Binance cifra el hackeo en 6.300 millones: qué puedes hacer ahora

El 29 de octubre de 2026 Binance dijo por primera vez dónde habría empezado el ataque contra el exchange: en un equipo de trabajo. Según la investigación preliminar que la empresa publicó en su cuenta de X, el incidente podría afectar al portátil comprometido de un ingeniero de DevOps. A través de ese equipo, un atacante habría obtenido acceso a un contenedor de servicio y desde ahí habría enviado transacciones de retirada no autorizadas. En el mismo comunicado, Binance cifró el daño total estimado en unos 6.300 millones de dólares.

Es la primera cifra que llega del propio exchange. Las estimaciones de los días anteriores salían del análisis de los datos de la blockchain y eran más bajas. Si eres cliente, la segunda parte del comunicado pesa más que el importe: Binance afirma no haber encontrado ningún indicio de que las claves privadas de sus monederos hayan salido. Qué significa eso y qué no significa está más abajo.

Qué dice Binance sobre la causa: un portátil comprometido en el equipo de DevOps

DevOps es el departamento que, en una empresa tecnológica, mantiene el puente entre el desarrollo de software y la operación en marcha. Quien trabaja ahí tiene por oficio accesos que el resto del personal no tiene: a sistemas que mueven dinero en segundo plano, cuadran cuentas y autorizan retiradas.

Justo ahí arranca la versión de Binance. El comunicado en X del 29 de octubre de 2026 señala que la investigación inicial apunta a que el incidente de seguridad implica el portátil comprometido de un ingeniero de DevOps. La ruta exacta del ataque, añade, solo quedará establecida con el resto de la investigación. Ambos puntos están formulados en condicional, y no es casualidad: una semana después de un incidente de este tamaño, el análisis forense no está cerrado.

El comunicado no atribuye ninguna conducta indebida al empleado. Un equipo puede caer en manos de atacantes por un programa malicioso en una descarga, por una biblioteca de desarrollo manipulada o por un mensaje dirigido a una sola persona. Binance no ha dicho cuál de esas vías fue.

Contenedor de servicio e interfaz de retirada: así fue la ruta según Binance

Un contenedor de servicio es un paquete de software cerrado en el que corre un único servicio, por ejemplo la autorización de retiradas. Los contenedores se usan para que un servicio quede aislado y no afecte al resto de la instalación cuando falla. Pero ese aislamiento solo protege en la medida en que el acceso a él esté protegido.

Según la versión de Binance, el atacante obtuvo acceso a uno de esos contenedores a través del portátil y después puso en marcha retiradas que nadie había autorizado. Técnicamente eso es algo muy distinto de lo que la mayoría entiende por un monedero hackeado. No se rompió ninguna clave. Se llevó a un sistema a dar por válido un pago.

Cómo se vio ese mecanismo en la blockchain lo escribimos el 29 de octubre en nuestro artículo sobre la salida de fondos de la hot wallet.

Ninguna clave privada robada: por qué importa la distinción

Una clave privada es la cadena de caracteres con la que se mueven los saldos de una dirección en la blockchain. Quien la tiene puede gastar los fondos, y nadie puede recuperarlos. Por eso la pregunta de si han salido claves es la más importante tras cualquier incidente.

Binance dice no haber encontrado ningún indicio. Si eso se mantiene, significa que las direcciones del exchange siguen bajo su control y que lo que todavía está ahí podrá moverse en cuanto se cierre el agujero. No significa que los fondos que ya salieron estuvieran a salvo. Esas transferencias están cerradas en la blockchain.

Para la valoración general implica además que la custodia no falló aquí en la criptografía, sino en un acceso de la operación. Una cartera hardware te protege justo de eso: el dispositivo nunca entrega la clave a un sistema operativo, y ningún contenedor de servicio puede darle órdenes. Qué dispositivos entran en juego y cuánto cuestan está en nuestra comparativa de carteras hardware.

6.300 millones de dólares: el abanico de cifras de daño del 29 de octubre

Las cifras sobre el tamaño de la pérdida divergen mucho, y este fin de semana siguen moviéndose. Puestas una al lado de la otra, a 30 de octubre de 2026:

• Unos 2.800 millones de dólares sustraídos de una hot wallet: la estimación a partir de los datos de la blockchain con la que arrancaron las informaciones del 29 de octubre.
• Más de 5.000 millones de dólares: así consta en el directo de CoinDesk del 29 de octubre, en un momento en que unos 2.500 millones de dólares se daban por congelados.
• Unos 6.300 millones de dólares: la estimación de Binance misma, publicada el 29 de octubre en X.
• Unos 6.360 millones de dólares: el cálculo de la empresa de análisis de blockchain TRM Labs, valorando cada activo al precio que tenía al salir. A los precios del 30 de octubre, el mismo paquete equivale a unos 6.230 millones de dólares según sus propios datos.

Alisar una de estas cifras sobre la otra sería un error. Miden cosas distintas: las estimaciones on-chain cuentan lo que fue a direcciones de atacantes identificadas, mientras que la cifra del exchange abarca el daño total según su propio cálculo. Cómo se componen esos 6.300 millones, Binance no lo ha desglosado.

Entre 2.500 y 2.700 millones congelados: Tether, Circle y el Security Council de Arbitrum

Una parte del botín ya no se mueve. Las stablecoins como USDT y USDC funcionan con contratos inteligentes cuyos emisores pueden bloquear direcciones concretas. Eso es lo que ha pasado, y es la razón por la que el balance de este incidente se ve distinto al de los grandes robos a exchanges de años anteriores.

Binance cifra los fondos congelados verificados en 2.540 millones de dólares, de los que más de 2.370 millones proceden de bloqueos de Tether y Circle. En el comunicado del 29 de octubre, el exchange menciona unos 3.000 millones de dólares congelados junto con socios del sector de la blockchain. TRM Labs cuenta, a 30 de octubre a las 00:30 UTC, unos 2.700 millones de dólares bloqueados por emisores y por el Security Council de la blockchain Arbitrum, y unos 2.400 millones de dólares que el atacante mantiene todavía en activos fuera del alcance de los emisores. Qué abarcan en detalle los bloqueos de Tether y Circle lo contamos por separado.

Lo congelado no está recuperado. Un bloqueo impide que el atacante siga moviendo los tokens o los cambie. A quién le corresponderán al final, y por qué procedimiento, se decide mucho más tarde, y en casos anteriores eso ha llevado años.

Fondo SAFU y recursos propios: qué promete Binance como indemnización

SAFU son las siglas de Secure Asset Fund for Users, una reserva que Binance creó en 2018 para poner techo a las pérdidas de los clientes tras incidentes de seguridad. La codirectora ejecutiva Yi He escribió en X que Binance asumirá todas las pérdidas del incidente con el fondo SAFU y con recursos propios de la empresa, y que el dinero de los clientes está seguro.

El fondo no es una promesa teórica. Binance lo usó en 2019, cuando un robo se llevó unos 7.000 bitcoins del exchange; los clientes recibieron entonces su saldo de vuelta. Cuál es el tamaño de la reserva hoy no lo comunicó Binance el 29 de octubre, y tampoco dio un calendario para el reembolso.

Un compromiso de este tipo es una declaración de voluntad de la empresa, no un fondo de garantía legal. En una cuenta bancaria en Alemania, la garantía de depósitos cubre hasta 100.000 euros por cliente por ley. Eso no vale para los saldos en un exchange de criptomonedas, ni siquiera en uno autorizado. Qué sí aporta una autorización está en el apartado siguiente.

Ingresos y retiradas suspendidos: la situación a 30 de octubre

Binance ha detenido temporalmente los ingresos y las retiradas. Según nuestros datos del 30 de octubre, se reactivan moneda por moneda: en Solana y XRP seguían en pausa, mientras Bitcoin y Ethereum ya se procesaban de nuevo. El exchange no ha dado una fecha para la apertura completa.

Para ti esta es la parte que más duele, porque no tiene nada que ver con el titular: mientras la retirada de tu moneda esté pendiente, no llegas a tu saldo, con independencia de que el ataque lo haya tocado o no. Una transferencia que inicies en esta fase puede quedarse en la cola sin que puedas retirarla.

TraderTraitor: qué atribuye TRM Labs al atacante

Desde esta noche hay una atribución de una casa que investiga estos casos por oficio. La empresa de análisis de blockchain TRM Labs asigna el ataque al grupo TraderTraitor, al que describe como la unidad especializada de Corea del Norte para ataques informáticos, y escribe que emite ese juicio con alta certeza. Según su propia exposición, la valoración se apoya en datos de la blockchain y en hallazgos de fuera de ella. El FBI atribuyó al mismo grupo el ataque al exchange Bybit en 2025.

El desarrollo que describe TRM Labs completa la versión del exchange en un punto que importa para la valoración. En Ethereum, una hot wallet de Binance habría sido convertida en un vaciador controlado desde fuera mediante una delegación según el estándar EIP-7702. En otras nueve blockchains, en cambio, los monederos habrían enviado transferencias firmadas con normalidad, de lo que la empresa deduce que la infraestructura de firma de esas hot wallets quedó comprometida. La salida de fondos se habría repartido por diez blockchains, la mayor parte en unos 20 minutos a partir de las 20:05 UTC. Binance, por su lado, ha declarado no haber encontrado ningún indicio de salida de claves privadas. Las dos versiones conviven y la diferencia no está resuelta.

Para tu acceso al saldo y para el compromiso de reembolso, la atribución no cambia nada. Es la valoración de una empresa de análisis y no una constatación oficial; Binance no se ha sumado a ella y no ha señalado a ningún autor. Irrelevante para la recuperación no es, de todos modos, porque en ataques atribuidos a un Estado los fondos bloqueados han quedado antes atrapados en procedimientos durante años.

Unos 1.500 millones de dólares en liquidaciones: las consecuencias de mercado del viernes

El mercado ha reaccionado con más fuerza a la noticia que a la cifra. Según los datos de CoinGecko, Bitcoin cuesta 77.563 dólares el 30 de octubre de 2026, un 3,20 % menos en 24 horas. Ether cotiza a 2.225,86 dólares y pierde un 4,03 %, más que Bitcoin. BNB, el token del propio exchange, carga el incidente con más claridad: 702,35 dólares tras un retroceso del 6,27 %. Solana está en 96,73 dólares con un 3,43 % menos, y XRP en 1,25 dólares con un 3,03 % menos.

Las posiciones apalancadas se llevaron la peor parte. Las liquidaciones forzosas en todo el mercado cripto suman unos 1.500 millones de dólares en 24 horas; el recuento lo mantiene Coinglass, cuyo extracto recoge CoinCentral el 30 de octubre en 1.500 millones de dólares. Las cifras de los informes oscilan entre 1.490 y 1.540 millones de dólares según el momento de la medición, y la mayor parte corresponde a posiciones de compra. Un contador en marcha no es una cifra fija: quien lo abre más tarde ve otra ventana.

Apalancamiento y liquidación: qué implica una cuenta bloqueada con posiciones abiertas

Una liquidación es el cierre forzoso de una posición apalancada por parte del exchange en cuanto la garantía ya no alcanza. Con un apalancamiento de cinco basta un movimiento del precio en tu contra de alrededor del 20 %; con uno de diez, de alrededor del 10 %. Las cifras de arriba son el resultado de esa mecánica en un solo día.

La particularidad en un incidente así: con ingresos y retiradas en pausa pierdes la posibilidad de aportar más garantía. Quien tiene una posición apalancada abierta y quería añadir saldo nuevo no puede hacerlo si el ingreso de esa moneda está detenido. La posición sigue corriendo igual y se liquida igual.

Custodia y gestión de claves: cartera hardware frente a cuenta de exchange

El incidente deja al descubierto una línea de separación que en el día a día se difumina con facilidad. Un saldo en una cuenta de exchange es un derecho de crédito frente a la empresa; las claves las tiene el exchange. Un saldo en tu propia cartera es propiedad; las claves las tienes tú. En el primer caso la seguridad depende de la seguridad operativa de una empresa, en el segundo de tu propio cuidado.

Ambas opciones tienen precio. Una cartera hardware cuesta dinero y exige que guardes tus palabras de recuperación de forma que no las alcancen ni el fuego ni desconocidos; si las pierdes, el saldo se va y nadie puede ayudarte. Un exchange te quita esa carga y te da a cambio el riesgo que ha mostrado este 29 de octubre. Quien mantiene cantidades mayores y no las negocia suele desplazar la balanza hacia la custodia propia.

Vía de compra en Alemania: la autorización MiCA y qué cubre

Desde el reglamento europeo MiCA, los proveedores de servicios de criptoactivos necesitan una autorización para atender clientes en Alemania; la BaFin los supervisa. La autorización fija requisitos sobre la separación del patrimonio de los clientes, sobre la custodia y sobre las obligaciones de información. Qué obligaciones se aplican en concreto depende del tipo de servicio.

Lo que MiCA no hace: el reglamento no sustituye a un fondo de garantía de depósitos y no evita una intrusión a través del equipo de un empleado. Sí obliga a un proveedor a demostrar cómo mantiene el patrimonio de los clientes y da a un supervisor acceso a esas pruebas. Qué proveedores están autorizados en Alemania puede consultarse en el registro de la BaFin.

Plazo de tenencia e impuestos: qué desencadena una venta forzosa en esta situación

En Alemania, las ganancias por la venta de criptomonedas quedan exentas tras un periodo de tenencia superior a un año; dentro del año tributan como operación privada de enajenación, con un límite exento de 1.000 euros al año.

Esta semana eso es más que una nota al pie. Quien vende por pánico y cierra una posición con menos de un año pierde el precio y, además, el plazo que llevaba corriendo. Una liquidación cuenta fiscalmente como una venta, aunque no la hayas provocado tú. Para la liquidación de impuestos necesitas la fecha de adquisición de cada tramo, y cuando un exchange pausa las retiradas, las exportaciones para eso no siempre están disponibles de inmediato. Guardar la documentación ahora no cuesta nada.

Hackeo de Binance: hasta la reapertura el saldo sigue bloqueado

El incidente está confirmado por Binance, la causa está señalada pero no aclarada del todo, y la cifra del daño es la estimación del exchange, no un valor auditado. Tres cosas tienen sentido en esta situación:

1. Revisa qué parte de tus tenencias está en una cuenta de exchange y qué parte en custodia propia, y decide, para las tenencias que no negocias, si están en el sitio correcto. La comparativa de carteras hardware recoge los dispositivos y los precios.
2. En la fase de retiradas en pausa no inicies ninguna transferencia que no puedas retirar, y no abras una posición apalancada nueva mientras no puedas aportar garantía. Dónde se opera con apalancamiento y en qué condiciones lo muestra la comparativa de perp DEX.
3. Comprueba si tu proveedor está autorizado en Alemania y cómo separa el patrimonio de los clientes; la comparativa de exchanges cripto regulados enumera los proveedores con sus condiciones.

(30 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)

Protegerse: Guardar las criptomonedas de forma segura y protegerse de hackeos como el de Binance.