagos postergados y en un riesgo de contraparte que no aparecía en ningún modelo. La prensa especializada reportó caídas del bitcoin hacia los 76,000–77,000 dólares y liquidaciones por cerca de 1,570 millones de dólares tras el anuncio.
Hay además un riesgo menos visible. Los fondos robados intentarán salir por exchanges, servicios de intercambio y mesas de operaciones en todo el mundo, incluida nuestra región. Una entidad que los reciba, aun sin saberlo, queda expuesta a congelamientos, a observaciones de su supervisor y a daño reputacional. La debida diligencia y el monitoreo de transacciones dejan de ser un trámite y se convierten en la primera línea de defensa.
El ángulo salvadoreño
Desde la reforma de enero de 2025, la aceptación de bitcoin en El Salvador es voluntaria y está limitada a transacciones entre particulares. Pero el ecosistema sigue activo: hay proveedores de servicios de activos digitales registrados ante la Comisión Nacional de Activos Digitales (CNAD), empresas con parte de su tesorería en criptoactivos y comercios que aceptan pagos en bitcoin, muchos de ellos con cuentas en exchanges internacionales.
El marco legal ya ofrece referencias claras. La Ley de Emisión de Activos Digitales y sus reformas exigen a los proveedores registro, medidas de ciberseguridad, prevención de lavado de dinero y protección de los activos de sus clientes. La Ley para la Protección de Datos Personales obliga a notificar las vulneraciones a la Agencia de Ciberseguridad del Estado, a la Fiscalía General de la República y a los titulares afectados. La Ley de Ciberseguridad y Seguridad de la Información, dirigida principalmente al sector público, traslada sus exigencias a los proveedores privados del Estado por la vía contractual. El caso Binance ofrece una vara concreta para medir si los controles locales son proporcionales al riesgo que gestionan.
| Cinco preguntas que toda Junta Directiva debería hacerse esta semana
1. ¿Qué parte de nuestra liquidez depende de un solo banco, exchange o custodio, y cuántos días podemos operar sin ella?
2. ¿Existe un control independiente que valide destino y monto antes de aprobar un pago o una transferencia de alto valor?
3. ¿Tratamos los equipos de quienes tienen acceso privilegiado con el mismo rigor que nuestros sistemas críticos?
4. ¿Cuánto tardaríamos en detener una salida anómala de fondos, y lo hemos probado?
5. ¿Nuestra póliza de seguros cubre el fraude por ingeniería social y las pérdidas en un tercero custodio? |
De la reacción a la resiliencia
La ciberseguridad se sigue tratando con frecuencia como un asunto del departamento de tecnología. Los grandes robos recientes muestran lo contrario: sus causas están en el gobierno corporativo, el control interno, la gestión de terceros y la cultura de cumplimiento. Por eso la respuesta tiene que ser multidisciplinaria.
En HLB abordamos este riesgo en cuatro momentos. Primero, preparar: diagnosticar la exposición real, incluidos los custodios, los proveedores críticos y los accesos privilegiados. Segundo, proteger: diseñar políticas de custodia y autorización de pagos, segregar funciones y fortalecer los programas de prevención de lavado de dinero. Tercero, detectar y responder: monitorear, contar con un plan de respuesta que incluya el componente legal y de comunicación, y ensayarlo con la alta dirección. Cuarto, recuperar: investigar forensemente, rastrear fondos, documentar reclamaciones y gestionar la relación con autoridades. La red HLB International aporta capacidades de ciberseguridad a través de HLB Digital, con un centro de operaciones de seguridad certificado ISO 27001, que se suman a la experiencia local en auditoría, cumplimiento y asesoría legal.
Ninguna organización puede garantizar que no será atacada. Sí puede asegurarse de que un ataque no la tome desprevenida, de que una sola persona o un solo proveedor no basten para vaciar su caja y de que, si algo falla, la reacción se mida en minutos. Esa es la diferencia entre un incidente y una crisis.
Binance publicará en los próximos días su informe técnico definitivo. Vale la pena leerlo con atención. Pero las preguntas que deja el caso no tienen por qué esperar.