Así robaron más de 6 mil millones a Binance: la ruta del dinero y por qué el FBI culpa a Corea del Norte

El jueves 29 de octubre de 2026, entre las 14:05 y las 17:56 hora del centro de México (20:05–23:56 UTC), salieron de las billeteras calientes de Binance más de 6 mil millones de dólares. Binance estima el impacto en unos US$6,300 millones; TRM Labs lo calcula en US$6,360 millones y Elliptic en US$6,430 millones, según el precio que use cada una. Es el mayor robo cripto de la historia: más de cuatro veces el récord anterior, el hackeo a Bybit de febrero de 2025 (≈ US$1,500 millones según el FBI).

Cómo entró

En su comunicado del 30 de octubre, Binance dijo que el incidente «puede involucrar» la laptop comprometida de un ingeniero de DevOps, que dio acceso a un contenedor desde el que se enviaron retiros no autorizados, y que no halló evidencia de que se filtraran llaves privadas. Después reconoció «puntos de intrusión adicionales» y un ataque «complejo»; la causa raíz no está confirmada y Binance promete un informe técnico. TRM cree que se comprometió la infraestructura de firmas de las billeteras calientes.

Según TRM, las salidas empezaron a las 20:05 UTC en XRP Ledger (233.46 millones de XRP), siguieron con 18,270 BTC a las 20:20 y con 612.7 millones de USDT en Tron un par de minutos después. En Ethereum, el atacante usó una delegación EIP-7702 (una función que deja a una cuenta ejecutar el código de un contrato) firmada con la llave de la billetera «Binance 14»: a las 20:24 UTC una sola transacción se llevó 167,464 ETH y 63 tokens, unos US$2,500 millones según Elliptic y CoinDesk. TRM cuenta diez blockchains afectadas y Elliptic, once; a las 23:05 UTC hubo una segunda ola en Avalanche y Polygon.

La carrera contra el congelamiento

Más de la mitad del botín eran stablecoins: US$3,460 millones de US$6,430 millones, según Elliptic. Como sus emisores pueden congelarlas, el atacante corrió a cambiarlas por ETH y TRX aunque perdiera dinero: Elliptic calcula pérdidas de 12 % a 26 % frente al precio de mercado, y TRM describe 325 millones de USDT vendidos vía UniswapX con descuentos de más de 10 %. También dejó 60 millones de USDT en Aave como garantía y pidió prestados 19,762 ETH. En total alcanzó a cambiar unos US$786 millones (Elliptic).

Tether congeló 971.1 millones de USDT en la billetera principal a las 21:01 UTC, 37 minutos después del barrido de Ethereum, y Circle congeló 823 millones de USDC a las 21:04, según TRM. Binance reportó unos US$3,000 millones congelados; Elliptic verificó US$2,850 millones, el 44 % del robo. Congelar no es recuperar: los tokens tienen que quemarse y reemitirse.

La ruta del dinero

Lo que nadie puede congelar lo esparció. Los 18,270 BTC se partieron en 19 billeteras (17 con 1,000 BTC cada una) con una «cadena de pelado», según CoinDesk; al 1 de noviembre seguían ahí, sin pasar por ningún servicio, según Elliptic. El ether llegó a cientos de cuentas nuevas y el atacante vendió más de 130 tokens a cambio de más ETH. En Tron, la billetera principal de lavado hizo 1,113 transferencias entre el 30 de octubre y el 1 de noviembre, con una mediana de 90 segundos entre una y otra; Elliptic dice que casi seguro lo maneja un programa, y que el TRX salió por al menos seis puentes hacia Ethereum. Por THORChain habían pasado unos US$31 millones hacia bitcoin al 31 de octubre.

Según Elliptic (1 de noviembre), el atacante aún controla unos US$3,250 millones que ningún emisor puede congelar, repartidos en más de 800 direcciones: unos 584,000 ETH, 18,327 BTC y 233 millones de XRP. TRM daba US$2,400 millones el 30 de octubre; la cifra sube porque el atacante sigue cambiando tokens por ETH.

Los sospechosos

El sábado 31 de octubre, el FBI atribuyó el robo a Corea del Norte y nombró a TraderTraitor, la misma actividad a la que en febrero de 2025 atribuyó el hackeo a Bybit. TRM lo atribuye con «alta confianza» y señala huellas compartidas: una cuenta fondeada con tres retiros pequeños de Tornado Cash, preparación desde al menos 36 horas antes y firmas conseguidas antes y usadas de golpe. Chainalysis también lo atribuye a TraderTraitor; su evidencia más fuerte fue ver en tiempo real fondos de Binance mezclándose con los del hackeo a Bitget de septiembre de 2026 (≈ US$388 millones). El investigador ZachXBT reportó que ambos llegaron a la misma dirección tras pasar por THORChain; Elliptic advierte que esa coincidencia es una porción pequeña. Ningún gobierno ha atribuido oficialmente el caso Bitget.

Según Chainalysis, Corea del Norte robó al menos US$2,020 millones en criptomonedas en 2025. El equipo multilateral que vigila las sanciones de la ONU (MSMT) dice que esos fondos se desvían a sus programas de armas; que este dinero en particular vaya a ese destino no está confirmado.

Qué pasa con los usuarios

«Nuestros usuarios no cargarán con el impacto financiero de este incidente», dijo el 31 de octubre Richard Teng, co-CEO de Binance. La empresa repuso los activos con su propio dinero (el fondo SAFU en bitcoin, el fondo de seguro de futuros y su tesorería): 90 % el 31 de octubre y «aproximadamente 95 %» el 1 de noviembre, según Teng en X. No es dinero recuperado del atacante. El domingo 1 de noviembre Binance empezó a reabrir retiros por fases, con bitcoin primero.

Lo que no se sabe

La causa raíz técnica, la evidencia que respalda la atribución del FBI (que no la publicó) y el destino final del dinero. Las cifras del robo, lo congelado y lo que retiene el atacante cambian según quién mide y a qué hora.