El robo más grande jamás registrado no requirió romper ningún cifrado, descifrar ninguna bóveda de contraseñas ni robar las llaves de una sola billetera. Los atacantes lograron que los propios sistemas de la víctima aprobaran las transferencias, y luego se movieron más rápido de lo que cualquier persona podría reaccionar.
Vale la pena entenderlo aunque tu empresa nunca haya tenido una criptomoneda, porque el mismo grupo dedica buena parte de su tiempo a empresas que se parecen mucho más a la tuya.
Qué pasó
La preparación fue paciente. Según la firma de análisis de blockchain TRM Labs, la billetera desde la que operarían los atacantes se fondeó a través del servicio de mezcla Tornado Cash al menos 36 horas antes del robo, y en la madrugada del 29 de octubre probaron su código contra dos billeteras y luego ensayaron una vez más con una tercera.
El robo en sí fue rápido. Poco después de las 20:05 UTC, cinco billeteras de Binance en el XRP Ledger empezaron a enviar fondos. Entre las 20:20 y las 20:24 salieron 18,270 bitcoins. En Ethereum, una sola transacción con cincuenta autorizaciones prefirmadas le entregó el control de una de las hot wallets de Binance al código de los atacantes, que la vació de ether y de decenas de otros tokens tres minutos y medio después. La mayor parte del dinero salió por diez blockchains en unos veinte minutos. Una segunda ola, más pequeña, en otras dos redes se prolongó hasta poco antes de la medianoche.
La primera explicación pública de Binance, en la madrugada del 30 de octubre, dijo que la "laptop comprometida de un ingeniero de DevOps" le permitió al atacante llegar a un servicio interno y "enviar transacciones de retiro no autorizadas". Más tarde dijo que su investigación había "descubierto puntos de intrusión adicionales". El codirector ejecutivo Richard Teng describió un ataque complejo que incluyó software malicioso diseñado para borrar la evidencia de su propia actividad, y dijo que "no fue una sola acción de un clic" y que no pasó por los controles de aprobación normales de la empresa. Binance todavía no ha publicado una causa raíz completa.
El 31 de octubre, el FBI dijo que Corea del Norte era responsable, nombró a la operación TraderTraitor y publicó más de 600 direcciones que pidió a la industria cripto bloquear. Los analistas de Chainalysis habían llegado a la misma conclusión en pocas horas, en parte porque los fondos robados se estaban mezclando con dinero de un robo de septiembre a otro exchange, Bitget, ya atribuido a Corea del Norte.
No robaron las llaves. Tomaron prestada la firma.
El detalle más importante es lo que los atacantes no necesitaron. Binance dijo que no encontró evidencia de una filtración de llaves privadas, y los analistas coinciden. Como lo explicó Elliptic, el atacante "parece haber logrado que los propios sistemas de Binance firmaran transacciones en su nombre".
Es un tipo de falla distinto del que protege la mayor parte del gasto en seguridad. Las llaves estaban a salvo. El proceso de aprobación estaba intacto en papel. Pero el sistema que aplicaba las aprobaciones era alcanzable desde el equipo comprometido de un empleado, y una vez que el atacante estuvo dentro, cada transacción que producía era, técnicamente, legítima.
El robo a Bybit en febrero de 2025 siguió el mismo patrón: se comprometió el equipo de un desarrollador en un proveedor, y se alteró en silencio la interfaz que el personal usaba para aprobar transferencias. En ambos casos, los controles de la organización hicieron exactamente lo que debían hacer. Solo que los estaba operando alguien más.
Toda empresa tiene su propia versión de esto. Tu banco exige dos aprobaciones para un pago grande, pero ambos aprobadores entran desde laptops. Tu sistema contable cruza facturas con órdenes de compra, pero alguien con acceso de administrador a ese sistema puede modificar cualquiera de las dos. Un control es tan fuerte como el equipo más expuesto que puede operarlo.
La velocidad, y lo que la velocidad salvó
Veinte minutos no es una ventana en la que una persona note algo, lo escale y lo detenga. Lo que detenga un robo a esa velocidad tiene que ser automático.
Lo que pasó después es la parte alentadora. Los emisores de stablecoins como Tether y Circle pueden congelar sus propios tokens, y alrededor de una hora después de que empezó el robo ya lo estaban haciendo. Los analistas cuentan ahora unos 2,850 millones de dólares congelados, aproximadamente el 44% de lo que se llevaron. Casi todo se congeló porque un tercero pudo actuar rápido sobre fondos que controlaba, no porque Binance pudiera recuperar algo por su cuenta.
La lección aplica directamente al fraude de pagos común. Cuando una empresa le transfiere dinero a un delincuente, la posibilidad de recuperarlo depende casi por completo de qué tan rápido se le avisa al banco. Las horas importan. Los días, normalmente, significan que el dinero ya no está.
La otra línea de negocio de Corea del Norte: tu proceso de contratación
Las operaciones cibernéticas de Corea del Norte existen para recaudar dinero, y el robo de cripto es solo un canal. El otro es conseguir que los contraten.
En octubre, el FBI advirtió que los trabajadores de TI norcoreanos pagan cada vez más a "facilitadores" en Estados Unidos para alojar laptops de empresas, reparten esas granjas de laptops en más lugares y rentan cuentas profesionales establecidas para parecer creíbles. Esa misma semana, el Departamento de Justicia de Estados Unidos acusó a 14 personas por esquemas que colocaron trabajadores en más de 70 empresas estadounidenses de 17 estados. El 28 de octubre, el Tesoro sancionó a otras diez personas y una empresa por los mismos esquemas.
El reclutamiento también funciona al revés. Una alerta conjunta de Japón, Estados Unidos, Australia y Alemania en septiembre describió una campaña de entrevistas de trabajo falsas que infectó al menos 30,000 equipos en más de 100 países, usando intercambio de rostros con IA en las videollamadas. A principios de este año, investigadores encontraron que operadores norcoreanos habían registrado una empresa falsa en México para que sus ofertas de trabajo parecieran legítimas.
No se ha revelado cómo se comprometió la laptop del ingeniero de Binance, y no vamos a adivinarlo. Pero el patrón en los casos anteriores de este grupo es consistente: el primer paso suele ser una persona, abordada como candidata, reclutadora o colega, no una pieza de software.
Qué hacer en concreto
Trata los equipos de administración como lo más valioso que tienes. Las laptops que pueden llegar a tus sistemas de pago, a la consola de administración de Microsoft 365 o Google, a tus servidores o a tu software contable merecen más protección que el resto. Eso significa cuentas de administrador separadas que se usen solo para tareas de administración, nada de navegación personal ni proyectos paralelos en esos equipos, y protección de endpoints que alguien realmente monitoree.
Pon la aprobación donde el atacante no pueda llegar. Usa la doble autorización del propio banco para los pagos, de modo que la segunda aprobación ocurra en el sistema del banco y no dentro de uno de los tuyos. Verifica cualquier cambio en los datos bancarios de un proveedor llamando a un número que ya tenías, nunca al que viene en el correo que pide el cambio.
Mantén menos dinero en la cuenta "caliente". Las pérdidas de Binance salieron de billeteras que se mantenían en línea para los retiros diarios. Tu equivalente es la cuenta desde la que salen los pagos. Mantenla con lo necesario para operar, pasa el resto a una cuenta que requiera más pasos para mover dinero y define límites diarios con tu banco.
Sabe a quién estás contratando. Para puestos remotos, exige video en vivo con la cámara encendida, verifica los documentos de identidad, envía equipos solo a una dirección verificada y desconfía de una contratación nueva que pida enviar la laptop a otro lugar. Aplica el mismo cuidado a contratistas y agencias que proveen personal remoto.
Advierte a tu personal técnico sobre los reclutadores. Los desarrolladores y el personal de TI nunca deben ejecutar una "prueba técnica" ni instalar software enviado por un reclutador en un equipo de trabajo. Si quieren revisarlo, el lugar es una máquina virtual desechable.
Decide quién llama al banco antes de necesitarlo. Deja por escrito quién contacta la línea de fraude de tu banco si un pago sale mal, y asegúrate de que pueda hacerlo dentro de la primera hora, incluidas noches y fines de semana.
El resumen
Binance puede absorber una pérdida de 6,300 millones de dólares; tenía reservas y fondos de seguro precisamente para esto, y sus clientes están siendo compensados. Casi ninguna otra organización sobreviviría a un robo de esa proporción.
Lo importante para todos los demás no es el tamaño. Es el método: un solo equipo comprometido, controles que eran perfectamente sólidos hasta que alguien más los estaba operando, y un robo terminado antes de que cualquier persona pudiera responder. Protege los equipos que pueden aprobar cosas, pon la aprobación final fuera del alcance de un atacante y cuida a quién dejas entrar tanto como cuidas qué software instalas.
Fuentes
- Binance security incident update — Binance, 30 de octubre de 2026 (actualización 2, actualización 3, actualización 4)
- North Korea responsible for $6 billion Binance attack — FBI
- North Korea steals $6.36 billion from Binance in the largest hack in history — TRM Labs
- Binance exploit: latest findings and response — Chainalysis
- The Binance hack: the largest in history — Elliptic
- FBI says North Korea was behind $6 billion Binance crypto hack — Reuters, vía NBC News
- Binance pauses withdrawals as hackers suspected of stealing billions in crypto — TechCrunch
- North Korean IT workers: public service announcement — FBI, 13 de octubre de 2026
- North Korean WaterPlum hackers infected 30,000 devices worldwide — BleepingComputer
- North Korean hackers siphon $12 million from crypto users — The Record
