Floin: un ciberataque paraliza el exchange cripto con licencia MiCA de Liechtenstein

Floin, una plataforma cripto de Vaduz con autorización MiCA de la autoridad de los mercados financieros de Liechtenstein, la FMA, afirma haber sido objeto de un ciberataque. El sábado 31 de octubre de 2026, Floin desconectó todos sus servicios: la aplicación y la plataforma web no están disponibles hasta nuevo aviso. En un correo a sus clientes enviado a las 11:54, la empresa advierte de que no se envíe nada más a direcciones de cartera de Floin, aunque los depósitos sigan siendo técnicamente posibles. Floin no ha comunicado hasta ahora si han salido fondos de clientes.

Lo esencial en breve

• Incidente: ciberataque según Floin, correo a los clientes el 31 de octubre de 2026 a las 11:54, aplicación y plataforma web desconectadas desde entonces.
• Advertencia: ningún depósito ni envío de criptoactivos a direcciones de cartera de Floin, tampoco desde carteras externas u otros exchanges.
• Daños: hasta el sábado por la tarde, Floin no indica ni un importe ni las monedas afectadas.
• Supervisión: autorización MiCA de la FMA de Liechtenstein desde el 10 de junio de 2026, válida en los 30 Estados del EEE, también en Alemania.
• Garantía de depósitos: los 100.000 euros de la garantía legal de depósitos no se aplican a los criptoactivos; MiCA exige en su lugar custodia segregada y una responsabilidad hasta el valor de mercado.
• Oleada de hackeos: segundo incidente en una plataforma centralizada en 48 horas, tras el hackeo de Binance del 29 de octubre, con unos 6.300 millones de dólares de daños según Binance.

Ciberataque a Floin: qué comunica la plataforma a sus clientes

El comunicado es breve y deja abiertas las preguntas más importantes. Floin escribe que la plataforma ha sido objeto de un ciberataque, que todos los servicios están desconectados y que, por ello, el acceso a la aplicación y a la plataforma web no es posible hasta nuevo aviso. La investigación estaría en marcha y tendría la máxima prioridad. En la página de estado, el incidente figura desde las 11:30 con la nota «Investigating», y un banner muestra el mismo aviso en la página de inicio de floin.com. CryptoTicker dispone del correo.

Para los clientes cuentan tres frases. Primera: ningún depósito en carteras de Floin, tampoco desde carteras externas u otras plataformas, «even if deposits are still technically possible», según el mensaje. Segunda: Floin no responde actualmente a consultas individuales, tampoco por correo electrónico. Tercera: las novedades solo se publicarán en la web de la empresa, que los clientes deben consultar a diario.

Sigue sin saberse cuándo empezó el ataque, qué sistemas están afectados, si han salido monedas o datos de clientes y cuándo volverán a ser posibles los retiros. Quien envíe aun así monedas a una dirección de Floin no tiene ahora ningún interlocutor que pueda asignarlas.

Quién está detrás de Floin: un exchange cripto con licencia MiCA en Vaduz

Detrás de la plataforma está Floin AG, con sede en Am Schrägen Weg 2, 9490 Vaduz, fundada el 29 de enero de 2021 como The Finest Token AG e inscrita en el registro mercantil de Liechtenstein con el número FL-0002.652.200-0. Según el aviso legal, su fundador y consejero delegado es Marc Weber. Según el folleto de acciones del 30 de junio de 2026, posee el 90,01 % del capital; el 9,99 % restante pertenece a una sociedad eslovena en la que participa al 50 %. El presidente del consejo de administración es, según el extracto del registro mercantil, el abogado Thomas Stern. Floin se dio a conocer en 2023 con la venta de un token propio, que hoy figura en floin.com con el símbolo FLTK: hasta mediados de julio de 2023 hubo una venta privada, y el 20 de julio de 2023 Floin anunció el inicio de la venta pública. En enero de 2024, la empresa de seguridad Halborn publicó un estudio de caso sobre Floin: en una auditoría del smart contract y de la plataforma encontró 34 vulnerabilidades, que Floin corrigió todas según Halborn.

El tamaño de Floin lo muestran las cuentas anuales de 2024, que publica la propia empresa: una cifra de negocio de 3,28 millones de francos (2023: 3,63 millones), un beneficio neto de 201.193 francos y un capital social de 250.000 francos. El auditor Grant Thornton, de Schaan, realizó una revisión limitada de las cuentas.

Al mismo tiempo, Floin está captando capital entre su comunidad. En su página de la oferta, la empresa vende acciones preferentes de Floin AG en forma de token con el nombre FLEQ, sobre la base de un folleto aprobado por la FMA el 30 de junio de 2026. La ronda comunitaria se realiza a 1,44 francos por acción, con una suscripción mínima de 5.000 francos y un periodo de bloqueo posterior de doce meses. Floin cita una valoración de unos 45 millones de euros; el sábado, la página mostraba para esta ronda 10.510 acciones vendidas de 1.000.000. En total, la oferta asciende a hasta 7 millones de francos. Para los compradores de estas acciones no rige la protección de custodia de MiCA: como accionistas, asumen el riesgo empresarial.

En el registro MiCA de la autoridad europea de valores, la ESMA, Floin AG figura desde el 10 de junio de 2026 con una autorización de la FMA de Liechtenstein para cinco servicios: custodia de criptoactivos por cuenta de clientes, canje por fondos, canje por otros criptoactivos, colocación y transferencia. Gracias al pasaporte europeo, la autorización es válida en todo el Espacio Económico Europeo, también en Alemania y Austria. Al pie de cada correo a los clientes figura además el número 329177 como proveedor registrado de servicios de criptoactivos (VASP) ante la FMA.

Lo que Floin comunicó a sus clientes en 2026 forma una cronología densa, elaborada a partir de los correos a los clientes y del registro de la ESMA:

Floin y la garantía de depósitos: qué regula MiCA en caso de siniestro

Para los criptoactivos no existe una garantía de depósitos como la de un banco, tampoco en un proveedor con licencia MiCA. La garantía legal de depósitos según la Directiva europea 2014/49/UE protege los depósitos bancarios de hasta 100.000 euros por cliente y banco. Las monedas en una plataforma cripto no son depósitos bancarios. También la BaFin alemana responde a la pregunta de si la garantía de depósitos o la indemnización de inversores cubren criptoactivos: por regla general, no.

Lo que exige en su lugar el Reglamento MiCA (UE) 2023/1114:

• Custodia segregada: los criptoactivos custodiados no forman parte jurídicamente del patrimonio del proveedor, y los acreedores de este no tienen acceso a ellos en caso de insolvencia (artículo 75, apartado 7).
• Responsabilidad: si un proveedor pierde criptoactivos o los medios de acceso a ellos por un incidente que le sea imputable, responde ante el cliente hasta el valor de mercado en el momento de la pérdida (artículo 75, apartado 8).
• Saldos en euros: el proveedor debe depositar los fondos de los clientes en un banco o en un banco central a más tardar al final del día hábil siguiente, separados de su propio dinero (artículo 70).
• Obligación de notificación: desde el 1 de febrero de 2025 rige también en Liechtenstein el reglamento europeo DORA sobre resiliencia operativa digital. Floin debe notificar a la FMA un incidente informático grave, por regla general con una primera notificación en las 24 horas siguientes a tener conocimiento (artículo 19). No se sabe si Floin ha notificado el ataque.

En la práctica, si los clientes de Floin recuperan su dinero en caso de daños depende de lo que haya salido y de si Floin asume la pérdida con fondos propios o con un seguro. El comunicado de Floin del sábado no menciona ningún fondo de garantía como el fondo SAFU de Binance. Cuánto tienen los grandes exchanges en este tipo de reservas lo hemos recopilado en el artículo Fondos de protección de los exchanges, calculados.

Hackeos cripto uno tras otro: con qué se salen ahora los atacantes

Floin es el segundo incidente en una plataforma centralizada en 48 horas. La noche del 29 de octubre salieron de Binance unos 6.300 millones de dólares, según el exchange, más que en ningún hackeo cripto anterior. En septiembre le tocó a Bitget, que compensó los daños con su fondo de protección, como describimos en Bitget tras el hackeo. Todos los grandes casos los reunimos en la sección Hackeos cripto.

El patrón de los grandes casos es el mismo: no se rompe la criptografía, sino a las personas y los dispositivos. En Binance, según el exchange, la puerta de entrada fue el portátil comprometido de un ingeniero de DevOps, a través del cual los atacantes llegaron a un contenedor de servicio que autoriza retiros; los detalles están en Binance cifra el hackeo en 6.300 millones de dólares. El FBI atribuyó a Corea del Norte el hackeo de Bybit de febrero de 2025, de unos 1.500 millones de dólares, igual que los analistas blockchain el caso Binance. En Ledger bastó en diciembre de 2023 un ataque de phishing a un antiguo empleado, tras el cual se publicó una versión manipulada de una biblioteca de software; los clientes perdieron unos 600.000 dólares, según BleepingComputer.

Qué vía siguieron los atacantes en Floin sigue sin saberse. Aun así, un detalle distingue el caso: Binance dio una cifra de daños el mismo día del ataque y se comprometió poco después a compensar todas las pérdidas de los clientes. Floin, de momento, solo remite a su web.

Autocustodia, exchange o bróker: dónde está más seguro tu dinero tras el hackeo de Floin

No hay ningún lugar sin riesgo, solo riesgos distintos. En un exchange asumes el riesgo del proveedor; en tu propia cartera, el tuyo; y en un bróker, en lugar de monedas sueles comprar un producto financiero sobre su precio.

La autocustodia te hace independiente de Floin, de Binance y de cualquier otra plataforma, pero único responsable. Con la cartera de software Atomic Wallet, los usuarios perdieron en junio de 2023 más de 100 millones de dólares según Elliptic, que ve detrás al grupo norcoreano Lazarus. En enero de 2025, unos delincuentes secuestraron en Francia al cofundador de Ledger David Balland para exigir un rescate en cripto, según informó The Local. Y lo rápido que basta un solo error lo mostró el 30 de octubre una influencer que publicó su clave privada en lugar de la dirección del contrato: el memecoin de Mika, vaciado en 81 segundos.

Quien quiera custodiar por sí mismo necesita una cartera hardware y una frase de recuperación bien guardada. Cómo hacerlo está en nuestra guía Guardar criptomonedas de forma segura, y comparamos los dispositivos en nuestra comparativa de carteras hardware.

Un bróker regulado en lugar de un exchange: qué ofrece XTB

Una alternativa evidente tras semanas como esta: una cuenta de valores en un bróker regulado, con acciones, ETF y oro, y la cripto solo como complemento. Un ejemplo es XTB. XTB S.A. está bajo la supervisión de la autoridad financiera polaca KNF, y su sucursal alemana, además, bajo la de la BaFin. Según XTB, los fondos de los clientes están separados del patrimonio del bróker y no forman parte de su masa concursal; el dinero no invertido está protegido hasta 20.100 euros por el sistema de indemnización polaco KDPW. La oferta incluye acciones y más de 2.300 ETF; el oro y las criptomonedas se negocian allí como CFD.

Para la cripto, eso significa que con un CFD no posees bitcoin, no puedes transferirlo a una cartera ni custodiarlo tú mismo. Apuestas por el precio. A cambio, no hay ninguna dirección de depósito que pueda ser hackeada. La advertencia obligatoria de XTB, a 31 de octubre de 2026: los CFD son instrumentos complejos y conllevan un alto riesgo de perder dinero rápidamente debido al apalancamiento. El 77 % de las cuentas de inversores minoristas pierden dinero al operar con CFD con este proveedor. Debes considerar si comprendes cómo funcionan los CFD y si puedes permitirte asumir el alto riesgo de perder tu dinero.

Promoción hasta el 30 de noviembre de 2026: los nuevos clientes reciben en XTB una acción preferente de Porsche gratuita, limitada a los 5.000 primeros. La condición es depositar al menos 50 euros en los 7 días siguientes a la apertura de la cuenta y aceptar las condiciones de la promoción en la aplicación. A ello se suma, hasta el 31 de diciembre de 2026, un interés de bienvenida de hasta el 4,5 % anual sobre el saldo libre de hasta 20.000 euros, durante los primeros 90 días y con al menos una operación con acciones o ETF al mes. Ir a la promoción Porsche de XTB (enlace de socio). Cómo se comporta el bróker en el día a día lo cuentan nuestras opiniones sobre XTB, y las alternativas, nuestra comparativa de brókeres cripto.

Qué deberían hacer ahora los clientes de Floin

1. No enviar nada a direcciones de Floin. Revisa planes de ahorro, órdenes periódicas y direcciones de retiro guardadas en otros exchanges y carteras, y elimina allí las direcciones de Floin.
2. Cuidado con el phishing. Tras los hackeos llegan correos falsos con supuestos formularios de reembolso o contactos de soporte. Floin, según sus propias palabras, solo informa a través de su web y no responde a consultas individuales. No introduzcas en ningún sitio tu frase de recuperación ni tu contraseña.
3. Guardar la situación actual. Archiva los extractos de cuenta, justificantes de transacciones y capturas de pantalla que ya tengas. Los necesitarás para posibles reclamaciones y para la declaración de la renta.
4. Cambiar las contraseñas si usas tu contraseña de Floin también en otros sitios, y revisar allí la autenticación en dos pasos.
5. Conocer al supervisor. La autoridad competente para Floin es la autoridad de los mercados financieros de Liechtenstein, ante la que puedes presentar una reclamación.

Quien usa desde marzo una cartera de autocustodia en la aplicación de Floin tiene las claves él mismo, según la descripción de la propia Floin. El comunicado no dice si estas carteras se han visto afectadas por el ataque; la advertencia contra los depósitos rige sin distinción para todas las direcciones de cartera de Floin.

Valoración: una licencia MiCA no es un escudo contra los hackeos

Una licencia MiCA acredita que un proveedor debe cumplir normas sobre custodia, capital y responsabilidad y que está supervisado. No acredita que no pueda ser atacado. Eso vale para Floin igual que para cualquier gran exchange.

La verdadera prueba para Floin empieza ahora: con qué rapidez dirá la empresa qué ha pasado, si hay activos de clientes afectados y cuándo volverán a funcionar los retiros. Cuanto más tarden estas tres respuestas, más sentido tiene el reparto que recomendamos tras el hackeo de Binance: lo que negocias, en un exchange regulado; lo que mantienes a largo plazo, en tu propia cartera hardware; y quien solo quiera participar en el precio puede hacerlo también mediante una cuenta de valores en un bróker. CryptoTicker pidió el 31 de octubre a Floin una declaración sobre la situación; en cuanto la recibamos, la añadiremos aquí, al igual que las novedades de la página de estado.

Transparencia: el editor de CryptoTicker tiene en Floin una cuenta de cliente que no utiliza de forma activa; por esa vía llegó también el comunicado del 31 de octubre.

(31 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)