Sistemas

El exchange repuso con capital propio los USD 6.340 millones sustraídos el 29 de octubre. Emisores de stablecoins, redes y protocolos lograron inmovilizar cerca del 45% del botín, y la Justicia de Estados Unidos ya avanzó sobre USD 1.200 millones.

Ningún cliente de Binance perderá dinero consecuencia de este suceso. La plataforma informó el 12 de noviembre que terminó de reponer, con recursos propios, la totalidad de los activos que le vaciaron dos semanas antes: más de USD 6.340 millones.

Reponer no es recuperar. El dinero que hoy respalda las cuentas salió de la caja de la empresa, no de las billeteras de los atacantes. En paralelo corre otra carrera: la de la industria y las autoridades por inmovilizar lo robado. Hasta ahora quedaron congelados o interceptados unos USD 2.850 millones, y el Departamento de Justicia estadounidense obtuvo aval judicial para incautar o bloquear más de USD 1.200 millones de ese total.

El FBI atribuye el golpe a TraderTraitor, un grupo vinculado a Corea del Norte. Pyongyang lo niega.

La promesa: la cuenta la paga Binance, no los usuarios

La garantía llegó antes que las explicaciones. A pocas horas del ataque, la cofundadora y co-CEO Yi He escribió en X que la compañía se haría cargo de todas las pérdidas. Su par Richard Teng lo reforzó con un mensaje directo a los clientes: «su dinero está a salvo y cubriremos cada pérdida», publicó.

Para cumplir, Binance echó mano de tres bolsillos, según detalló la propia empresa:

• una parte del SAFU, el fondo de emergencia para usuarios creado en 2018;
• el excedente del fondo de seguro de su plataforma de futuros;
• su tesorería corporativa, la fuente principal.

Con ese dinero salió a comprar, en el mercado y en mesas OTC, los mismos tokens que habían desaparecido. El avance se comunicó por etapas: 90% el 31 de octubre, 95% al reabrir los retiros el 1° de noviembre, 98% el día 3 y 100% el 12. Los últimos en completarse fueron los activos de menor liquidez.

La empresa asumió además tres compromisos hacia adelante:

• Reconstituir el SAFU hasta unos USD 1.000 millones. No fijó fecha.
• Probar el respaldo. Tomó una nueva foto de reservas sobre 198 tokens. La prueba criptográfica que permitirá a cada usuario verificar un respaldo mínimo de 1 a 1 demora entre 40 y 50 horas en generarse.
• Someterse a una revisión externa. Anunció que contratará expertos independientes para auditar el ataque y que publicará un informe completo.

Teng puso la cara en televisión. En Fox Business admitió que el incidente «no debería haber ocurrido» y pidió disculpas. Días antes, en la Hong Kong Fintech Week, había definido el episodio como «una lección dolorosa» y asegurado que la salud financiera de la firma sigue siendo muy sólida.

Quién frenó qué: el mapa de los fondos inmovilizados

Cerca de USD 2.850 millones, el 45% del botín, quedaron fuera del alcance de los atacantes, según el balance de Binance al 3 de noviembre. Casi todo corresponde a monedas con un emisor capaz de bloquear direcciones: allí estuvo la diferencia entre lo que se salvó y lo que no.

Activo	Quién actuó	Monto inmovilizado o recuperado	Cómo
USDT	Tether	Más de 1.567 millones de USDT según su CEO; unos 1.760 millones según el conteo en cadena, sobre 2.500 millones robados	Congelamiento de direcciones desde los 37 minutos del robo
USDC	Circle	823 millones de USDC, la totalidad de lo sustraído	Lista negra, en coordinación con las fuerzas de seguridad
RLUSD	Ripple	40,5 millones de 88,5 millones robados	Congelamiento; el resto ya había sido cambiado por ETH
USD1	World Liberty Financial	27,8 millones de USD1, la totalidad	Congelamiento confirmado por su cofundador Zach Witkoff
ETH y ARB en Arbitrum	Consejo de Seguridad de Arbitrum	8.426 ETH y 74,6 millones de ARB, unos USD 30,5 millones	Transacción de emergencia del consejo
SNX	Synthetix (protocolDAO)	8,41 millones de SNX	Recupero forzoso con privilegios de administrador; se devuelven a pedido de Binance
SAND	The Sandbox	58,4 millones de SAND	Recupero forzoso desde la multifirma que administra el token

Fuentes del cuadro: Crystal Intelligence, Four Pillars, CoinMarketCap y Tech Insider.

Las cifras no coinciden entre fuentes porque cada una cuenta activos distintos en momentos distintos. Yi He atribuyó a Ripple un bloqueo de unos USD 200 millones, muy por encima de los 40,5 millones de RLUSD que registran los analistas. Four Pillars le asigna a World Liberty unos USD 75 millones sumando su token WLFI. USDT0 pausó por precaución los traspasos entre Ethereum y Tron, y First Digital también bloqueó un monto menor que no fue detallado.

Congelar tampoco equivale a devolver. Los emisores pueden quemar y reemitir los tokens bloqueados para restituirlos a la víctima, pero eso exige un proceso legal que puede llevar meses o años, explicaron especialistas a CNBC. El primer paso formal lo dio el Departamento de Justicia el 12 de noviembre, con la autorización para incautar o inmovilizar más de USD 1.200 millones. Todavía no se informó qué tribunal intervino ni qué billeteras alcanza la medida.

El grueso de lo que falta está en bitcoin y ether, que no tienen un emisor que pueda bloquearlos. Sólo en la red Bitcoin salieron 18.270 BTC, unos USD 1.500 millones.

Las voces en X: del salvavidas de Tether a las críticas

La crisis se narró en tiempo real en X, donde los protagonistas hablaron antes que cualquier comunicado formal.

Changpeng Zhao (CZ), fundador y principal accionista. Fue de los primeros en admitir que todo indicaba un hackeo. Aclaró que ya no conduce la plataforma, pero que como accionista esperaba una cobertura total para los usuarios. Tras la reapertura de los retiros celebró que la enorme mayoría de los clientes eligiera quedarse.

Paolo Ardoino, CEO de Tether. Anunció que la firma «congeló más de 1.567 millones de USDT» ligados al incidente y sostuvo que proteger a la industria y a sus socios es su prioridad. CZ le respondió llamándolo «salvavidas».

Jeremy Allaire, CEO de Circle. Informó el bloqueo de más de 800 millones de USDC y subrayó que se hizo junto con las fuerzas de seguridad.

Yi He, co-CEO de Binance. Además de garantizar la cobertura, agradeció públicamente a World Liberty y a Ripple. En un cruce distendido con CZ, comentó que los ingresos anuales de la empresa alcanzaban para absorber el golpe.

ZachXBT, investigador on-chain. Señaló al Grupo Lazarus como probable autor, llevó la cuenta de lo congelado, que ubicó por encima de USD 2.830 millones, y advirtió que los fondos se habían mezclado con los de otro robo reciente, el de Bitget, a través de THORChain.

Ben Zhou, CEO de Bybit. El exchange que ostentaba el récord anterior, con USD 1.500 millones robados en 2025, ofreció su apoyo a Binance.

Samson Mow, CEO de JAN3. Resumió el clima del sector al atribuirle a Tether el rescate de Binance.

No todo fue respaldo. Entre las respuestas al mensaje de Teng se repitió un reproche: que los fondos de los usuarios hayan quedado a merced de un par de computadoras portátiles de empleados. Analistas también remarcaron la otra cara de la reacción rápida de los emisores: la misma facultad que frenó a los atacantes permite bloquear cualquier dirección.

Fuera de X, el Servicio Secreto de Estados Unidos informó que trabaja con el sector privado, Circle incluido, para rastrear y recuperar los fondos. El regulador de Abu Dabi, que otorgó la principal licencia de Binance, dijo seguir el caso de cerca, según Reuters.

Veinte minutos, diez redes: cómo fue el golpe

El vaciamiento duró unos 20 minutos y alcanzó a diez blockchains. Empezó el jueves 29 de octubre a las 20:05 UTC en la red de XRP y siguió por Ethereum y Bitcoin. Una sola transacción superó los USD 2.500 millones.

Red	Valor sustraído
Ethereum	USD 3.800 millones
Bitcoin	USD 1.500 millones (18.270 BTC)
Tron	USD 628 millones
XRP Ledger	USD 296 millones
Solana	USD 96 millones

Fuente: Wikipedia, con datos de las firmas de análisis.

La preparación llevó meses. Según el informe preliminar que Binance presentó el 3 de noviembre, los atacantes comprometieron los equipos de tres ingenieros de billeteras por tres vías: una descarga de software adulterada en junio, una falsa entrevista de trabajo en septiembre que terminó con la instalación de un malware, y una herramienta interna de inteligencia artificial el 20 de octubre. Nueve días después usaron credenciales robadas para ejecutar código malicioso sobre las billeteras calientes.

Teng explicó que la maniobra se apoyó en EIP-7702, un mecanismo de delegación de permisos de Ethereum. Como las autorizaciones se otorgaron directamente en la red, suspender los retiros no alcanzó para detener la sangría. Binance aseguró que no hubo filtración de claves privadas.

Las firmas TRM Labs y Chainalysis apuntaron a Corea del Norte el mismo día del robo, y el FBI lo confirmó al responsabilizar a TraderTraitor, el grupo al que también adjudica el ataque a Bybit. Kim Yo Jong, hermana del líder norcoreano, rechazó la acusación en un comunicado.

El impacto y lo que falta saber

El mercado acusó el golpe sin derrumbarse. Bitcoin cayó cerca de 5% y perforó los USD 80.000, y las acciones de Coinbase y Robinhood retrocedieron. En Binance, los clientes retiraron en términos netos USD 4.720 millones hasta el lunes posterior, alrededor del 3% de los activos de la plataforma, según Teng. Los retiros, suspendidos la noche del ataque, volvieron por fases desde el domingo 1° de noviembre.

Hubo además un movimiento en la cúpula. El director financiero, Kaiser Ng, dejó el cargo nueve días después del robo. Yi He afirmó que la transición estaba planificada desde hacía seis meses y que lo sucederá Justin Yek.

Quedan cuatro preguntas abiertas:

• si la prueba de reservas resiste una verificación independiente;
• cuándo se reconstituirá el SAFU, que quedó por debajo de su tamaño habitual;
• cuánto de lo congelado volverá efectivamente a Binance y en qué plazo;
• dónde está el resto: los investigadores siguen el rastro de los fondos que los atacantes intentan lavar mediante puentes, mezcladores y otros exchanges.

Por Sistemas, el 13/11/2026.