Coinbase, GENIUS, Bit2Me y el hack de Binance: las claves de la semana cripto
El jueves 29 de octubre, a las 20:20:59 UTC, una cartera caliente de Binance ejecutó un permiso que no debía existir. Cuatro minutos después habían salido 167.464 ether y 1.615 millones de USDT hacia una dirección recién creada, y en doce minutos diez carteras más repartidas por cuatro redes estaban vaciándose. La semana que empezó discutiendo quién puede emitir dinero estable terminó preguntando quién puede firmar por un exchange.
El resto del calendario siguió su curso. Las stablecoins cerraron en 299.998 millones el lunes, Coinbase dio hasta el 30 de octubre para retirar USDT y otros trece activos en Europa, la OCC fechó los permisos de emisión bajo GENIUS y la CNMV autorizó el primer mercado DLT español. El bitcoin había abierto la semana por encima de los 80.000 dólares y la cerró por debajo de 78.000, con BNB perdiendo más del 7% en un día. La cronología del ataque y las congelaciones están en las dos piezas que publicamos esta semana: el posible ataque a Binance y la congelación de 2.367 millones.
El perímetro legal se cierra con fechas para emisores y custodios, mientras un permiso firmado por la cartera equivocada vació la mayor reserva caliente del sector. Lo que cambió esta semana no es el precio, es la ubicación del riesgo.
El hackeo que cerró la semana
El vector tiene poco de exótico y mucho de descuido. Según el análisis de International Cyber Digest, el atacante reunió cincuenta autorizaciones firmadas con la clave de Binance 14, una por cada nonce entre 18.914.775 y 18.914.824, y las empaquetó en una sola transacción. La cartera seguía pagando retiradas, así que nadie podía saber qué número estaría activo: cuarenta y nueve sobraron y una encajó.
ICD habla sobre el hackeo a Binance en su cuenta de X
EIP-7702 resultó letal en manos operativas por lo que vino después. La cartera ejecutaba el código del atacante y heredaba sus permisos sobre otras. A las 20:24:23 salieron 167.464 ETH, 1.615 millones de USDT y sesenta tokens más hacia una dirección sin historial, y Binance 14 se quedó con un ether de saldo.
La cartera 34 perdió otros 780 millones en USDC. La contención, en cambio, fue rápida. Tether bloqueó 1.567 millones de USDT y Circle 823 millones de USDC, mientras Ripple congelaba unos 200 millones en RLUSD y World Liberty Financial 27 millones en USD1. A las 23:22 UTC Binance fijó su primera cifra propia, 2.540 millones congelados, con aviso de que subiría.
El compromiso llegó a las 00:04 del viernes. La co-consejera delegada Yi He, anunció que el exchange cubrirá todas las pérdidas del hackeo y mantiene suspendidos depósitos y retiradas mientras revisa la seguridad, congela fondos y colabora con las autoridades. Habrá informe técnico cuando cierre la investigación.
La aritmética no se resuelve con un comunicado. Con 2.540 millones bloqueados y una horquilla de 5.570 a 5.800 fuera de las carteras, el hueco pasa de 3.000 millones. El SAFU, el fondo que Binance convirtió en bitcoin, ronda los 1.000.
Las diez claves de la semana
Las stablecoins se quedan en 300.000 millones. Doce meses de meseta con Tether en el 60,74% del mercado y 182.423 millones en USDT, mientras USDC cae 4.690 millones en un mes. El total agregado bajó un 0,7% en la semana, hasta 299.998 millones el lunes.
Coinbase deja 14 criptoactivos fuera de Europa. El plazo para retirarlos vence el 30 de octubre y afecta a USDT, PYUSD, USD1, DAI y PAXG, entre otros; lo que quede se convierte automáticamente a USDC. La plataforma atribuye la decisión a los requisitos de MiCA.
La OCC pone fecha a las stablecoins de pago. Un folleto del 26 de octubre anima a los bancos comunitarios a pedir permiso para emitir bajo la ley GENIUS, en su nombre o con una filial. A partir del 18 de enero de 2027 solo un emisor autorizado podrá hacerlo, y todavía no se aceptan solicitudes.
Ripple suma un banco fiduciario. La OCC aprobó Ripple National Trust Bank, la entidad que gestionará las reservas de RLUSD y otros servicios bajo supervisión federal. La solicitud se presentó en julio de 2025, la aprobación condicional llegó en diciembre y el proceso se cerró esta semana.
Schwab abre lista de espera mientras los ETF pierden 909 millones. Schwab Crypto ofrecerá compraventa de bitcoin y ether desde Charles Schwab Premier Bank, no desde las cuentas de corretaje. En paralelo, los fondos al contado acumularon dos semanas de salidas netas por 909 millones de dólares.
Las cinco primeras claves comparten el mismo patrón: cada anuncio mueve antes el perímetro legal que el precio. Lo que ayer era un servicio, esta semana es una licencia con fecha de caducidad y un depositario con nombre propio.
Tokenización, licencias y una cadena apagada
Bit2Me consigue licencia de la CNMV. Bit2Me STX podrá operar un sistema de negociación y liquidación en blockchain bajo el régimen piloto europeo de infraestructuras DLT. La primera emisión está prevista para diciembre: un bono corporativo tokenizado de Valorix por un millón de euros.
Janus Henderson lleva el Nasdaq-100 a Stellar. El fondo JQQQ emitirá sus participaciones como tokens en la red, con Centrifuge como plataforma, y se dirigirá a inversores elegibles de fuera de Estados Unidos. La gestora se suma a Franklin Templeton y Spiko en el registro de participaciones.
Singapur conecta el dinero tokenizado con Malasia y Tailandia. Bank Negara Malaysia y el Banco de Tailandia se incorporaron el 23 de octubre a BLOOM, la iniciativa de la MAS que busca aceptar, intercambiar y liquidar depósitos tokenizados y stablecoins reguladas sin acuerdos bilaterales.
CLARITY baja el tope a 50 millones al año. Cynthia Lummis reconoció el 25 de octubre que la exención de Regulation Crypto queda en 50 millones anuales, con un máximo vitalicio de 200 millones por emisor, después de que los demócratas votaran en contra.
Initia apaga la red. La capa 1 detuvo mainnet y todos sus rollups a las 15:41:30 UTC del viernes 23 de octubre, catorce minutos después de que un analista avisara del ataque, y trece horas más tarde seguía sin explicación técnica del exploit con tokens.
La IA se financia en bolsa y deja de ser promesa
Anthropic presentó su formulario S-1 ante la SEC para cotizar en el Nasdaq con el ticker ANT, con 16.300 millones de dólares de ingresos en el primer semestre de 2026 y una pérdida neta de 80.700 millones, de los que unos 72.400 corresponden a un cargo contable por revalorización. Meta pidió 95.000 millones en bolsa para pagar su inversión en inteligencia artificial, y GPT-6.1 Terra llegó a la mitad de precio. El tono del sector cambió en una semana: ya no se vende capacidad futura, se financia capital con historial de pérdidas.
El hallazgo técnico de la semana fue otro. OpenAI aseguró que sus modelos han refutado la hipótesis del tiempo exponencial, una conjetura de la que cuelgan cientos de artículos de informática teórica, y publicó la demostración en Lean para que cualquiera pueda buscarle las costuras. Es la pieza de IA más leída de los últimos siete días, con 94 visitas. La noticia importa menos por el resultado que por el método: el repositorio se puede auditar, cosa que no ocurre con casi ningún anuncio de modelos.
Suecia vetó ChatGPT y Claude en el puesto de trabajo y dejó solo Copilot. Nanbeige 4.3 33B, en cambio, se publicó con licencia Apache 2.0 y 524.288 tokens de contexto: el mismo día, dos formas opuestas de repartir la confianza en el mismo modelo.
Ciberseguridad, la semana de los parches que llegan tarde
El hackeo de Binance se llevó los titulares, pero la semana trajo además su propia racha de vulnerabilidades con fecha. Node2Shell es el nombre que le puso el equipo que el 22 de octubre convirtió un flujo Brotli mal formado en ejecución remota sin credenciales. La escritura fuera de límites vive en el decodificador de Brotli de Google, quedó registrada como CVE-2026-111497 con 9,2 de CVSS v4 y obligó a reconstruir binarios en media infraestructura web. Microsoft publicó parches fuera de banda para .NET 8.0.33, 9.0.22, 10.0.14 y la RC3 de la 11, sin esperar al martes de parches. Un despliegue en fin de semana cuesta dinero, y las empresas solo lo aceptan cuando esperar sale más caro.
La cadena de suministro aportó el resto. LiteLLM 1.107.0 pasó menos de dos horas en PyPI, entre las 11:39 y las 13:23 UTC del 21 de octubre, con siete wheels que instalaban un ladrón de credenciales al arrancar Python, y las imágenes de Docker Hub y GHCR siguieron sirviendo el artefacto casi tres horas después. Check Point documentó Yoba, una campaña que usa un repositorio de GitHub llamado «ChatGPT para escritorio» con firma digital válida de OpenAI para instalar un minero. Y el CVE-2026-110936 de Siemens Software Center entró el 20 de octubre en el catálogo de vulnerabilidades explotadas de CISA, con plazo federal de parcheo hasta el 3 de noviembre.
En los datos, Capcom reconoció 11.774.247 registros afectados y Solflare dejó dos días sin recompensas a quienes delegan en su validador por un fallo en un proveedor externo. El error nunca estuvo en la red, fue un tercero con una mala semana.
Tecnología, la memoria sube y el kernel frena
El precio de contrato de la DRAM sube en torno a un 20% en el trimestre que empieza, después de un segundo trimestre que rozó el 80% y un tercero cerca del 40%. La causa no está en los ordenadores domésticos: los centros de datos que entrenan y sirven modelos compran memoria por palés y Samsung, SK Hynix y Micron han desplazado su capacidad hacia ahí. Fue el cuarto artículo más leído de la semana en la web, con 129 visitas, y el que mejor resume el coste real de la IA.
En el kernel, la semana fue de conservación. ext4 estrena ruta de entrada y salida con IOmap para escrituras grandes en Linux 7.4, un cambio que entró la noche del 25 al 26 de octubre. Windows 11 26H2 alcanzó disponibilidad general según el panel de estado del 21 de octubre, y Python retiró el 19 de octubre la PEP 836 que iba a convertir su JIT experimental en pieza soportada del intérprete, por falta de recursos de sus autores.
Framework triplicó su donación a CachyOS, de 250 a 850 dólares al mes, y NVIDIA publicó los requisitos de CUDA para RISC-V tras anunciarlo en julio de 2025. El hardware abierto y el software libre ganan mecenas pequeños y pierden atajos grandes, pero sigue avanzando rápido.
Lo que cambia para el mercado
El perímetro se está cerrando por la puerta de las licencias, no por la de los precios. Coinbase usa MiCA para retirar activos, la OCC convierte GENIUS en un permiso con fecha y pena criminal, la CNMV ya tiene un mercado DLT autorizado en España y Ripple pasa de emisor de stablecoin a banco fiduciario supervisado. Cada una de esas piezas reduce el espacio de quien opera sin estructura, y ninguna mueve la cotización del lunes.
El hackeo ilustra el mismo cierre por otra vía. Un emisor necesita licencia para crear dólares digitales y un banco fiduciario necesita aprobación para custodiarlos, pero la firma que mueve las reservas de un exchange no pasaba por ninguna de esas puertas.
Iba atada a un nonce y a un motor de reglas que no puede leer lo que autoriza. La próxima ronda regulatoria va a mirar ahí, porque el dinero con permiso se perdió igual que el dinero sin él.
Quién
Qué cambia
Fecha
Coinbase
Retirada de 14 criptoactivos en Europa por MiCA
30 de octubre
OCC (ley GENIUS)
Solo un emisor autorizado podrá emitir stablecoins de pago
18 de enero de 2027
Ripple
Banco fiduciario aprobado para gestionar reservas de RLUSD
Aprobado esta semana
CNMV / Bit2Me STX
Mercado de acciones y bonos tokenizados en el piloto DLT
Primera emisión en diciembre
CLARITY
Exención con tope de 50 millones al año y 200 vitalicios
Sin fecha de voto
La meseta de las stablecoins encaja con ese dibujo. Cuando el dinero estable deja de crecer, el negocio se traslada del emisor al que cobra por moverlo, y ahí los permisos valen más que la cuota. La cuota de Tether no se mueve desde hace un año; lo que se mueve es quién puede custodiar, liquidar y convertir.
Qué vigilar la próxima semana
La reapertura de Binance. Los depósitos y las retiradas siguen suspendidos desde las 00:04 del viernes, y el informe prometido dirá si el acceso a las firmas quedó cortado o solo parcheado.
El 3 de noviembre termina el plazo federal de Siemens. CISA incluyó el CVE-2026-110936 el 20 de octubre y la explotación con DLL sideloading ya está en marcha.
La nueva fecha de Glamsterdam en Hoodi. La Fundación Ethereum aplazó la activación del 26 de octubre por las interacciones de EIP-8037 con contratos de mainnet y aún no ha publicado el reemplazo.
Las primeras solicitudes de stablecoin bajo GENIUS. La OCC todavía no acepta peticiones, y el sector espera la ventanilla para calcular el coste de emitir en Estados Unidos.
El siguiente tramo de precios de la DRAM. Si el cuarto trimestre confirma otro 20%, el encarecimiento llegará a los portátiles antes que a los centros de datos.
Cuatro de esas cinco fechas se deciden en un regulador, en un catálogo de vulnerabilidades o en una fábrica de memoria, y todas llegan con semanas de antelación. La quinta se decide dentro de Binance y no tiene calendario: depende de cuántas carteras queden por reautorizar. La información útil de la semana no fue el movimiento de un precio, fue qué días dejaron de estar disponibles.
La fotografía que deja el periodo es incómoda. Un decodificador de compresión tumbó media web en cinco días, un proveedor de staking dejó a una cartera sin recompensas y un permiso firmado por la cartera equivocada drenó la mayor reserva caliente del sector en cuatro minutos. El riesgo se ha mudado: ya no vive en quien no tiene permiso, sino en quien lo tiene y confía en la pieza que nadie revisó.
