Binance investiga si el robo de unos 6.300 millones de dólares, el mayor registrado en criptomonedas, empezó en el portátil comprometido de un ingeniero de DevOps. Lo que se sabe y qué deben aprender las empresas.
El 29 de octubre de 2026, a las 20:05 UTC (3:05 p. m. en Colombia), un atacante sacó de Binance unos 6.300 millones de dólares en criptomonedas, la mayor parte en unos 20 minutos y a través de diez blockchains. Según la firma TRM, es el mayor robo de criptomonedas registrado, unas cuatro veces el que sufrió Bybit en febrero de 2025.
Lo que se sabe: la pista del portátil
Según Binance, el ataque podría haber empezado en el portátil comprometido de uno de sus ingenieros de DevOps, el equipo que administra la infraestructura: desde ese acceso, los atacantes habrían llegado a un contenedor de servicios y enviado retiros no autorizados. La empresa lo describe como un ataque complejo, dice que su investigación encontró otros puntos de intrusión y que hasta ahora no ha hallado filtración de las llaves privadas de sus billeteras. La firma TRM sigue otra pista: un compromiso de la infraestructura que firma las transacciones de las billeteras calientes, las que están conectadas a internet.
TRM y Chainalysis atribuyen el ataque a TraderTraitor, un grupo de hackers del Estado norcoreano. Binance suspendió los retiros, mientras los depósitos siguieron funcionando; aseguró que los fondos de sus usuarios están protegidos y que cubrirá las pérdidas con su fondo de seguro SAFU y recursos propios. Según TRM, emisores de monedas estables como Tether, Circle y Ripple congelaron unos 2.700 millones de dólares; Binance habla de unos 3.000 millones congelados en total. La investigación sigue abierta, así que estas cifras pueden cambiar.
La lección para cualquier empresa
No hace falta manejar criptomonedas para aprender de este robo. Los portátiles de quienes administran servidores, nube o sistemas financieros son la llave de toda la empresa: si un atacante los controla, hereda ese acceso.
- Usa cuentas de administración separadas de las del día a día, como el correo y la navegación.
- Activa en las consolas críticas un doble factor resistente al phishing, como las llaves de seguridad físicas.
- Da acceso solo cuando se necesita y por tiempo limitado, en lugar de permisos permanentes.
- Exige la aprobación de dos personas para operaciones sensibles, como pagos o retiros grandes.
- Instala protección avanzada (EDR) en los equipos y vigila los accesos fuera de lo normal.
Actualización del 31 de octubre: Binance repuso el 90 %
Binance informó el 31 de octubre que ya repuso el 90 % de lo robado con su fondo SAFU, su fondo de seguro de futuros y su tesorería, publicó una instantánea de su prueba de reservas y prevé reabrir los retiros el 1 de noviembre. También revisamos esta noticia contra los comunicados de Binance y los informes de TRM y Chainalysis: corregimos que solo se suspendieron los retiros y precisamos que el origen en el portátil del ingeniero es la principal hipótesis de Binance, no un hecho confirmado.
Cómo te ayudamos
En nuestra consultoría informática revisamos quién tiene acceso a qué en tu empresa y diseñamos controles para las cuentas de administración, y con el soporte técnico mantenemos protegidos los equipos de tu personal. Agenda una revisión.
Fuentes
- Binance: actualización del incidente de seguridad (30 de octubre de 2026)
- Binance: segunda actualización del incidente (30 de octubre de 2026)
- Binance: tercera actualización, reposición del 90 % (31 de octubre de 2026)
- TRM Labs: Corea del Norte y el robo a Binance (30 de octubre de 2026)
- Chainalysis: el rastro hacia Corea del Norte (30 de octubre de 2026)
Fuente: BleepingComputer
