📻 Versión en audio: si prefieres escuchar en vez de leer, el resumen del artículo está justo aquí arriba.
El jueves 29 de octubre, a las 16:30 de la tarde de Nueva York, dinero empezó a salir de las billeteras calientes de Binance, las que la exchange usa a diario para mover fondos. Una transacción en Ethereum barrió de una sola vez unos 167.464 ETH y 1.600 millones de USDT. Cuarenta minutos más tarde, una única dirección receptora acumulaba unos 3.500 millones de dólares. A las 18:22 Binance pausó los retiros, y hacia las 20:00 la plataforma de análisis on-chain Arkham ya tenía un grupo de carteras etiquetado como binance-hacker-1029, con más de 5.800 millones de dólares adentro.
¿Cuánto se perdió? Depende de a quién le preguntas
Las cifras están vivas y no coinciden. Chainalysis estima poco más de 5.900 millones robados, unas cuatro veces el hackeo de Bybit de 2025. Binance reconoció primero unos 2.540 millones «verificados» congelados y luego subió la cifra a 3.000 millones, entre los bloques que aplicaron Tether, Circle, Ripple y los consejos de seguridad de varias redes. Lo grave es la proporción: el botín sospechado ronda el 4% de todos los activos del exchange más grande del planeta, con 335 millones de usuarios revisando si su saldo seguía ahí. Changpeng Zhao, su mayor accionista, calificó el evento directamente como un hackeo y prometió cubrir todas las pérdidas; el post-mortem oficial todavía no sale.
Nadie robó la llave: secuestraron la máquina que firma
Aquí está el detalle que separa este incidente del clásico «se filtró la private key«. Blockaid, la firma que está siguiendo el caso, sostiene que la llave privada nunca salió: el atacante manipuló la infraestructura de firma de una billetera caliente de Binance y la hizo autorizar transacciones maliciosas como si fueran legítimas. Financió la operación con Tornado Cash y, horas antes, ensayó la misma toma de control sobre billeteras de prueba, con todo visible en la blockchain si alguien lo hubiese mirado. Y cuando obtuvo acceso, no lo usó una sola vez: volvió a drenar más de una hora después, ya con dinero nuevo depositado en el mismo monedero.
Quien administra servidores, sea por pega o por hobbie, debería quedarse con esa parte. El atacante tenía un ambiente de pruebas y lo usó. La mayoría de nosotros desplegamos directo a producción y ensayamos después que el desastre. El tipo que se llevó 6.000 millones hizo staging, midió resultados y lo replicó en caliente. Es humillante, y encima todo el patrón estaba registrado on-chain en tiempo real: solo faltaba alguien mirando.
El botín también operó, y la cadena demostró que es censurable
Todo ocurrió rápido. Mientras huía, el hacker dejaba parte del robo como colateral en Aave: unos 60 millones de USDT para pedir prestados cerca de 19.762 WETH, unos 44,6 millones más. Y mientras, Tether y Circle congelaban de inmediato unos 971 y 823 millones respectivamente. La paradoja es dura: casi la mitad del robo quedó atascada justo porque los emisores de stablecoins pueden, simplemente, apagar los fondos de cualquiera. La misma propiedad que hace estas monedas tan cómodas para una exchange es la que cortó el escape. Si todavía alguien defendía la pureza inmutable de la cadena, este caso la refuta en ambos sentidos: el Estado no hizo falta, bastaron un par de empresas con botón de pausa.
Lo que me llevo
La lección no es «no guardes crypto en una exchange». Es más incómoda: el componente que autoriza acciones —la firma, las API keys, los tokens de servicio— es parte viva del perímetro de seguridad y hay que monitorearlo como tal. Binance tardó casi dos horas en pausar los retiros mientras las anomalías eran visibles en la blockchain desde el primer minuto. En mi pega he pasado por alarmas de accesos raros que nadie leyó a tiempo, y el costo fue mucho menor, pero el patrón es idéntico: la señal estaba; faltó quien la leyera.
Apuesto a que, cuando salga el post-mortem, la industria entera se pone a revisar sus sistemas de firma, HSM y esquemas MPC. Porque si a la exchange más grande del mundo la hackearon sin robar ninguna llave, el resto de nosotros tenemos un problema de arquitectura parecido, con presupuestos bastante menores.
Fuente de inspiración: Binance pauses withdrawals as hackers suspected of stealing billions in crypto
