Binance, la mayor plataforma de intercambio de criptomonedas del mundo, confirmó recientemente una brecha de seguridad que ha resultado en el robo de más de 6.300 millones de dólares (4.700 millones de libras). Este ataque supera cualquier incidente anterior en el sector de las criptomonedas, tanto en volumen como en impacto.
Tras el descubrimiento del hackeo, Binance anunció que aproximadamente la mitad de los activos afectados han sido congelados para evitar movimientos adicionales. No obstante, una parte sustancial todavía está en manos de los ciberdelincuentes. En respuesta, la compañía ha prometido cubrir todas las pérdidas sufridas por sus clientes.
Según los primeros análisis de la firma de análisis blockchain TRM Labs, el mayor porcentaje de las criptomonedas robadas corresponde a Ethereum, con unos 3.790 millones de dólares, seguido por Bitcoin, que supone unos 1.470 millones. Estos números confirman que este robo es el mayor perpetrado jamás contra una plataforma de intercambio de criptomonedas. 
Por si fuera poco, el precedente robo en Bybit ocurrido en febrero de 2025, que supuso el hurto de 1.460 millones de dólares, queda ampliamente superado por esta nueva intrusión, triplicando con creces esa cifra, según datos de la empresa de análisis Elliptic.
¿Quién está detrás del ataque a Binance?
Las investigaciones de expertos en ciberseguridad apuntan a que el grupo TraderTraitor, una unidad de hackers patrocinada por el Estado norcoreano vinculada al conocido Lazarus Group, sería el responsable del atentado.
Rafe Pilling, director senior de investigación de amenazas en Sophos, aseguró que el modus operandi utilizado coincide con el del grupo TraderTraitor, al que su unidad de contramedidas ha rastreado desde 2009 bajo el nombre de NICKEL ALLEY.
“El incidente aún se encuentra en la fase inicial, y Binance necesitará tiempo para esclarecer cómo sucedió exactamente”, comentó Pilling, quien insistió en que el ataque concuerda con el patrón habitual de este grupo norcoreano, que ha protagonizado varios robos similares en el pasado.
De hecho, TraderTraitor ya habría estado implicado en el ataque contra Bybit identificado por el FBI, que emitió un comunicado atribuyendo la responsabilidad a dicho grupo.
Estos grupos norcoreanos han dirigido sus esfuerzos contra plataformas de intercambio con el objetivo de eludir sanciones internacionales y financiar al régimen mediante un flujo constante de recursos, una estrategia que expertos en seguridad vienen señalando desde al menos 2017 y que ha probado su efectividad dado el aumento sostenido de ataques desde entonces.
¿Cómo lograron hackear Binance?
El mecanismo exacto del ataque aún es confuso, dada la evolución en la información facilitada por Binance en poco más de 24 horas.
Inicialmente, se pensó que la brecha se originó en un único equipo de un ingeniero DevOps comprometido, tal como informó Richard Teng, co-CEO de Binance, en una publicación en LinkedIn.
“Nuestra investigación inicial apunta a que este incidente comenzó con el ordenador portátil de un ingeniero DevOps comprometido, lo que permitió al atacante acceder a un contenedor de servicio y realizar transacciones de retiro sin autorización”, explicó Teng.
“Para ser claro, el atacante no se limitó a usar los permisos de un solo ingeniero y no fue un acto de un solo clic. Fue un proceso complejo. No hemos atribuido responsabilidad a ningún individuo en particular”, añadió.
Según Pilling, esto encaja con el patrón de TraderTraitor, que suele comprometer dispositivos de empleados con altos niveles de acceso para facilitar la exploración y preparación del ataque. Posteriormente, lanzan la ofensiva con transacciones rápidas y coordinadas para ejecutar el robo.
Sin embargo, Binance ha reconocido que su investigación posterior ha detectado “puntos adicionales de vulnerabilidad” en sus sistemas, aunque no ha ofrecido detalles específicos aún.
“Estamos trabajando con las autoridades para resolver esta situación. La investigación continúa y compartiremos más información en cuanto la tengamos”, declaró Binance en un mensaje publicado en la red social X.
Impacto y reacciones en la comunidad de seguridad
Expertos en ciberseguridad de todo el mundo han reaccionado con sorpresa ante la magnitud del ataque.
Jamie Akhtar, CEO y cofundador de CyberSmart, calificó el suceso como “impactante tanto por su escala como por sus potenciales consecuencias”. Subrayó que la capacidad de los atacantes para mover miles de millones de dólares en cuestión de minutos pone de manifiesto lo devastador que puede ser un ataque exitoso.
Chris Dimitriadis, director global de estrategia de ISACA, señaló que incidentes de esta envergadura “minan la confianza general en las criptomonedas”. Además, advirtió que este tipo de ataques pueden incitar a ciberdelincuentes a aprovecharse del desconcierto de los clientes para lanzar fraudes adicionales y obtener más ganancias ilícitas.
“Estos ataques de alto perfil a menudo son usados para engañar a usuarios en otras plataformas, incitándolos a tomar decisiones precipitadas que pueden comprometer sus activos”, afirmó Dimitriadis.
