Hackeo de Binance: qué pasó, qué hacer ahora y qué te protege de verdad

Si tienes fondos en Binance, empieza por la distinción que la cobertura mediática sigue difuminando. Según la versión de Binance hasta ahora, el robo del 29 de octubre de 2026 ocurrió dentro de sus sistemas. Según todo lo publicado hasta ahora, ninguna contraseña que eligieras, ningún método de 2FA, ninguna configuración de tu lado tuvo parte alguna en él, y ninguna podría haberlo detenido: la versión de Binance es que los retiros no autorizados se enviaron desde dentro de sus sistemas. El peligro para ti empieza después del hackeo, y está de tu lado: estafas de reembolso, falsos agentes de soporte, "portales de reclamo" maliciosos y apps troyanizadas que suelen seguir a una gran brecha. Este artículo ordena qué pasó, qué se desconoce todavía, y cada medida de protección según la amenaza que realmente detiene. Los retiros están pausados al momento de escribir esto, y Binance espera reanudarlos dentro de las 48 horas posteriores a su actualización de las 04:36 UTC. Todo lo aquí expuesto refleja la situación a las 06:40 UTC del 30 de octubre de 2026.

¿Qué pasó realmente en Binance?

TRM Labs estima que unos $6.36 mil millones salieron de Binance a través de diez blockchains, con la mayor parte moviéndose en aproximadamente 20 minutos a partir de las 20:05 UTC del 29 de octubre, seguida de una segunda ola alrededor de las 23:05 UTC. Ethereum representó unos $3.79 mil millones y Bitcoin 18,270 BTC, alrededor de $1.47 mil millones. Chainalysis situó la cifra en $5.912 mil millones al momento del robo, y su cofundador habló después de unos $6.4 mil millones y de la probable implicación de TraderTraitor. Según el recuento de TRM, eso es unas cuatro veces el robo de $1.5 mil millones a Bybit de febrero de 2025.

A las 21:29 UTC Binance dijo que estaba "al tanto de informes de un problema de seguridad potencial" y advirtió a los usuarios de no confiar en enlaces no oficiales ni en solicitudes de información de cuenta. Suspendió los retiros, y en su comunicado principal de alrededor de las 02:25 UTC del 30 de octubre dijo que el impacto total estimado "se sitúa en torno a los $6.3B", con unos $3 mil millones congelados en cadena hasta el momento. Según Binance, su investigación inicial sugiere que el incidente puede involucrar la laptop comprometida de un ingeniero de DevOps, que permitió a un atacante llegar a un contenedor de servicio y enviar transacciones de retiro no autorizadas. Binance dice que no ha encontrado "ninguna evidencia de filtración de claves privadas de billeteras" y que el incidente "se debe a múltiples factores". Ha prometido un informe exhaustivo con la causa raíz. Binance también dice que publicará un Proof of Reserves actualizado una vez completada la remediación.

Según TRM, los fondos salieron de billeteras calientes, las billeteras que un exchange mantiene conectadas a internet para poder firmar los retiros con rapidez. La evaluación de TRM es que la "explicación más probable" es que el atacante hizo que el sistema de firma de billeteras calientes de Binance firmara transacciones, tras ensayar con billeteras de prueba. TRM atribuye el ataque al grupo norcoreano TraderTraitor "con alta confianza", y el cofundador de Chainalysis también apunta a TraderTraitor. Ambas son evaluaciones de analistas. El FBI atribuyó el robo a Bybit al mismo grupo, pero ningún gobierno se ha pronunciado sobre este incidente.

Binance dice que cubrirá todas las pérdidas con el fondo SAFU y los fondos de la empresa, y que "los fondos de los usuarios están seguros". Esas son promesas de Binance, declaradas por Binance. Para dar escala, CoinDesk informa que SAFU tiene aproximadamente $1 mil millones en bitcoin y fue creado en 2018, y que Binance tenía unos $144 mil millones antes del hackeo según DefiLlama, lo que significa que el robo se llevó alrededor de 4% de los activos. Binance.US, según se informa, no se vio afectada, según PTC News.

¿Qué sigue sin confirmarse?

Bastante. Trata lo siguiente como preguntas abiertas, no como hechos establecidos.

• La causa raíz. La explicación de la laptop es la sugerencia inicial de Binance, y la propia Binance dice que hubo múltiples factores involucrados. Que una sola computadora comprometida explique la firma en diez cadenas no está establecido.
• La pérdida final. Las cifras de Binance, TRM y Chainalysis difieren y siguen moviéndose.
• Cuánto se recupera. Congelado significa que un emisor como Tether, o en un caso el consejo de seguridad de una cadena, ha bloqueado el movimiento en cadena de los tokens robados; devuelto significa que el dinero está de vuelta donde empezó, y no se ha informado de ninguna devolución. TRM estima que los emisores congelaron unos $2.67 mil millones, incluidos aproximadamente 1.77 mil millones de USDT por Tether y 825 millones de USDC por Circle. Pero TRM también estima que más de 420,000 ETH y 18,270 BTC, unos $2.4 mil millones, están "fuera del alcance de cualquier emisor". CoinDesk informa que los bitcoin se dividieron en 19 billeteras que nadie puede congelar, ninguna de las cuales había movido monedas a las 04:23 UTC. Incluso si cada token congelado volviera, quedarían unos $3.3 mil millones, y el aproximadamente $1 mil millones de SAFU cubre menos de un tercio de eso, con Binance diciendo que los fondos de la empresa cubren el resto.
• La atribución. TRM y Chainalysis apuntan a TraderTraitor; no existe ninguna declaración gubernamental sobre este incidente.
• Usuarios y datos. Ningún comunicado de Binance da un número de usuarios afectados, dice que las cuentas fueran comprometidas individualmente, ni aborda los datos personales en ningún sentido.
• Los plazos. Binance dijo a las 04:36 UTC que espera que los retiros "se reanuden dentro de 48 horas" mientras se completa una renovación de seguridad del servicio de retiros.
• Los depósitos. Hay un conflicto evidente en la propia redacción de Binance. Sus comunicados de las 00:13 UTC y de alrededor de las 02:25 UTC decían que los depósitos y retiros estaban suspendidos temporalmente. Su actualización de las 04:36 UTC decía: "Los depósitos no se ven afectados y siguen funcionando con normalidad." Binance no ha explicado la diferencia.

¿Qué deberías hacer ahora mismo si usas Binance?

Ninguno de estos pasos habría evitado el hackeo. Todos reducen lo que un atacante o estafador puede hacerte a partir de ahora.

1. Usa solo canales oficiales. Binance pidió a los usuarios confiar únicamente en los canales oficiales de Binance para las actualizaciones. Antes de confiar en cualquier enlace, dirección de correo, número de teléfono o cuenta en redes sociales, pégalo en Binance Verify. Los consejos de seguridad de Binance dicen que nunca te llamará ni te escribirá por WhatsApp u otras redes sociales. Configura el código antiphishing para que los correos genuinos de Binance lleven una frase que solo tú conoces.
2. Trata cada mensaje de reembolso, reclamo o desbloqueo como una estafa. Según Binance, no contacta proactivamente a los usuarios por canales no oficiales para ofrecer regalos o formas de desbloquear una cuenta, y nunca solicitará fondos por comunicaciones privadas. Los servicios de recuperación son la misma trampa con traje. Como dice Revoke.cash, "No existe ningún proceso legítimo de recuperación que requiera tu frase semilla." Nunca pagues una tarifa por adelantado a nadie que prometa una recuperación.
3. Audita tus claves API. Si alguna vez conectaste un bot de trading o un rastreador de portafolio, revisa las claves. La guía de API de Binance dice que uses una lista blanca de IP en todas las claves y que evites habilitar todos los permisos en una sola clave. Una clave sin lista blanca de IP no puede iniciar retiros, y las claves inactivas sin lista blanca se eliminan después de 30 días. Elimina todo lo que no reconozcas.
4. Activa la lista blanca de retiros. Con ella habilitada, según Binance, solo puedes retirar a direcciones de tu lista blanca, añadir una requiere 2FA, y cambiar la lista blanca puede suspender los retiros durante 24, 48 o 72 horas. El Whitelist Withdrawal Limit además retrasa las direcciones recién añadidas. Ese período de espera es el objetivo: te da tiempo si alguien entra en tu cuenta.
5. Revisa tus dispositivos y el historial de inicios de sesión. Binance mantiene un registro de los intentos de inicio de sesión. Revísalo, y elimina cualquier dispositivo o sesión que no reconozcas.
6. Contraseñas y 2FA, con honestidad. Los comunicados de Binance no han pedido a los usuarios cambiar contraseñas y no dicen nada sobre datos personales en ningún sentido. Cambia la tuya de todos modos si la reutilizas en otro sitio, si hiciste clic en cualquier enlace de un mensaje sobre el hackeo, o si alguna vez le leíste un código a alguien. Y mejora tu segundo factor: Binance admite una passkey o una app de autenticación "como alternativa a la verificación por SMS". No son iguales, como se explica más abajo.

¿Qué estafas siguen a un hackeo como este?

Las horas posteriores a una brecha famosa son un momento de mucha actividad para los suplantadores, porque el miedo hace que la gente haga clic. Chainalysis informa que las estafas de suplantación crecieron más de 1400% en 2025 en comparación con 2024, con el pago promedio por estafa subiendo de $782 en 2024 a $2,764 en 2025. Espera estas formas:

• El correo de reembolso. "Reclama tu compensación antes de la fecha límite." El enlace lleva a una página de inicio de sesión falsa que captura tu contraseña y tu código 2FA en tiempo real.
• La llamada de soporte. Alguien que dice ser de seguridad de Binance afirma que tu cuenta está en riesgo y te guía por una "verificación". Binance dice que nunca te llamará.
• El experto en recuperación. Después de que pierdes dinero, un desconocido servicial ofrece rastrearlo, por una tarifa, o pide tu frase semilla para "sincronizar" tu billetera. Ambas solicitudes terminan igual.
• El servicio de desbloqueo. Con los retiros pausados, espera ofertas de un canal especial para sacar tus fondos antes. Binance dice que no ofrece formas de desbloquear una cuenta por canales no oficiales.

¿Por qué funciona la urgencia? Porque, como señala la FTC, los pagos con criptomonedas normalmente no son reversibles, y es probable que descubras que nadie puede intervenir para ayudar a recuperar fondos de una billetera robada. Un estafador necesita una transacción firmada, una sola vez.

¿Cómo se protegen las criptomonedas en general?

Empieza por el intercambio de riesgos. Mantener monedas en un exchange te expone a brechas del lado del exchange como esta, y a cambio la plataforma puede comprometerse a compensarte, como ha hecho Binance. Tener tus propias claves elimina al exchange de la ecuación por completo, y pone todos los riesgos restantes sobre ti. Chainalysis contó 158,000 billeteras individuales comprometidas y 80,000 víctimas únicas en 2025, con $713 millones robados a particulares, por debajo del máximo de $1.5 mil millones de 2024. Ninguna promesa al estilo de un exchange cubre esas pérdidas. No te decimos dónde guardar tu dinero; te decimos que el riesgo se mueve con él.

Sea cual sea la combinación que elijas, estos hábitos se sostienen:

• Entiende qué hace realmente una billetera de hardware. Mantiene las claves privadas en un dispositivo separado y firma las transacciones allí, de modo que una computadora comprometida nunca las tiene, pero todavía tienes que leer en su pantalla lo que apruebas.
• Mantén tu frase semilla fuera de línea. Escrita en papel o metal, nunca fotografiada, nunca tecleada en un sitio web, nunca compartida. Quien te la pida está tomando tu billetera, llame como llame al proceso.
• Prefiere passkeys y llaves de hardware antes que códigos. Una passkey está vinculada al sitio web real: bajo el estándar WebAuthn, las credenciales están limitadas a una sola parte de confianza y no pueden usarse desde un dominio imitador. Una app de autenticación es buena, pero una página de phishing convincente puede retransmitir sus códigos en vivo. El SMS es la opción más débil: la guía de NIST trata la verificación por SMS y voz como restringida. También dice claramente: "Las contraseñas no son resistentes al phishing."
• Pon en lista blanca las direcciones de retiro en cualquier exchange que lo permita, para que unas credenciales robadas por sí solas no puedan redirigir tus monedas.
• Revoca las aprobaciones de tokens antiguas. Si usas DeFi, las aprobaciones "dan permiso a un contrato inteligente para gastar tus tokens en tu nombre" y, según Revoke.cash, permanecen activas indefinidamente. Revísalas con Revoke.cash o con la página de aprobaciones de tokens de Etherscan y corta las que ya no necesites.
• Usa una dirección de correo separada para las cuentas de exchange, una que no uses en ningún otro lugar, para que una filtración en algún servicio sin relación no entregue a los atacantes tu acceso cripto.
• Descarga apps de billetera solo de fuentes oficiales. Esto no es hipotético para el grupo que nombran los analistas. El aviso sobre TraderTraitor de CISA describe mensajes de spearphishing a empleados de empresas cripto que "imitan un proceso de reclutamiento y ofrecen empleos bien pagados" y empujan a las víctimas a descargar aplicaciones de criptomonedas troyanizadas en Windows o macOS. El mismo manual, apuntado a particulares, es una falsa actualización de billetera.

Para lo básico en general, desde gestores de contraseñas hasta disciplina de actualizaciones, consulta nuestro centro de seguridad online y el resumen de la semana de ciberseguridad de octubre de 2026.

¿Qué protección detiene qué amenaza?

Esta es la tabla que vale la pena guardar. Lee primero la columna de brecha del lado del exchange.

Mira la columna del lado del exchange. Contra una brecha del lado del exchange, casi todas las filas dicen No, porque, según la versión de Binance hasta ahora, el ataque se ejecutó dentro de sus sistemas. El único Sí es tener las monedas tú mismo, y esa fila tiene su propio costo: las 158,000 billeteras comprometidas que Chainalysis contó en 2025 ocurrieron en billeteras personales, no en exchanges. No hay ninguna fila que gane en todas las columnas. Por eso lo sensato es superponer capas, no elegir una sola.

¿Dónde ayuda realmente una VPN?

Una VPN ocupa una columna de esa tabla y toca una segunda. Le VPN cifra el tráfico entre tu dispositivo y el servidor VPN, lo que significa que alguien en la misma red de una cafetería o un aeropuerto no puede leer tu tráfico, y tu proveedor de internet no ve qué servicios usas. Si alguna vez consultas un exchange o una billetera fuera de casa, eso importa; consulta nuestra guía de seguridad en Wi-Fi público. Threat Protection (Block Online Threats en Windows y Android), un interruptor en las apps actuales, añade un bloqueo basado en DNS de dominios maliciosos conocidos, que puede impedirte llegar a un sitio de phishing marcado, aunque una página registrada hace una hora puede no estar todavía en ninguna lista. El Data Breach Scanner, incluido con un servicio activo, comprueba la dirección de correo de tu cuenta de Le VPN contra filtraciones conocidas y te envía un correo si aparece.

Y esto es lo que una VPN no hace. No detiene el malware que ya está en tu dispositivo. No puede bloquear una página de phishing que nadie ha marcado. No habría influido en esta brecha de ninguna manera, ya que, según la versión de Binance, ocurrió dentro de los sistemas de Binance. No cambia los términos de servicio de un exchange ni a qué países sirve un exchange. Y conectarse desde una dirección IP nueva puede activar comprobaciones de seguridad adicionales en un exchange, así que espera una verificación extra. Para una visión más completa de dónde encaja la herramienta en una configuración cripto, lee nuestro artículo sobre VPN y seguridad de criptomonedas.

Hasta que Binance publique su análisis post-mortem, los hechos sobre este hackeo provienen de sus cuentas oficiales y de analistas identificados. Cualquier otra persona que te contacte al respecto, por correo, teléfono, mensaje directo o ventana emergente, quiere algo de ti.