6.500 millones en octubre: falló la infraestructura, no el contrato

En octubre de 2026 el mercado cripto perdió algo menos de 6.500 millones de dólares, y casi todo salió a través de infraestructura comprometida: ordenadores de empleados, sistemas de firma, procesos de compilación y páginas web. Solo una parte pequeña del daño viene de fallos en contratos inteligentes, es decir, de la parte técnica sobre la que el sector discute desde años y para la que paga informes de auditoría. Para un inversor eso significa una cosa: un proyecto con un informe de auditoría impecable puede perder tu dinero igualmente si el acceso a sus servidores está abierto.

Este recuento lo hizo cryptoticker.io por su cuenta el 30 de octubre de 2026. La base es el registro público de hackeos de DefiLlama, que recoge cada incidente notificado con fecha, importe del daño y vía de ataque. Se contaron las 32 entradas con fecha entre el 1 y el 30 de octubre de 2026.

6.460 de 6.500 millones de dólares: siete incidentes cargan casi todo el daño

Los 32 incidentes del mes suman 6.495 millones de dólares. De ellos, 6.461 millones corresponden a siete entradas que el registro clasifica como frontend e infraestructura. Eso es el 99,5 % de la suma con el 22 % de los casos.

La cuenta inversa aclara el cuadro. Todas las categorías en las que falló o se explotó realmente la lógica de programa de un contrato llegan juntas a menos de 16 millones de dólares: cálculos de participación erróneos en diez casos (5,1 millones), ataques de gobernanza en tres casos (4,8 millones), dos incidentes de puente (4,6 millones), una manipulación de oráculo de precios (1,3 millones) y un caso de falta de validación de entradas y otro de lógica de pago defectuosa. Otros cuatro incidentes figuran como claves comprometidas y costaron 17,3 millones de dólares, el mayor de ellos 16 millones en el exchange indio CoinDCX el 21 de octubre.

Frontend e infraestructura: qué diferencia a esta categoría de un fallo de contrato inteligente

Un fallo de contrato inteligente es un error en código de programa que está en la blockchain. Es legible públicamente, se puede auditar, y quien lo encuentra puede explotarlo hasta que se sustituya el contrato.

Un ataque de infraestructura apunta a todo lo que rodea a ese código: el ordenador de un desarrollador, el servidor que lanza los pagos, la biblioteca de software con la que se construye una web, el sistema que firma las transacciones. El código en la blockchain queda intacto. Solo ejecuta lo que un atacante le ordena desde una posición que el sistema considera autorizada.

Esa es la diferencia decisiva para valorar a un proveedor: en el primer caso ayuda un informe de auditoría. En el segundo cuenta cómo controla una empresa sus accesos internos, sus procesos de aprobación y sus proveedores, y eso no aparece en ningún documento público.

El incidente de Binance del 29 de octubre: de 6.300 a 6.360 millones de dólares por el sistema de firma

La partida individual más grande del mes es el ataque a Binance la noche del 29 de octubre. El registro de hackeos anota 6.360 millones de dólares, Binance cifra el impacto en unos 6.300 millones, y la firma de análisis Chainalysis llega a 5.900 millones según informaciones de prensa. Los fondos salieron de los monederos del exchange en unos 20 minutos, repartidos por diez blockchains.

Sobre la causa, Binance ha publicado un hallazgo provisional: a través del ordenador comprometido de un empleado de DevOps, un atacante habría obtenido acceso a un contenedor de servicio y desde ahí habría lanzado pagos no autorizados. Una fuga de claves privadas de monedero no se ha podido acreditar hasta ahora, comunicó la empresa; la investigación de la ruta completa del ataque sigue en marcha. Cómo se comprometió el ordenador y cuánto duró el acceso queda abierto. El exchange se ha comprometido a asumir todas las pérdidas con su fondo de reserva y recursos propios, ha suspendido temporalmente las retiradas y ha reconstruido el servicio de retirada. Según datos de la empresa se han congelado unos 3.000 millones de dólares, de los que 2.540 millones estaban confirmados como verificados en último término. La reconstrucción técnica de las firmas la ha trazado cryptoticker.io en detalle.

La firma de seguridad TRM Labs asigna el ataque, con alta confianza según sus propias palabras, al grupo TraderTraitor vinculado a Corea del Norte. Es la valoración de una casa de análisis privada, no una constatación oficial; una confirmación estatal no existe hasta ahora.

Ataque a la cadena de suministro: 93 millones de dólares por una biblioteca de software manipulada

Un ataque a la cadena de suministro introduce código malicioso en un componente que muchos proveedores usan en común, y así alcanza a todos sus usuarios a la vez. La segunda partida del mes entra en esta categoría: el 9 de octubre salieron 93 millones de dólares por un ataque que se atribuye al fabricante de monederos Ledger. Qué ocurrió ahí y qué usuarios estaban afectados lo escribió cryptoticker.io en el momento del incidente.

El mismo patrón aparece tres veces más abajo en la lista del mes: en el bot de trading Bloom el 26 de octubre con 953.000 dólares, en la plataforma de apuestas Polymarket el 29 de octubre con 2,7 millones de dólares según el registro y entre 3,0 y 3,1 millones según la prensa, y en Predict Fun el 27 de octubre con 400.000 dólares. En la plataforma de juego Gamdom se perdieron 4,2 millones de dólares el 13 de octubre por una clave que salió a través de la infraestructura.

De todo esto hay un punto prácticamente importante para ti: en un ataque de frontend la página web se ve como siempre. La dirección en la barra del navegador es la correcta, el certificado es correcto y la página está en el servidor correcto. Lo único cambiado es lo que la página presenta a tu monedero para que lo firme.

Las auditorías de contratos cubren el código, no la cadena de compilación

Una auditoría comprueba qué hace un contrato cuando corre sin cambios en la blockchain. La cadena de compilación, es decir el camino del código fuente de una web o una aplicación hasta la versión que llega a tu navegador, queda fuera de ese marco. Tampoco entran el ordenador de un empleado, la gestión de permisos en la empresa o el sistema de firma de un exchange.

Las cifras de octubre no dicen, por tanto, que las auditorías sean inútiles. El hallazgo es otro: el sello de auditoría en la página de un proyecto no te informa sobre la mayor fuente de daño del mes. Quien saque del 99,5 % una conclusión para su propia custodia no acaba en un contrato mejor, sino en la pregunta de a cuánta infraestructura ajena expone su saldo. Una visión general de los dispositivos con los que las claves no salen de casa está en la comparativa de carteras hardware.

MiCA: qué debe un exchange en Alemania en materia de custodia

Desde que rige el marco jurídico europeo MiCA, los proveedores que custodian fondos de clientes en criptoactivos necesitan una autorización y deben mantener las tenencias de clientes separadas de sus propios recursos. Eso no evita ningún ataque. Pero decide quién responde en caso de daño, quién tiene que dar explicaciones ante el supervisor y qué obligaciones de notificación valen tras un incidente de seguridad.

Queda una diferencia importante respecto a una cuenta bancaria: para los saldos en criptoactivos no existe un fondo legal de garantía de depósitos. Fondos de reserva como el de Binance son compromisos voluntarios de una empresa, no una garantía estatal. Si una plataforma opera regulada puedes comprobarlo antes de ingresar; qué proveedores trabajan con autorización europea lo muestra nuestra comparativa de exchanges cripto regulados.

Firma a ciegas: la cartera hardware muestra lo que la aplicación calla

Firmar a ciegas significa confirmar una transacción cuyo contenido el dispositivo no muestra en texto claro. Justo aquí entra un ataque de frontend: la interfaz manipulada te enseña una operación inocua, mientras los datos presentados para la firma hacen algo distinto.

Una cartera hardware solo ayuda contra este ataque si lees de verdad la pantalla del dispositivo y la comparas con lo que afirma la web: dirección de destino, importe y tipo de operación. Si uno de los tres no coincide, cancelas. El dispositivo es ahí la segunda pantalla, independiente; su valor no está en tenerlo, sino en mirarlo.

Autorizaciones de tokens: la palanca que un atacante conserva más tiempo

Una autorización de tokens, en inglés approval, permite a un contrato inteligente mover una cantidad determinada de tus tokens. Muchas aplicaciones piden una autorización ilimitada porque es cómodo y ahorra comisiones. Ese permiso se mantiene hasta que lo retiras, y sigue surtiendo efecto mucho después de que hayas dejado de usar la aplicación.

Si alguien se hace con el frontend de una aplicación con la que tienes una autorización abierta, no necesita tu clave. Por eso la lista de autorizaciones concedidas está entre las pocas cosas que puedes revisar y recortar tú mismo sin conocimientos técnicos. Tiene sentido limitar las autorizaciones al importe que una operación necesita de verdad y retirar las antiguas con regularidad.

Reacción del mercado: el precio muestra el daño solo de forma amortiguada

En el precio, el mayor robo de la historia del sector se notó de manera comparativamente contenida. Bitcoin cotizaba en la mañana del 30 de octubre en torno a 77.800 dólares, un 2,5 % por debajo del nivel de 24 horas antes, y Ether en unos 2.222 dólares, alrededor de un 3,9 % por debajo. Parte de la explicación está en los fondos congelados: los emisores de stablecoins pueden bloquear saldos a petición, y miles de millones que nunca se liquidan tampoco generan presión vendedora.

La segunda mitad de la explicación es más incómoda. Cuando un incidente de este tamaño apenas mueve el mercado, a las plataformas les falta el incentivo financiero inmediato para asegurar a buen precio sus accesos internos. Una prueba de ello está pendiente; es una valoración, no un hecho acreditado.

Qué queda en noviembre de las cifras de octubre

El registro anota siete incidentes de infraestructura en un mes, y varios de ellos alcanzaron a plataformas que se publicitan en Alemania. Una repetición no está anunciada ni descartada. Lo que sí se puede decidir hoy es la cuestión de cuánto de tu cartera está en una plataforma cuyo funcionamiento interno no puedes ver.

Una regla práctica que sale de las cifras: el saldo con el que quieras operar en las próximas semanas pertenece a un exchange autorizado. El saldo que mantienes a más plazo pertenece ahí donde ningún contenedor de servicio ajeno pueda lanzar un pago.

Hackeos cripto: el 99 % del daño pasó por la infraestructura

1. Reparte la cartera. Fija qué parte se queda en el exchange y qué parte pasa a custodia propia. Para la segunda, la comparativa de carteras hardware da la selección de dispositivos.
2. Comprueba la autorización de la plataforma. Mira si tu proveedor trabaja con autorización europea y mantiene separadas las tenencias de clientes; la comparativa de exchanges cripto regulados sitúa a los grandes proveedores.
3. Recorta las autorizaciones. Repasa las autorizaciones de tokens concedidas por tu monedero, retira las antiguas y limita las nuevas al importe necesario.

Los datos en bruto de este recuento están en el registro público de hackeos de DefiLlama; la atribución del ataque a Binance procede del análisis de TRM Labs.

(30 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)

Protegerse: Guardar las criptomonedas de forma segura y protegerse de hackeos como el de Binance.