Hackeo Binance: Que paso y que significa

Publicado el 30 de octubre de 2026 · Actualizado el 9 de noviembre de 2026 · Por TradingFondeo

Binance, uno de los mayores exchanges de criptomonedas del mundo, sufrió el jueves 29 de octubre el mayor robo de criptomonedas registrado. Te explicamos qué ocurrió, qué se sabe y qué no, y qué significa si operas futuros, tienes cuenta de fondeo o cobras o guardas dinero en cripto.

Actualización del 9 de noviembre

Esto es lo nuevo desde el 5 de noviembre. Es la última actualización que hacemos día a día: la noticia ha pasado de la emergencia a la recuperación, y solo volveremos a tocar el artículo si hay una novedad importante.

• Vuelven más retiros. El 6 de noviembre Binance dijo que restauraría los retiros de HYPE, APT, INJ, PLASMA, NEAR y LTC antes del final de la semana siguiente. El domingo 8 reabrió HYPE y APT, antes de lo previsto (Bitcoin.com, 24/7 Wall St.). El resto de activos irá por fases y no hay fecha de cierre.
• Cambio de director financiero. Según Bloomberg, que no hemos podido leer y que recoge The Economic Times, el cofundador y codirector ejecutivo Yi He anunció el sábado 7 que Kaiser Ng, director financiero desde 2022, deja el cargo y lo sustituye Justin Yek, antes en Airwallex. El motivo declarado es una transición iniciada seis meses antes. Las fuentes que hemos leído no relacionan el cambio con el hackeo, y nosotros tampoco.
• Las reservas en Binance siguen bajando. Según CryptoQuant (datos al 8 de noviembre, vía Bitcoin.com), el bitcoin guardado en Binance pasó de unos 730,000 a unos 673,700 BTC (−7.7 %), el ether de unos 3.48 a unos 3.08 millones (−11.5 %) y las stablecoins basadas en Ethereum de unos 41,000 a unos 32,000 millones de dólares (−22 %). Arkham, con datos del mismo día, da otras cifras (696,184 BTC y 3.454 millones de ETH). Las fuentes no cuadran entre sí; una de ellas cuenta unas retiradas netas de clientes de unos 3,640 millones de dólares, cerca del 2.1 % de los activos.
• El relato del ataque no ha cambiado. Según The New York Times (3 de noviembre), resumido por el boletín This Week in Security y basado en el informe posterior de Binance, el robo duró unos 20 minutos tras meses de ataques dirigidos a empleados. Siguen las mismas cifras de dinero afectado, entre unos 6,300 y 6,430 millones de dólares según la fuente.
• Prueba de reservas completa: sin confirmar. Binance calculó de 50 a 60 horas desde el 4 de noviembre. Ese plazo ya ha pasado y no hemos encontrado publicada la prueba completa de los 44 tokens. No hemos podido abrir la página de Binance, así que no podemos descartar que ya exista.

Actualización del 5 de noviembre

Esto era lo nuevo el 5 de noviembre. Lo dejamos como lo publicamos; lo más reciente está arriba.

• Binance ha contado cómo empezó el ataque. Según lo que la empresa explicó el 3 de noviembre a los medios, no fue una sola brecha sino una campaña de varios meses. Un ingeniero fue contactado por alguien que se hacía pasar por reclutador y pasó dos entrevistas falsas; en la segunda le hicieron descargar un archivo presentado como prueba de selección, que era malware. El 20 de octubre los atacantes usaron su portátil para entrar en los equipos de otros dos empleados y, días después, lanzaron con credenciales robadas el programa que hizo las transferencias (Yahoo Finance). Fortune añade que otro ingeniero descargó una versión manipulada de Homebrew, que los atacantes usaron una herramienta interna de IA para moverse entre equipos y que encontraron un permiso de despliegue. Yahoo Finance sitúa el inicio de la campaña en junio, con la descarga de una herramienta de programación con IA. Las dos fuentes difieren en estos detalles.
• Binance atribuye el ataque a Corea del Norte, en línea con el FBI y con los investigadores externos. Corea del Norte lo negó. Según Fortune, Binance dice que en 2026 frenó 57 intentos vinculados a ese país.
• Binance dice haber repuesto cerca del 98 % de lo afectado (4 de noviembre), frente al 95 % del 2 de noviembre. El 2 % restante son tokens poco líquidos que compra en el mercado y por operaciones OTC. Afirma haber reservado más del 100 % de lo necesario y que las pérdidas no las pagarán los clientes.
• Los retiros siguen abriéndose por fases. Hubo una nueva fase el 3 de noviembre a las 04:00 UTC (CryptoTicker, que cita la «Recovery Update #6» de Binance) y otra el 5 de noviembre a las 04:00 UTC. Los depósitos siguen abiertos. Binance avisa de posibles retrasos y pide comprobar el activo y la red antes de retirar. No hay fecha de cierre.
• La instantánea de reservas se amplió de 10 a 44 tokens (tomada el 4 de noviembre a las 00:00 UTC). La prueba criptográfica completa tarda, según Binance, de 50 a 60 horas, y después los titulares podrán comprobar que su saldo está respaldado al menos 1:1. Hasta que salga, es una declaración de la empresa. Algunos medios hablan de 62 tokens, pero esa cifra corresponde a los activos incluidos en la fase de retiros, no a la instantánea. Sobre la prueba de los 10 primeros activos, medios del 2 de noviembre la dan por completada; no hemos podido abrir la página de Binance para comprobarlo.
• Las cifras de dinero congelado no cuadran. Fortune dice que Binance habla de unos 2,500 millones recuperados tras la congelación de stablecoins por Tether y Circle; antes, Binance hablaba de cerca de 3,000 millones congelados. Parte del dinero ya se mueve: según SomaXBT, citado por The Block, unos 242 millones se lavaron en Tron el 1 de noviembre.
• Las salidas de Binance se han frenado. Según DefiLlama (vía The Block, 2 de noviembre), las salidas netas de 24 horas bajaron a unos 3,290 millones, más de la mitad menos que el pico de unos 7,000 millones. El 5 de noviembre, 24/7 Wall St. sitúa el BNB en unos 705 dólares. Coinbase dijo el 4 de noviembre que guarda más del 99 % de los activos de sus clientes en almacenamiento en frío.

Actualización del 2 de noviembre

Esto era lo nuevo el 2 de noviembre. Lo dejamos como lo publicamos, pero dos cosas han cambiado: Binance ya ha explicado cómo empezó el ataque y la segunda fase de retiros ya está en marcha (ver arriba).

• Los retiros se han reabierto por fases. Empezaron el domingo 1 de noviembre a las 06:00 UTC (07:00 en España). La primera fase abarca 15 redes y activos, entre ellos BTC, ETH, USDT, USDC, BNB, SOL, XRP y DOGE. Binance dijo que a las 12:36 UTC estaban todos operativos. El resto sigue en pruebas y Binance no ha dado fecha para la segunda fase. Los depósitos siguieron abiertos.
• Binance dice haber repuesto cerca del 95 % de lo afectado, frente al 90 % del 31 de octubre. El 5 % que falta está en tokens menos líquidos, más lentos de comprar. Binance asegura que las pérdidas no las pagarán los usuarios y que devolverá el SAFU a unos 1,000 millones.
• El FBI atribuye el robo a Corea del Norte. Su aviso del sábado 31 señala a TraderTraitor, publica direcciones de carteras y dice que prevé que el dinero se lave por finanzas descentralizadas (DeFi) y servicios de intercambio instantáneo. Pide a las empresas que bloqueen operaciones con esas direcciones. Es la misma unidad a la que el FBI atribuyó el hackeo de Bybit.
• Salieron miles de millones tras reabrir. Según Binance, entre las 06:00 y las 15:30 UTC del domingo procesó 4,649 millones en retiros y 1,010 millones en depósitos: una salida neta de 3,640 millones, el 2.1 % de los 171,000 millones que gestiona (dato del 28 de octubre). Su cofundador CZ escribió en X que «el 98 % elige quedarse». Otras fuentes miden más: DefiLlama, citada por Cointelegraph, habla de 5,800 millones netos en 24 horas. Son mediciones distintas y no se pueden comparar de forma directa.
• Prueba de reservas a medias. Binance publicó una instantánea del 31 de octubre en la que 10 activos (BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD y ZEC) aparecen respaldados al 100 %. La prueba criptográfica completa (de conocimiento cero) la retrasó hasta el martes 3 de noviembre (UTC): dice que tarda de 40 a 50 horas en generarse. Antes se había hablado del lunes. Hasta que no salga, es una declaración de la empresa y no una comprobación independiente.
• Sigue sin haber informe del incidente. Binance prometió uno cuando termine la investigación, sin fecha. Tampoco ha explicado qué son los «puntos adicionales de brecha».

Qué hacer si tienes cuenta en Binance: comprueba en la app, activo por activo y red por red, si el retiro está habilitado, porque no todos lo están. Si tardan, es esperable por el volumen. Desconfía de mensajes que prometan «acelerar» un retiro o recuperar fondos.

En resumen

• Hackers sacaron de carteras de Binance unos 6,300 millones de dólares en criptomonedas, según Binance. Es el mayor robo cripto conocido, unas cuatro veces el de Bybit en 2025.
• Binance dice que los fondos de los usuarios están seguros y que cubre las pérdidas con su fondo de emergencia (SAFU) y con dinero de la empresa. Afirma haber repuesto ya cerca del 98 %.
• Los retiros se reabrieron el 1 de noviembre, por fases y se siguen ampliando: el 8 de noviembre volvieron HYPE y APT. Aún pueden faltar activos y redes.
• TRM Labs, Chainalysis y el FBI señalan a Corea del Norte. Desde el 3 de noviembre, Binance también lo atribuye a ese país.
• Según Binance, el ataque empezó con entrevistas de trabajo falsas a ingenieros y fue una campaña de meses.
• No hay indicios de que el hackeo afecte a las cuentas de fondeo de futuros, pero deja lecciones útiles sobre dónde guardas tu dinero.

Qué pasó

El jueves 29 de octubre, sobre las 20:20 UTC (16:20 en Nueva York, 21:20 en España y 14:20 en el centro de México), salieron de las carteras de Binance bitcoin, ether, stablecoins y otros tokens a través de diez blockchains. Según las fuentes, la mayor parte del robo duró unos 20 minutos. Binance suspendió retiros y avisó de que la cifra «puede seguir aumentando» mientras rastrea los fondos.

Las carteras afectadas son «carteras calientes» (hot wallets): las que están conectadas a internet para poder pagar los retiros de los clientes. Es una parte pequeña del total que un exchange guarda. Se estima que Binance tenía unos 144,000 millones de dólares en activos antes del ataque, así que el robo equivale a un 4 % aproximadamente. Binance usa otra base en sus últimos comunicados: 171,000 millones, según su dato de reservas del 28 de octubre.

Las cifras, según quién las da

Las diferencias vienen de cómo se valoran los activos (al precio del momento del robo o al actual) y de que el rastreo no ha terminado.

Cómo ocurrió, explicado fácil

Lo que Binance ha contado, a fecha del 3 de noviembre:

• Todo empezó con un ingeniero engañado. Alguien se hizo pasar por reclutador, le hizo dos entrevistas falsas y le pidió descargar un archivo que era malware.
• Con ese portátil, el 20 de octubre los atacantes entraron en los equipos de otros dos empleados. Días después, con credenciales robadas, lanzaron el programa que hizo las transferencias no autorizadas.
• Fue una campaña de meses, no un solo error. Es lo que ya había avanzado al hablar de «puntos adicionales de brecha».
• Dijo antes que no hay evidencia de que se filtraran las claves privadas de las carteras.

TRM Labs ya había apuntado a que los atacantes consiguieron que el sistema de firmas de Binance firmara las transacciones, y que habrían preparado el ataque al menos 36 horas antes. Es una interpretación suya. Mark Karpeles, exdirigente de Mt. Gox, opinó que probablemente accedieron a las claves de al menos dos carteras, algo que Binance no ha confirmado. Hemos leído el relato de Binance a través de los medios, no su informe original, y las fuentes difieren en algunos detalles (ver arriba).

Quién está detrás

TRM Labs atribuye el ataque con «alta confianza» a TraderTraitor, una unidad norcoreana vinculada al grupo Lazarus, la misma que el FBI señaló por el hackeo de Bybit en 2025. Chainalysis también apunta a Corea del Norte. El 31 de octubre el FBI lo atribuyó oficialmente a Corea del Norte y a TraderTraitor. Elliptic pidió cautela mientras no hubiera una causa confirmada. Binance dijo al principio que su investigación «no había atribuido responsabilidad a ningún individuo», pero desde el 3 de noviembre también atribuye el ataque a Corea del Norte, según Fortune. Corea del Norte lo negó.

¿Están seguros los fondos de los usuarios?

Es lo que más preguntan los usuarios, y conviene separar lo que dice Binance de lo que está comprobado.

• Lo que dice Binance: que los fondos de los usuarios están seguros, que repondrá cualquier pérdida confirmada con el SAFU y con fondos propios, y que ha ampliado su instantánea de reservas a 44 tokens. La prueba completa sigue pendiente.
• Lo que se ha informado del dinero: Binance dice haber apartado más de 6,340 millones de dólares. Según Binance, ya ha repuesto cerca del 98 % de lo afectado y compra el resto en el mercado y por operaciones OTC. El SAFU, de unos 1,000 millones, es menos de una sexta parte de lo robado, así que el grueso sale de la propia empresa.
• Lo que todavía no está comprobado: que todo se cubra, cuándo y en qué plazo. Son declaraciones de la empresa, que aún tiene que demostrarlas con su prueba de reservas.
• Retiros y depósitos: los retiros se reabrieron por fases desde el 1 de noviembre, con nuevas fases el 3, el 5 y el 8 de noviembre (HYPE y APT), y los depósitos siguieron abiertos. Pueden faltar activos y redes.

Qué hizo el mercado

• Bitcoin cayó cerca de un 4.9 % hasta unos 76,900 dólares y tocó un mínimo de seis semanas.
• Ether bajó un 5.7 % y BNB, el token de Binance, un 8 %. Tokens ligados a DeFi como AAVE cayeron más de un 10 %, después de que el atacante usara el protocolo para pedir préstamos.
• El índice de miedo y codicia del mercado cripto bajó a 30 («miedo»).
• Las acciones de Coinbase, que dice no estar afectada, bajaron un 4.8 %. Los analistas citados por Reuters señalan que la caída también viene de la presión previa por los tipos de interés más altos y de la menor demanda de los ETF.

No tenemos datos fiables sobre cómo reaccionaron los futuros de índices a esta noticia, así que no los comentamos.

Qué significa para ti

Si operas futuros con una cuenta de fondeo

Las cuentas de fondeo de futuros que comparamos en nuestras comparativas operan contratos como el NQ o el ES, no criptomonedas dentro de un exchange. En las fuentes que revisamos no aparece ninguna prop firm de futuros. Por eso no tiene por qué cambiar tus reglas ni tu cuenta. Lo que sí te puede afectar es lo que haces con el dinero fuera de la cuenta.

Si cobras tus retiros en cripto

Algunas firmas pagan en cripto. Según nuestros datos, IQ Capital paga en USDC o por transferencia bancaria. Este caso deja dos lecciones para quien cobra así:

• Los emisores de stablecoins pueden congelar saldos. Tether congeló más de 1,500 millones de USDT y Circle más de 800 millones de USDC ligados al ataque. Es útil para frenar a los ladrones, pero muestra que una stablecoin no funciona como el efectivo.
• No todo el cripto se puede congelar. Los 18,270 bitcoin robados, unos 1,400 millones de dólares, no tienen un emisor que pueda bloquearlos. Solo se frenarían si llegan a un exchange o a un servicio de intercambio.

La lección de fondo: dónde está tu dinero

Un experto de la Universidad Macquarie lo resumió así: los activos en un exchange centralizado son tan seguros como el propio exchange. Tampoco hay mucha protección de seguros, porque la mayoría de las pólizas no cubren el robo de cripto. Algunas ideas generales, que no son asesoría financiera:

• Piensa en el riesgo de contraparte. Cuando dejas dinero en una empresa, dependes de ella: de su seguridad, de su solvencia y de que te deje retirar. Esto vale para un exchange, un broker o una prop firm.
• No dejes en un exchange más de lo que necesitas. Es una pauta que muchos siguen. Guardar tú mismo tus cripto tiene sus propios riesgos, como perder las claves, así que infórmate antes.
• Protege tus cuentas. Usa verificación en dos pasos con una app o una llave física en lugar de SMS, una contraseña distinta en cada servicio y, si el exchange lo permite, una lista de direcciones de retiro autorizadas.
• Con las prop firms, la misma regla. Antes de pagar, mira cómo pagan, en qué moneda y qué reglas aplican. Lo recogemos en nuestras reseñas.

Lo que todavía no sabemos

• Si el relato de Binance es completo y definitivo. No hemos visto su informe original.
• Cuánto del dinero robado se podrá recuperar. Las cifras de dinero congelado difieren entre fuentes y parte de los fondos ya se está lavando.
• Cuándo estarán habilitados todos los activos y redes. No hay fecha de cierre.
• Si la prueba de reservas completa de los 44 tokens confirma lo que Binance afirma. Binance calculó de 50 a 60 horas y ese plazo ya ha pasado sin que hayamos visto la prueba publicada.
• Cuándo comprará Binance el 2 % que falta y a qué coste.

Dejamos de actualizar este artículo día a día. Si sale la prueba de reservas completa o hay otra novedad importante, la añadiremos aquí. Si estás empezando, en nuestro Curso Principiante gratis explicamos la gestión del riesgo, y tienes los términos nuevos en el glosario.