El robo a Binance asciende a 6.340 millones de dólares, la mayor suma jamás perseguida en un ciberataque contra criptomonedas.
Claves de la operación
- Cinco meses de preparación y un portátil comprometido. Los atacantes empezaron a operar no más tarde de junio y siguieron hasta el jueves pasado, cuando tomaron el equipo de un ingeniero y retiraron activos de varias carteras.
- 2.850 millones interceptados, el 45% del botín. El exchange ha congelado o bloqueado esa cifra y sostiene que ha apartado fondos propios para cubrir el resto de la pérdida.
- El FBI atribuye el asalto a actores norcoreanos. La firma TRM Security comparte la conclusión, lo que sitúa el caso en la financiación estatal mediante criptoactivos.
El golpe se gestó en cinco meses de entrevistas de trabajo falsas
Ninguna cámara acorazada se abrió por la fuerza. Según la versión publicada por la compañía, el grupo responsable del robo a Binance actuó como un actor de amenaza persistente avanzada: primero localizó empleados con acceso a las carteras, después montó procesos de selección ficticios para ganarse su confianza y, por último, introdujo malware diseñado a medida para ese entorno.
La cronología que maneja el exchange sitúa el arranque de la operación no más tarde de junio. Cinco meses de ensayo sin tocar un solo dólar precedieron al golpe. El jueves pasado comprometieron el portátil de un ingeniero y ejecutaron las retiradas desde varias carteras en una ventana de tiempo muy corta. Ese es el patrón que separa a un grupo estatal de una banda oportunista: paciencia, financiación y un objetivo elegido por su valor estratégico, no por la facilidad de acceso.
La compañía califica al atacante de sofisticado y con recursos, la fórmula que acompaña a casi todos los incidentes graves que se hacen públicos. En este caso el adjetivo se sostiene en un detalle verificable: el código malicioso no era comercial, sino de nueva factura y ajustado al objetivo concreto.
2.850 millones de vuelta y una prueba de reservas como escudo
Binance ha congelado o interceptado 2.850 millones de dólares, el 45% del importe objetivo. La cifra no es menor. Recuperar casi la mitad del botín en cuestión de días es una excepción en el historial de grandes asaltos cripto, y el exchange remite a las pruebas de reservas publicadas en su web para demostrar que el resto está cubierto con fondos propios.
Ahí empieza el problema de credibilidad. La compañía publica sus propias cifras, decide cuánto aparta y comunica cuánto recupera. No hay un tercero independiente que certifique el saldo, y el sector ya ha aprendido que la transparencia voluntaria se parece demasiado a la autoevaluación. Un informe externo habría cerrado el debate en 48 horas; una página web corporativa lo deja abierto.
Un exchange no puede ser juez, parte y notario de sus propias reservas: la confianza que se reconstruye con una página web se rompe con un portátil comprometido.
Quedan 3.490 millones en el aire. La parte recuperada depende de que otros exchanges, emisores de stablecoins y proveedores de custodia hayan congelado direcciones a tiempo; la parte no recuperada depende del balance de la propia compañía. Ahí la historia deja de ser un caso forense y se convierte en un asunto de solvencia percibida.
Corea del Norte ya no atraca bancos: contrata ingenieros
El FBI y TRM Security atribuyen el asalto a actores norcoreanos, el mismo ecosistema que la inteligencia occidental agrupa bajo el paraguas del entramado Lazarus. La secuencia es conocida: robar cripto para financiar programas vetados por las sanciones internacionales. Lo que cambia en esta ocasión es el método. La ingeniería social quirúrgica sustituye al phishing masivo contra usuarios y apunta a empleados concretos.
La comparación con el resto del sector no deja bien parada a la industria. El asalto al puente Ronin se llevó 620 millones en 2022; el de Bybit rondó los 1.500 millones en febrero de 2025. El robo a Binance multiplica esas cifras y confirma que los exchanges son la caja fuerte preferida de la ciberdelincuencia estatal. En España, el marco MiCA, en aplicación plena desde finales de 2024, obliga a los proveedores registrados ante la CNMV a segregar fondos de clientes y elevar sus controles internos. Un incidente de esta escala empuja a los supervisores europeos hacia la auditoría externa de reservas.
El punto débil del relato oficial es estructural y no se resuelve con comunicados. La pregunta no es cuánto se congeló, sino cuánto de esos 3.490 millones volverá y con qué calendario. Binance llega a esta cita con la reputación curtida: sobrevivió al asalto de 2019, cuando perdió 7.000 bitcoins, y al cerco regulatorio de medio mundo. Ninguna de esas crisis le costó la licencia. Seguimos de cerca dos hitos: la vigilancia de la OFAC sobre las direcciones señaladas, y la próxima actualización de las pruebas de reservas del exchange. Mientras llegan, la conversación sobre seguridad en el sector ya no se libra en el código, sino en los procesos de selección.
