Binance, el exchange (la plataforma donde se compran, venden y guardan criptomonedas) más grande del mundo, dice que el ataque que sufrió el 29 de octubre de 2026 empezó por la laptop comprometida de uno de sus ingenieros DevOps. Desde ahí, el atacante llegó a un contenedor de servicio y mandó pedidos de retiro que nadie había autorizado.
Según el aviso oficial de Binance, el impacto estimado es de unos US$6.300 millones, con cerca de US$3.000 millones ya congelados, y no encontró pruebas de que se haya filtrado ninguna llave privada. Si la cifra se confirma, es el robo cripto más grande registrado: el récord anterior era el de Bybit, de unos US$1.500 millones, en febrero de 2025.
Qué pasó, hora por hora
El 29 de octubre, hora argentina:
- 17:24: una sola transacción saca de una billetera caliente de Binance (conectada a internet, la que paga los retiros) 167.464 ether, más de 60 tokens y 1.615 millones de USDT hacia una dirección nueva, según los datos de la red que reconstruyó Decrypt. Después siguen salidas en Bitcoin y en Tron.
- 18:18: Circle, la empresa detrás de la stablecoin USDC, congela más de 800 millones de USDC en coordinación con las fuerzas de seguridad.
- 18:25: Tether, la emisora de USDT, congela más de 1.567 millones de USDT.
- 19:15: Binance pausa los retiros mientras hace controles de seguridad.
- 21:52: Binance informa unos US$3.000 millones congelados, verificados.
- 22:36: anuncia que cubrirá todas las pérdidas y suspende también los depósitos.
- 23:25: publica la causa preliminar: la laptop de un ingeniero DevOps.
Las stablecoins son criptomonedas atadas al dólar que emite una empresa. Por eso el emisor puede congelar las de una dirección, algo que con bitcoin o ether nadie puede hacer.
Cómo entraron, según Binance
Un exchange guarda casi todo en billeteras frías, desconectadas de internet. Para pagar los retiros del día usa billeteras calientes, conectadas y manejadas por sistemas automáticos que firman las transacciones.
Lo que describe Binance es un ataque a ese sistema, no a la blockchain ni a la criptografía. El ingeniero DevOps (el perfil que opera la infraestructura y los despliegues) tenía desde su laptop un camino hasta un contenedor de servicio, uno de los programas que corren en producción. Ese contenedor podía pedir retiros, y el atacante lo usó para pedirlos.
Es decir: no hizo falta robar la llave que firma. Alcanzó con llegar al sistema que tiene permiso para pedirle firmas.
Decrypt agrega un detalle técnico: unos tres minutos antes de la primera salida, una dirección financiada a través de Tornado Cash (un servicio que mezcla fondos para borrar su rastro) envió una delegación EIP-7702 sobre una billetera caliente de Binance. EIP-7702 es una función de Ethereum, activa desde mayo de 2025, que permite que una dirección autorice a un contrato a actuar en su nombre.
Binance dice que revocó la autorización de la dirección afectada, suspendió depósitos y retiros y trabaja con las fuerzas de seguridad para rastrear los fondos. Prometió un informe técnico completo (post-mortem) y una nueva prueba de reservas (el informe que muestra que tiene los fondos de sus clientes) cuando termine la investigación.
No es la primera vez que la puerta es el equipo de un ingeniero
- Bybit, 2025: el robo de US$1.500 millones empezó en la Mac de un desarrollador de Safe{Wallet}, el proveedor de su billetera. Según la investigación de Safe con Mandiant, el desarrollador bajó un proyecto Docker con trampa y le robaron un token de sesión de AWS (la credencial que queda guardada después de iniciar sesión) que les permitió saltear el segundo factor. El FBI se lo atribuyó a Corea del Norte.
- LastPass, 2022: el atacante entró por la computadora personal de un ingeniero DevOps, uno de los cuatro con acceso a la bóveda corporativa. Le instaló un keylogger (un programa que registra lo que se tipea) y capturó su contraseña maestra después de que pasara el segundo factor.
Binance todavía no atribuyó el ataque a nadie. Lo que repiten los tres casos es el camino: la computadora de una persona con acceso privilegiado, y desde ahí, producción.
Por qué importa también en la región
Según Chainalysis, Argentina movió US$88.500 millones en cripto en los doce meses hasta junio de 2026, la segunda de América Latina. Fintechs, comercios y tesorerías operan con exchanges o mueven stablecoins.
Y la lección no es solo cripto: cualquier sistema que mueve plata (pagos, transferencias, liquidaciones) tiene un servicio que puede ordenar movimientos, y alguien que puede llegar a ese servicio.
Qué revisar en su organización
- Quién llega a producción desde su laptop. Hacer el inventario de las personas y los equipos con camino directo a servicios críticos, y llevar ese acceso a estaciones de administración dedicadas o a un bastión (un único servidor de entrada, controlado y registrado), separadas del equipo con el que se navega y se lee el correo.
- Sesiones cortas y atadas al dispositivo. El token robado en el caso Bybit salteó el segundo factor. Acortar las sesiones de nube y de consola, y exigir que vengan de un equipo administrado (acceso condicional).
- Separar al que pide del que firma. El servicio que pide un pago no debería poder aprobarlo solo: el firmante (un HSM, el hardware dedicado que guarda la llave y firma, o un esquema de firma repartida entre varias partes) valida destino, monto y frecuencia con reglas propias, y los montos grandes piden una segunda aprobación humana.
- Límites por monto y por tiempo. Un tope de salida por hora en cada billetera o cuenta operativa acota el daño de un vaciado.
- Permisos con vencimiento e inventario. Delegaciones, claves de API y roles de servicio con fecha de expiración, revisados con frecuencia y con alerta cuando aparece uno nuevo.
- Protección en los equipos de desarrollo. EDR (el software que detecta comportamiento malicioso en la computadora) también en las de devs y DevOps, y cuidado con proyectos y pruebas técnicas de desconocidos: el caso Bybit empezó con un proyecto Docker.
- Alertas en minutos y un plan para congelar. Buena parte de lo recuperado se salvó porque Tether y Circle congelaron en menos de una hora. Tener definidos de antemano los contactos con emisores, bancos y proveedores, y quién decide pausar operaciones.
- Si su empresa opera con un exchange. No concentrar la tesorería en uno solo, conciliar saldos a diario y tener previsto qué pasa si suspende retiros, como hizo Binance.
¿Cuántas laptops de su equipo llegan hoy a producción?
¿Saben cuántas personas pueden, desde su computadora, llegar al sistema que mueve la plata? Los leemos en los comentarios.
Fuentes
- Binance: aviso sobre el incidente de seguridad (30/10/2026)
- Binance en X: causa preliminar e impacto estimado
- Binance en X: cobertura de las pérdidas y suspensión de depósitos y retiros
- Jeremy Allaire (Circle) en X: congelamiento de USDC
- Paolo Ardoino (Tether) en X: congelamiento de USDT
- Decrypt: reconstrucción de las transacciones
- ethereum.org: Pectra y EIP-7702
- The Hacker News: Safe{Wallet} y el robo a Bybit
- FBI: aviso sobre el robo a Bybit
- SecurityWeek: LastPass y la computadora del ingeniero DevOps
- Chainalysis: adopción cripto en América Latina 2026
