Mercados, WordPress y CISA: las claves de la semana cripto

El ataque a Mercado Bitcoin no vació una cartera, vació decenas de miles de direcciones de depósito a lo largo de varios días. El rastro que reconstruyó Bitquery contabiliza 36.042 direcciones de Ethereum sin saldo y unos 48,6 millones de dólares fuera de la plataforma brasileña. Esa cifra no equivale a otros tantos clientes, pero mide lo que de verdad falló: cuántos puntos de la infraestructura de custodia podían autorizar movimientos.

Ese incidente ordenó buena parte de la semana que va del 31 de octubre al 7 de noviembre. Circle y Tether congelaron unos 2.600 millones del botín del asalto a Binance, el bitcoin perdió los 76.000 dólares en el peor día del Nasdaq desde marzo de 2020 y un fallo del núcleo de WordPress entró en el catálogo de vulnerabilidades explotadas de la agencia de ciberseguridad de Estados Unidos, con tres días de plazo para las agencias federales.

El hilo común no está en la cotización. Está en dónde vive ahora el riesgo. Un emisor privado inmoviliza 2.600 millones en minutos, una actualización del core abre una ventana de ejecución de código en cualquier web del mundo y la única ley de stablecoins con fecha firme se aplica el 18 de enero de 2027. Lo que cambió esta semana fue el mapa de quién puede parar el dinero y quién puede moverlo.

El botín se movió de sitio

Mercado Bitcoin confirmó el 2 de noviembre un incidente en uno de sus sistemas y suspendió depósitos y retiradas. La reconstrucción de Bitquery mostró dos fases: salieron fondos de las carteras operativas expuestas a internet y después el atacante vació las direcciones de depósito.

En Ethereum contabilizó 36.042 direcciones vaciadas con unos 266.000 dólares en conjunto. La plataforma brasileña cifra el botín en 48,6 millones y sostiene que repondrá los activos afectados con recursos propios. El servicio vuelve de forma gradual desde el lunes 9 de noviembre, a través de la web, sin fecha para el resto, y la pregunta que queda abierta es operativa: cómo se pasa de un sistema comprometido a decenas de miles de direcciones vaciadas.

El caos toca las stablecoins

La contención llegó del lado de las stablecoins. Circle congeló unos 1.100 millones de dólares en USDC y lo comunicó el 5 de noviembre, mientras Tether había bloqueado más de 1.500 millones en USDT en los treinta minutos siguientes al asalto del 29 de octubre. Entre ambas suman unos 2.600 millones inmovilizados en poco más de una semana, la mayor intervención de un emisor privado que ha registrado el sector.

Conviene mirar ese botón con las dos manos. Circle repitió en su comunicado que puede bloquear direcciones y que no decide de quién es el dinero, algo que ningún usuario discute hasta que le toca. El mecanismo no necesita una orden judicial para incluir una dirección en la lista, y el sector lleva años discutiendo si eso es cumplimiento eficaz o una autoridad de facto sobre fondos ajenos.

Corea del Norte se lava las manos

Kim Yo-jong negó, en dos comunicados distribuidos por KCNA en tres días, que Corea del Norte esté detrás del robo de 6.300 millones a Binance, y calificó de provocación política la atribución del FBI del 31 de octubre.

Fue la primera vez que responde en persona a una acusación de ciberdelito y lo hizo sin amenazar con represalias. El segundo comunicado dedicó buena parte del texto a la reserva estratégica de bitcoin de Estados Unidos, un giro que nadie esperaba en una nota sobre un robo.

En el plano corporativo, el fundador de OKX acusó a CZ de minimizar el robo y CZ señaló en X a cuentas afines a OKX e Hyperliquid. Los clientes retiraron 4.649 millones del exchange en los días posteriores. Nada de eso mueve el precio, pero todo alimenta la misma discusión: quién responde cuando el dinero se pierde y quién decide cuándo se congela.

Las diez claves de la semana

Fuera del botín, el resto del calendario dejó decisiones con consecuencias medibles sobre el precio y el parque instalado. En las claves que cerraron octubre el eje fue MiCA y la OCC; ahora el peso se reparte entre el calendario regulatorio y los sistemas que ya están en producción.

1. El bitcoin tocó los 75.463 dólares en Bitstamp el 5 de noviembre y cerró cerca de 75.900, el nivel más bajo desde el 16 de septiembre. El Nasdaq cedió un 5,5 % y los semiconductores un 12 %, los peores días de ambos desde marzo de 2020, con más de 1.000 millones liquidados y 211.000 cuentas afectadas.
2. La SEC envió a la Oficina de Gestión y Presupuesto su propuesta de regla para brókeres que custodian criptoactivos. El texto adapta los requisitos de capital y la separación de activos de clientes a un mercado que ya opera, no decide qué tokens son valores y sigue en revisión, sin fecha de publicación para comentarios.
3. La CFTC abrió dos marcos, Regulación CTX y Regulación CAM, con comentarios hasta el 14 de diciembre y una vía de registro a medida para exchanges. También dio 30 días a los mercados de futuros para eliminar restricciones geográficas, lo que afecta a las plataformas que segmentan por estado.
4. El OCC confirmó que la regla final de la GENIUS Act se aplica el 18 de enero de 2027, con 721 páginas y una parte 15 nueva del código federal. Las stablecoins de pago tendrán emisor autorizado y la CLARITY Act se quedó en 49 votos frente a 50 sin volver al Senado.
5. Ethereum movió su salto postcuántico a diciembre de 2028 en la apertura de Devcon 8, de la mano de Justin Drake. La hoja de ruta de la Fundación sigue diciendo 2029, la condición es entregar tres actualizaciones después de Glamsterdam en 24 meses y la migración de monederos no tiene fecha.
6. WordPress entró en el catálogo de CISA con el CVE-2026-119977, una condición de carrera de 8,1 que solo existe mientras el core se actualiza y que alcanza a las versiones 4.7 a 7.1.3. El plazo federal venció el 6 de noviembre y actualizar cierra la ventana, aunque no borra los archivos que quedaron en la carpeta de subidas.
7. CISA añadió doce vulnerabilidades de diez fabricantes en diez días, siete con plazo de tres días y tres sin corrección enlazada. En octubre había sumado 33 en un mes completo, así que el cambio no está en el número sino en la prisa por desplegar.
8. BTCPay Server confirmó que robaron bitcoin y litecoin de monederos calientes en instalaciones con la versión 2.4.1 o anteriores. El análisis on-chain cifró 1,62 millones de dólares en 682 barridos, con el 87 % del dinero saliendo en una sola oleada del 1 de noviembre. La corrección existía desde el 7 de agosto.
9. OpenAI publicó una auditoría con agentes de IA que encontró 948 fallos de escalada local de privilegios en el núcleo de Linux, con explotación demostrada y parches revisados por personas. Revisó 2,8 de los más de 40 millones de líneas y costó 1,21 millones de dólares en uso de API.
10. Ondo Finance superó los 4.000 millones en activos tokenizados sobre un mercado de 39.000 millones sin stablecoins. En paralelo, cinco bancos fundaron en Singapur la GL1 Org para la liquidación entre plataformas. El comunicado sigue dejando el mismo dato incómodo: 565.000 tenedores en todo el mundo.

Ciberseguridad, la semana en que el kernel pesó más que el hackeo

El CVE-2026-98432 fue la pieza más leída de la semana en la web, con 603 visitas. Es un use-after-free en el código TCP de IPv4 que llegó al kernel en 2015, que puntúa 9,8 y que afecta a todas las implementaciones desde la versión 4.4.

El 27 de octubre un modelo de investigación interno de Anthropic escribió un exploit que da shell de root a un atacante remoto sin autenticarse, y eso cambia la urgencia más que la puntuación.

El parche llegó a las ramas estables 6.12.113, 6.18.56, 7.2.10 y 7.3-rc7. Debian, Oracle, SUSE y Amazon Linux publicaron kernels corregidos para al menos algunas versiones, mientras Ubuntu los tenía en preparación y Red Hat no comprometió fecha para RHEL 8, 9 ni 10. La lectura de la semana añadió un detalle por escrito que faltaba: desde Go 1.24 el runtime activa MPTCP por defecto en los sockets de escucha, y el exploit apunta justo ahí.

La ronda de parches no se quedó en el kernel. Ivanti publicó el 2 de noviembre dos vulnerabilidades en Connect Secure que se encadenan con un bypass de autenticación corregido en octubre y dejan ejecución de código como root, con más de 5.000 instancias expuestas según Shadowserver. FreeSWITCH sacó un 9,8 con prueba de concepto pública y Apache Juneau acumuló cinco fallos puntuados con el máximo, todos en la misma jornada en que un boletín recopiló 202 alertas.

La cifra que ordena la semana no es ninguna puntuación. Es el plazo de tres días que CISA reserva para los fallos con ataques en curso, porque obliga a desplegar sin margen para probar en un entorno de réplica. Un administrador con Ubuntu en producción tenía delante un fallo público, un exploit funcional y ningún parche oficial, y esa combinación explica mejor el tráfico del martes que cualquier titular sobre el robo a Binance.

Tecnología, el software empieza a adelgazar

Windows 11 26H2 cumple su primera semana con fallos reconocidos y correcciones parciales. El paquete KB5127936 deja la barra de tareas y las pestañas sin responder, y con 135 visitas fue la tercera pieza más leída del periodo.

El segundo puesto de la semana lo ocupó un proyecto de terceros. Exodus Nexus permite abrir el catálogo de Game Pass en Linux, SteamOS y Steam Deck, con autenticación de Xbox y guardado en la nube, y sus 158 visitas superaron a las 127 de la cobertura del robo a Binance. La lista de juegos compatibles la mantiene la comunidad, así que el resultado depende de las capas que traducen las llamadas del juego.

El MacBook Pro de 14 pulgadas llegó con el chip M6 y un 30 % más de rendimiento gráfico, 24 horas de batería y el mismo precio de 1.999 dólares para el modelo base. Esa continuidad del ticket dice más del mercado que la mejora: la memoria se ha encarecido y Apple decidió absorber el coste antes que subir el escaparate.

Discord anunció lo contrario de un lanzamiento: abandona Electron y reescribe el cliente en Rust. Su director técnico mostró una compilación temprana que consume 290,2 MB de memoria frente al gigabyte o dos que usa la versión actual en el mismo equipo. No hay fecha ni anuncio formal, y esa ausencia es la parte importante: la eficiencia vuelve a ser argumento de producto.

Lo que cambia para el mercado

El calendario tiene una fecha firme y varias propuestas que aún pueden morir. GENIUS ya es ley con reglamento final, mientras la SEC y la CFTC escriben por reglamento lo que el Congreso no aprobó cuando CLARITY se quedó sin votos.

Para un operador en España, el marco europeo sigue siendo MiCA y el estadounidense solo importa si custodia, liquida o emite para clientes de allí. Una regla propuesta no obliga a nadie hasta que se publica, y el sector lleva meses tomando decisiones con textos que todavía no existen.

La diferencia entre una ley y una propuesta no es formal. Una regla de la SEC puede desaparecer con el siguiente cambio de administración, y por eso el sector que espera certeza para 2027 está mirando un texto que todavía no se ha publicado para comentarios. GENIUS, en cambio, sobrevive a las midterms porque se aprobó con votos de los dos partidos y su reglamento ya está escrito.

El mercado de tokens cerró la semana con dos movimientos que apuntan al mismo sitio. Ondo se declara el mayor tokenizador con 4.000 millones sobre 39.000 millones de mercado, y los cinco bancos que fundaron GL1 Org quieren reglas comunes para mover activos entre plataformas. Los dos anuncios vienen de quien tiene interés en que el mercado crezca, así que conviene leerlos como una foto del 5 de noviembre y no como una tendencia cerrada.

¿Qué vigilar la próxima semana?

• La reapertura de Mercado Bitcoin, anunciada de forma gradual desde el lunes 9 de noviembre, dirá si la reposición con recursos propios cubre el hueco completo y qué queda de la operativa minorista.
• El plazo de comentarios de la CFTC cierra el 14 de diciembre, pero las primeras alegaciones de la industria llegarán antes y marcarán si CTX y CAM sobreviven al cambio de mayorías.
• La ventanilla del OCC sigue sin aceptar solicitudes para emitir bajo GENIUS, y el sector necesita ese trámite para calcular el coste real de un emisor estadounidense.
• Las tres actualizaciones de Ethereum posteriores a Glamsterdam tienen 24 meses para llegar si 2028 es algo más que una intención, y Glamsterdam todavía no tiene fecha en Hoodi.
• El informe prometido por Binance sobre el acceso a sus firmas dirá si el problema era una clave filtrada o un motor de reglas que autorizaba lo que no leía.

Cuatro de esos cinco frentes se deciden en un regulador o en un calendario de ingeniería, y todos llegan con semanas de aviso. El quinto depende de una investigación interna que nadie ha fechado. La información útil de la semana no fue el movimiento de un precio, sino qué días dejaron de estar disponibles y quién puede decidir que un token no se mueva.

Queda una tensión sin resolver. Los emisores de stablecoins actuaron como una autoridad de facto y pidieron en el mismo comunicado reglas claras para hacerlo; los administradores de sistemas recibieron tres días para parchear un fallo que llevaba once años en el kernel; los bancos fundaron una organización para estandarizar lo que ya están emitiendo. El riesgo se mudó de quien no tiene permiso a quien lo tiene y confía en la pieza que nadie revisó.