Análisis on-chain del hackeo de Binance: 50 firmas, 197.460 ETH y 2.830 millones congelados

Actualización 11:45 horas: la pista lleva a Corea del Norte, retiros en 48 horas. Los investigadores de TRM Labs atribuyen con un alto grado de certeza el hackeo de Binance al grupo norcoreano TraderTraitor, y Chainalysis apunta al mismo grupo; Binance no ha señalado a ningún autor. Según TRM Labs, salieron unos 6.360 millones de dólares a través de diez blockchains, unos 2.700 millones están congelados y el atacante tiene en el conjunto de sus wallets más de 420.000 ETH y 18.270 BTC. Binance quiere reabrir los retiros en 48 horas, según su anuncio; los depósitos funcionan. Todo reunido en: ¿Corea del Norte detrás del hackeo de Binance? Lo que se sabe.

Actualización 03:30 horas: Binance cifra el daño en 6.300 millones de dólares. En un comunicado oficial, Binance estima el daño total en unos 6.300 millones de dólares, de los que unos 3.000 millones están congelados en la blockchain. Según las primeras investigaciones, el portátil de un ingeniero de DevOps estaba comprometido; a través de él, el atacante accedió a un contenedor de servicio y envió retiros no autorizados. Binance afirma no tener indicios de que se filtrara una clave privada. La plataforma cubre todas las pérdidas con su fondo de emergencia SAFU y con fondos propios, los depósitos y retiros siguen suspendidos y se publicará una prueba de reservas actualizada.

¿Qué pasó realmente en el hackeo de Binance? Nuestro análisis de los datos de la blockchain lo muestra: el 29 de octubre de 2026, un atacante tomó el control de la hot wallet «Binance 14» con 50 firmas enviadas a la vez y retiró en cuestión de segundos unos 2.700 millones de dólares. Binance confirmó el hackeo durante la noche y quiere cubrir todas las pérdidas. Según nuestras mediciones y los datos de los investigadores, hay más de 2.830 millones de dólares congelados; al atacante le quedan sobre todo 197.460 ether. Aquí está lo que hemos comprobado nosotros mismos, lo que dicen las voces más relevantes en X y hacia dónde apunta todo.

El desarrollo de la noche minuto a minuto lo tienes en nuestra cronología con directo, y la noticia en sí en nuestro informe sobre el hackeo de Binance.

¿Hackeo o traspaso interno? El primer debate de la noche

Durante la primera hora no estaba claro si se trataba de un ataque. El analista Simba consideraba posible un traspaso planificado entre wallets de Binance: el destino era una dirección recién creada que al principio no movió los fondos.

BREAKING: $2.7 BILLION JUST MOVED OUT OF BINANCE IN 24 SECONDS. Everyone is screaming HACK. But the onchain evidence tells a VERY different story.

Simba (@Simba_crpt) 29 de octubre de 2026

La tesis no duró mucho. La dirección desde la que partió el ataque se había financiado con 0,1 ETH procedentes del mezclador Tornado Cash, la wallet quedó vinculada a un contrato ajeno y, poco después, el atacante empezó a repartir tokens entre decenas de direcciones. A la 01:04, la cofundadora de Binance Yi He confirmó el hackeo:

User funds are safe. Binance will cover all hacking losses. Deposits and withdrawals are temporarily suspended while our team conducts security checks, freezes funds, and works with law enforcement.

Yi He (@heyibinance) 30 de octubre de 2026

Así fue el ataque: 50 firmas, una dio en el blanco

La empresa de seguridad Blockaid descubrió el truco técnico decisivo, y lo hemos comprobado directamente en la blockchain. La transacción del ataque es del nuevo tipo 4, con el que desde la actualización Pectra una wallet puede ceder su control a un contrato inteligente mediante EIP-7702. Contiene exactamente 50 autorizaciones de este tipo, todas para la wallet Binance 14, todas hacia el mismo contrato del atacante, para los números de transacción 18.914.775 a 18.914.824 (transacción en Etherscan).

The attacker didn't know Binance 14's live nonce. So they sprayed 50 EIP-7702 auths (18914775-18914824) in one type-4 tx. Only 1 of 50 was a hit.

Blockaid (@blockaid_) 29 de octubre de 2026

El contexto: una autorización así solo vale para el número de transacción que tiene la wallet en el momento de la confirmación. Como la hot wallet enviaba retiros constantemente, el atacante no conocía ese número y lanzó 50 autorizaciones de golpe. Una acertó. Más importante es lo que presuponen las 50 autorizaciones: cada una debe estar firmada con la clave de la wallet. El atacante podía, por tanto, generar firmas para Binance 14. Cómo obtuvo ese acceso debe aclararlo el informe que ha anunciado Binance. Entretanto, la delegación se ha revocado: según nuestra consulta de las 02:20, el código de la wallet vuelve a estar vacío.

¿Dónde está el dinero? Nuestro balance de las 02:30

Unos 2.700 millones de dólares salieron de las dos wallets de Binance en Ethereum, además de importes menores en otras blockchains. La mayor parte está bloqueada, pero no todo. La propia Binance cifra ya el daño total en todas las blockchains en unos 6.300 millones de dólares, de los que unos 3.000 millones están congelados; la tabla de abajo muestra lo que es visible en Ethereum.

Update: This brings the total frozen for the Binance exploit so far to over $2.83B

ZachXBT (@zachxbt) 30 de octubre de 2026

El truco de Aave: por qué unos USDT bloqueados aún le dieron ether

El atacante sabía que Tether puede bloquear fondos. Por eso depositó en tres minutos 60 millones de USDT en el protocolo de préstamos Aave y pidió prestados a cambio 19.762 wETH, unos 45 millones de dólares. Poco después, Tether bloqueó la dirección, y 46 minutos más tarde Aave congeló los mercados afectados. Los USDT bloqueados quedan ahora como garantía en Aave, y el atacante se queda con el ether prestado. Nunca lo devolverá.

Aave protocol will be fine. The hacker supplied 60M USDT and borrowed 19,762 wETH (~44.9M$) in 3 minutes, before Tether froze their address and before the Aave Guardian froze the Aave V3 Core reserves (46 min later).

Marc Zeller (@mzeller) 29 de octubre de 2026

Para Aave es asumible, calcula Marc Zeller, de la Aave Chan Initiative: la posición está sobrecolateralizada y se liquidará automáticamente en cuanto el ether suba alrededor de un 4 %, hasta unos 2.365 dólares. La deuda equivale al 0,9 % de las tenencias de wETH del protocolo. Una subida del precio del ether liquidaría, precisamente, la posición de préstamo del atacante.

Todo sobre el hackeo de Binance

• Hackeo de Binance: así se vació la hot wallet
• Directo y cronología: el crash de Bitcoin tras el hackeo
• USDT congelados: lo que Tether y Circle bloquean de verdad
• Retiros de Binance: qué redes están en pausa
• ¿Es el fin? Tres escenarios para Bitcoin
• Ethereum: el hacker tiene 195.000 ETH
• Solana por debajo de 100 dólares
• Caída de BNB: ¿le espera el destino de FTT?
• Los mayores hackeos cripto de la historia
• Hacer short en pleno crash
• ¿Por qué cae hoy Bitcoin?

Protégete: guardar criptomonedas de forma segura frente a hackeos como el de Binance

Qué dicen las voces más relevantes en X

• Yi He, Binance: fondos de los clientes a salvo, Binance cubre todas las pérdidas, depósitos y retiros suspendidos temporalmente, informe completo en camino.
• ZachXBT, investigador: hay más de 2.830 millones de dólares congelados.
• Blockaid, empresa de seguridad: 50 autorizaciones EIP-7702 en una sola transacción, una acertó. Confirmado por nosotros en la blockchain.
• Marc Zeller, Aave Chan Initiative: el atacante pidió prestados 19.762 wETH antes del bloqueo, asumible para Aave.
• Simba, analista: al principio consideró posible un traspaso interno, tesis superada por la confirmación de Binance.
• Bala, comentarista: escribió que el atacante «se salió con la suya» con el truco de Aave. Para 45 millones de dólares es cierto; para los miles de millones, no.

Nuestra conclusión: adónde lleva el hackeo de Binance

• Para los clientes: Binance se ha comprometido a cubrir todas las pérdidas, y la parte congelada hace creíble ese compromiso. Lo decisivo será cuándo reabra la plataforma depósitos y retiros. Hasta entonces: paciencia, y ningún enlace de mensajes que prometan un reembolso. Qué plataformas tienen licencia en la UE lo muestra nuestra comparativa de exchanges cripto regulados. El estado de los retiros lo seguimos en retiros de Binance tras el hackeo.
• Para el botín: de unos 2.700 millones de dólares, más de 2.800 millones están bloqueados en el conjunto de blockchains. En Ethereum, al atacante le quedan sobre todo los 197.460 ETH, más el ether de Aave y tokens menores repartidos, en total unos 600 millones de dólares. Según las cifras de Binance, 6.300 millones de daño y unos 3.000 millones congelados, aún faltan más de 3.000 millones en el conjunto de blockchains; dónde están es la pregunta abierta de los próximos días. Tendrá que blanquear esa suma durante días y semanas, y cada movimiento es público.
• Para Ethereum: los 197.460 ETH siguen siendo un exceso de oferta que pesa sobre el mercado. Al mismo tiempo, una subida del precio del 4 % liquidaría la posición del atacante en Aave. Qué significa eso para el precio lo explicamos en caída de Ethereum: el hacker de Binance tiene 195.000 ETH.
• Para el sector: el ataque muestra un patrón nuevo. Quien puede generar firmas para una wallet solo necesita, gracias a EIP-7702, una única transacción para vaciarla por completo. Las plataformas tendrán que controlar con más rigor sus sistemas de firma y la autorización de este tipo de delegaciones.

Seguimos midiendo las direcciones y ampliaremos el análisis en cuanto se mueva dinero o Binance presente su informe. Este artículo no constituye asesoramiento de inversión.