Un portátil, 6.300 millones: el mayor robo cripto
El 29 de octubre, Binance sufrió lo que ya se considera el mayor robo de criptomonedas de la historia: unos 6.300 millones de dólares según la propia compañía, citada por Al Jazeera. La exchange suspendió depósitos y retiros, y su primera hipótesis apunta a algo casi ridículo por lo cotidiano: el portátil de un ingeniero. Esta es una historia de ciberseguridad, pero también de inteligencia en fuentes abiertas, porque la atribución del ataque la han hecho firmas de análisis de cadena, no un gobierno.
Qué se sabe, y de quién viene cada dato
Primero, lo que cuenta Binance. Según CNN Business, la compañía explicó el jueves por la noche que una investigación inicial sugiere que el ataque pasó por el portátil de un ingeniero, lo que permitió al atacante acceder a un contenedor de servicio y enviar retiradas no autorizadas. Dice que cubrirá todas las pérdidas con fondos propios y con un fondo de activos de emergencia, y que los fondos de los usuarios están a salvo. Prevé reanudar los retiros el domingo por la mañana. Ha prometido además un análisis técnico detallado cuando termine la investigación.
Segundo, las cifras. Binance habla de unos 6.300 millones robados; CNN abre su texto con «6.000 millones», una diferencia que conviene tener presente al citar. Ambos medios coinciden en que alrededor de 3.000 millones se han congelado, gracias a un grupo de empresas cripto que libró una carrera frenética contra los atacantes para localizar y controlar el dinero. Todo esto es la versión de la compañía y de las firmas que la asisten, y puede cambiar a medida que avance el rastreo.
Tercero, la mecánica. El copresidente ejecutivo, Richard Teng, dijo en X que el ataque no fue una acción de «un clic» sino un proceso complejo. La investigación no ha atribuido responsabilidad a ninguna persona ni ha encontrado indicios de que se filtrara una clave privada de ninguna cartera. Esa última frase es la más inquietante para cualquier equipo de seguridad: si no hubo robo de claves, el atacante llegó a operar desde dentro de un entorno legítimo.
La atribución: cuando la inteligencia la hacen los analistas de cadena
Aquí está lo que más interesa a un equipo OSINT. Según Al Jazeera, la firma TRM Labs evalúa con «alta confianza» que el ataque lo ejecutó TraderTraitor, una unidad de hackeo de Corea del Norte vinculada por los investigadores al grupo Lazarus. CNN añade que TRM se basa en inteligencia «on-chain y off-chain», y que varias características del ataque coinciden con robos anteriores atribuidos a Corea del Norte. Pangolin Intelligence, con sede en Singapur, llega a la misma conclusión, y Chainalysis dice tener «alta confianza» y seguir los fondos mientras se mueven entre varias cadenas, incluidas bitcoin y ethereum.
Corea del Norte ha negado en el pasado acusaciones similares, y CNN había pedido comentario a su misión ante la ONU cuando publicó. Esto importa por una razón metodológica: tres firmas convergen, pero ninguna es una autoridad judicial. Es atribución privada, basada en patrones de comportamiento, infraestructura y trazas de blanqueo. Es un trabajo sólido, pero de otra naturaleza que una acusación formal. Un analista que redacte un informe sobre el caso debería escribir «atribuido por TRM, Chainalysis y Pangolin con confianza alta», no «obra de Corea del Norte».
El analista de Pangolin citado por CNN lo resume así: el juego del gato y el ratón apenas ha empezado, porque Corea del Norte probablemente recurrirá a una red de organizaciones de blanqueo para convertir lo robado en dinero utilizable. Por eso el seguimiento en abierto de esas carteras, con exploradores de bloques y herramientas de trazado, va a generar datos durante semanas.
Contexto: un salto de escala
El récord anterior, según ambos medios, lo ostentaba el robo de 1.500 millones de dólares a Bybit en 2025, atribuido también a Corea del Norte. Al Jazeera añade un dato de referencia: según el informe de delitos cripto de TRM, los ciberdelincuentes robaron 2.870 millones de dólares en casi 150 incidentes durante todo 2025. Un solo golpe a Binance multiplica por más de dos esa cifra anual. Binance, además, gestiona unos 155.000 millones de dólares en activos según CoinMarketCap, más que cualquier otra plataforma.
En el mercado, el bitcoin llegó a caer cerca de un 5 % hasta situarse por debajo de los 77.000 dólares, según Al Jazeera; a media mañana del viernes en Hong Kong, CNN lo situaba un 2-3 % a la baja tras recuperar parte de lo perdido. Las dos cifras describen momentos distintos de la misma sacudida.
La lección que no es cripto: el portátil
Es fácil leer esto como un asunto de criptomonedas y pasar página. Es un error. Lo que se describe, un equipo de un empleado que da acceso a un contenedor de servicio desde el que se firman operaciones, es una cadena de ataque que puede repetirse en una empresa de logística, un despacho o una pyme industrial. El hecho es de Binance; el análisis siguiente es mío.
Qué revisar esta semana
- Quién puede alcanzar los entornos que mueven dinero o datos críticos desde un equipo de trabajo, y con qué credenciales.
- Si existen retiradas, pagos o exportaciones masivas que se puedan ejecutar sin una segunda aprobación independiente del equipo del solicitante.
- Qué alertas saltan cuando un servicio hace una operación fuera de su patrón habitual, no solo cuando se roba una contraseña.
- Cuánto tarda la empresa en congelar una operación sospechosa: el caso Binance muestra que un rastreo rápido permitió inmovilizar una parte del dinero.
Qué evitar
Evite el consuelo de «a nosotros no nos interesa Corea del Norte». La cadena de ataque descrita no distingue tamaños; solo cambia el botín. Y evite, en comunicación pública, afirmar la causa antes de que exista informe forense. Binance ha prometido uno, y hasta entonces la causa del portátil es una hipótesis inicial de la compañía.
Lo que queda por ver
Quedan abiertas tres cosas. La primera, si Binance reanuda los retiros el domingo como prevé. La segunda, cuánto de lo robado se logra inmovilizar, más allá de los 3.000 millones congelados hasta ahora. La tercera, qué detalle técnico ofrece el informe prometido. Sean Foley, de la Universidad Macquarie, dijo a Al Jazeera que cualquier activo en una exchange centralizada es tan seguro como la propia exchange, y que el ataque podría empujar a más operadores hacia alternativas descentralizadas. Es una opinión de un experto, razonable, aunque no un hecho.
Mi valoración: lo más relevante de la semana no es la cifra, sino que un grupo de empresas privadas de análisis ha hecho en horas lo que antes llevaba meses: señalar a un probable autor y congelar miles de millones. La defensa se ha vuelto un ejercicio de inteligencia en tiempo real. En DAVMAC desarrollamos herramientas de inteligencia, análisis de datos y monitorización para empresas e instituciones; si quiere evaluar cómo de expuesta está su organización ante una cadena de ataque como esta, puede contactarnos.