El robo más grande de la historia de las criptomonedas ya tiene autoría oficial. El FBI atribuyó el ataque contra Binance, valorado en unos 6.300 millones de dólares, a TraderTraitor, la unidad de guerra cibernética patrocinada por el Estado norcoreano que lleva años persiguiendo exchanges y carteras institucionales. La noticia llegó el domingo 1 de noviembre, dos días después de que la compañía reconociera que un contenedor de servicio comprometido había emitido retiradas no autorizadas en diez redes distintas. El caso se ha contado en tres piezas: la cronología de la noche del 29, la primera estimación de daños y la lectura sobre lo que pierde el sector.
La cifra no es un detalle contable. Binance ha reservado internamente alrededor de 6.340 millones para cubrir los saldos afectados y asegura haber repuesto el 90% del total con cargo al Secure Asset Fund for Users, al fondo de seguros de futuros y a tesorería corporativa. Queda un 10% en tokens menos líquidos, la parte del botín que no se puede recomponer comprando en el mercado sin mover el precio de esos activos.
Para el usuario español que opera en exchanges centralizados, el episodio tiene una lectura inmediata: la custodia dejó de ser un problema de contraseñas y pasó a ser un problema de arquitectura interna. Un ingeniero de DevOps con acceso a un contenedor mal segmentado bastó para vaciar billeteras en XRP Ledger, Ethereum, Bitcoin, Tron, Solana y seis redes más. La cadena de fallos fue corta y aburrida, que es como suelen ser los incidentes caros. La concentración tiene además un precio que nadie factura hasta que toca pagarlo: custodiar en un solo sitio simplifica la operación diaria, multiplica el daño de un fallo interno y deja a miles de usuarios sin acceso al mismo tiempo.
La atribución que faltaba
Hasta el viernes 30 de octubre, la única pista pública era un informe de TRM Labs que señalaba a Lazarus por parecido con robos anteriores. La confirmación del FBI cambia el estatus del caso, porque TraderTraitor tiene nombre propio en las listas de sanciones estadounidenses y eso abre la puerta a medidas legales que no dependen de la investigación privada. Con la autoría formal llega también la maquinaria que ya se activó en casos anteriores: incautaciones, sanciones a direcciones de mezcladores y presión sobre los servicios de intercambio que reciban esos fondos.
La velocidad del anuncio importa. En el hackeo de Bybit de 2025, la atribución tardó días y el mercado descontó el peor escenario durante una semana completa. Aquí la etiqueta de Corea del Norte llegó en menos de 72 horas y el precio del bitcoin subió un 0,7% hasta 78.120 dólares, con el ether en torno a 2.268 dólares. El mercado decidió que el problema era de Binance y no del sector.
Esa lectura tiene sentido a corto plazo y probablemente sea prematura. Cuando el responsable es un actor estatal, la recuperación de fondos es casi imposible y la parte que se congela nunca vuelve completa. Lo que el mercado premia no es la resolución del caso, sino la certeza sobre quién paga la factura. Y esa certeza la dio la propia compañía el sábado, al anunciar que los usuarios no asumirían el impacto financiero.
La memoria del usuario se acorta en cuanto el dinero vuelve a la cuenta, y la plataforma recupera volumen antes que reputación. Ese orden conviene al negocio y no dice nada sobre la seguridad. La certeza que llegó el sábado separa dos cosas que se confunden a menudo: cubrir el agujero contable y garantizar que el dinero del usuario siga disponible cuando quiera moverlo.
¿Cómo se repone un agujero de 6.300 millones?
Reponer el 90% de un botín de este tamaño en menos de 48 horas exige tres fuentes de liquidez. La primera es el SAFU, el fondo de emergencia que Binance mantiene con 1.000 millones en activos estables y que funciona como colchón declarado desde 2018. La segunda son los fondos de seguros de derivados, reservas que la compañía acumula con parte de las comisiones de futuros.
La tercera es tesorería corporativa, la parte opaca del ejercicio. Una firma que cotiza en mercados privados no tiene que detallar cuánto de su propio balance dedica a tapar un agujero, y eso deja una pregunta abierta sobre la salud de sus reservas operativas. La cifra de 6.300 millones que la compañía reconoció el 30 de octubre sirve de base para todos los cálculos que vienen después. El movimiento se cerró con una decisión que también tiene coste: los retiros quedaron suspendidos desde la noche del 29 y solo se reabrieron el domingo, con más de 48 horas de bloqueo para los clientes.
Ese bloqueo es la parte del episodio que más afecta al usuario de a pie. Un exchange puede tener fondos de sobra y aun así impedirte sacar los tuyos durante dos días, porque la prioridad es la contabilidad, no tu liquidez. Para quien usa la plataforma como cuenta corriente cripto, el susto real no fue el hackeo, sino descubrir que el acceso a su propio dinero depende de que la empresa cierre una cuadratura interna.
La distinción entre solvencia y disponibilidad se aprende a golpes, y casi siempre en el peor momento. Un balance cuadrado y una puerta cerrada pueden coexistir sin contradicción técnica, aunque para el cliente la diferencia sea difícil de distinguir en caliente.
¿Qué cubre la prueba de reservas y qué deja fuera?
Binance tomó una nueva instantánea de activos a medianoche GMT del sábado para actualizar su prueba de reservas. La lista de tokens incluidos es amplia y cubre las diez redes afectadas, con un respaldo mínimo de uno a uno comprometido una vez esté disponible la prueba completa.
- Bitcoin (BTC) y ether (ETH)
- USDT, USDC, USD1 y RLUSD
- BNB, solana (SOL), XRP y zcash (ZEC)
El detalle técnico que conviene leer con lupa es el alcance. Una prueba de reservas demuestra que los pasivos declarados están cubiertos por activos en un momento concreto. No demuestra que esos activos estén libres de gravámenes, ni que las claves estén segregadas de verdad, ni que las billeteras frías no compartan custodia con las calientes. Ni cubre el 10% ilíquido ni dice nada de los pasivos fuera de balance.
Hay una asimetría que los usuarios de exchanges suelen ignorar: la prueba se publica después del incidente, con el perímetro ya reordenado. Quien mira el informe ve lo que la empresa quiere enseñar y en el momento en que quiere enseñarlo. Es mejor que nada y sigue siendo insuficiente como garantía jurídica, porque el titular de los activos sigue siendo la plataforma y no el cliente.
Para los lectores que llevan años pidiendo una prueba de reservas con compromisos criptográficos verificables, el episodio deja una lección incómoda. Diez redes afectadas, un contenedor y una automatización comprometida. Ninguna de esas piezas se detecta mirando un hash de merkle.
El rastro de los 3.000 millones congelados
En paralelo a la reposición, Binance coordinó con socios del sector la congelación de unos 3.000 millones de dólares, casi la mitad de lo sustraído. La cifra suena a victoria y conviene ponerla en contexto: fondos congelados no son fondos recuperados. El dinero existe, está identificado y sigue perteneciendo, en teoría, a los clientes, pero su devolución depende de procesos judiciales que en casos anteriores han tardado años y han devuelto una fracción.
La otra mitad probablemente ya no está en formato reconocible. El patrón de Lazarus en operaciones previas combina mezcla rápida, conversión a activos estables en cadenas con poca vigilancia y transferencias a infraestructura de exchanges sin controles estrictos. Con 6.300 millones en juego, el rastro se convierte en un trabajo de meses para firmas de análisis forense que cobran por hora y compiten por atribuirse el hallazgo.
Los exchanges europeos que operan bajo MiCA tienen una obligación adicional que casi nadie ha mencionado. Deben aplicar medidas de diligencia reforzada sobre direcciones que operan desde jurisdicciones de riesgo y reportar operaciones sospechosas en plazos cortos. Si esos 3.000 millones intentan pasar por una plataforma regulada en la Unión Europea, el rastro debería quedar registrado.
Ese rastro es hoy la única vía realista de recuperación. No hay rescate, no hay seguro público y no hay tribunal rápido para un botín que viaja en segundos de una cadena a otra sin pedir permiso a nadie.
El estándar de custodia debe evolucionar
Binance sobrevivirá al episodio y probablemente recupere la confianza de sus clientes en semanas, como ha ocurrido en cada crisis anterior. Lo que no vuelve atrás es la evidencia acumulada sobre cómo se rompen estas plataformas. No las tumban ataques teóricos ni vulnerabilidades criptográficas, sino accesos internos mal segmentados y procesos que confían en una sola pieza.
El contraste con el robo a Bybit de 2025 es útil porque entonces el vector fue un proveedor externo con acceso a firmas. Aquí fue infraestructura propia. Dos años, dos lecciones y el mismo patrón de fondo: la liquidez concentrada tienta, la operación se optimiza para velocidad y la seguridad se añade después.
Quien guarde cantidades relevantes en un exchange debería extraer algo más que una anécdota. La pregunta correcta no es si la plataforma tiene fondo de emergencia, sino que cuánto tarda en devolverte el acceso cuando algo falla y quién firma la operación cuando hay que mover 6.000 millones en una noche. Si la respuesta a cualquiera de las dos es borrosa, la cifra del hackeo no es el dato importante del fin de semana.
