El episodio superaría el récord previo de $1,500 millones sustraídos a la plataforma Bybit en 2025, y se suma a una cadena de ataques contra intercambios de criptoactivos que ha puesto en alerta a reguladores de distintas regiones, incluida América Latina, donde el uso de monederos digitales ha crecido de forma sostenida en los últimos años.
Richard Teng, codirector ejecutivo de Binance, explicó en un comunicado que el ataque comenzó con la computadora portátil de un ingeniero de la compañía, cuyo acceso fue comprometido por un intruso que luego escaló privilegios dentro de los sistemas internos.
"Eso le dio al intruso acceso a un contenedor de servicios, desde donde realizó transacciones de retiro no autorizadas", dijo Richard Teng, codirector ejecutivo de Binance.
Teng insistió en que el hecho no se limitó a la explotación de las credenciales de un solo empleado ni fue producto de una acción aislada, sino de un proceso más elaborado que la empresa continúa investigando.
"Para que quede claro: el atacante no se limitó a usar los permisos de un solo ingeniero, y no se trató de una acción de un solo clic. El proceso de ataque fue más complejo", afirmó Richard Teng, codirector ejecutivo de Binance.
El directivo añadió que, hasta el momento, la investigación interna no ha atribuido responsabilidad a ninguna persona en particular ni ha hallado evidencia de que se haya filtrado la clave privada de alguna billetera institucional. Prometió compartir un análisis detallado una vez concluyan las pesquisas.
Fundada en China en 2017, Binance permite a los usuarios comerciar con activos digitales y se cuenta entre las mayores casas de cambio de criptoactivos del mundo, con más de 300 millones de usuarios registrados. La compañía declaró en 2024 que administraba más de $160,000 millones en activos bajo custodia. El intercambio de criptoactivos ha sido objeto de escrutinio regulatorio en diversas jurisdicciones.
La pista de Corea del Norte
Dos firmas de análisis de blockchain, Check Point y Chainalysis, atribuyeron el ataque a una unidad de piratería informática vinculada a Corea del Norte conocida como TraderTraitor, identificada también en el sector como Lazarus Group, el mismo colectivo señalado por el hackeo a Bybit el año pasado.
"Las pérdidas estimadas por Binance lo convierten en el mayor robo de criptomonedas registrado hasta la fecha", declaró Jayant Dave, director de seguridad informática de Check Point.
Jayant Dave señaló además que el patrón del ataque guarda semejanzas con el ocurrido en septiembre contra la plataforma Bitget, donde se perdieron $388 millones, lo que sugeriría un cambio de estrategia de los atacantes hacia la explotación de sistemas y personal autorizado, más que de las claves de las bóvedas digitales en sí.
Ari Redbord, director global de políticas de TRM Labs, describió el episodio como un punto de inflexión para la industria y advirtió que el atacante aún conserva una enorme cantidad de activos robados, por lo que los esfuerzos para rastrear y recuperar los fondos están lejos de concluir. Agencias de seguridad occidentales han señalado en el pasado que Pionyang recurre a este tipo de operaciones para financiar sus programas de armamento nuclear y misilístico, algo que el régimen norcoreano ha negado reiteradamente.
Binance no respondió de forma directa a las preguntas sobre un eventual vínculo norcoreano, aunque declaró que colabora estrechamente con las autoridades para confirmar la identidad de los responsables y llevarlos ante la justicia. El antecedente inmediato es el robo de $1,500 millones a Bybit en 2025, atribuido por las mismas firmas al Lazarus Group, hasta ahora el mayor registrado en el sector.
En paralelo, las emisoras de monedas estables Tether y Circle informaron haber congelado en conjunto cerca de $2,400 millones en activos vinculados al posible hackeo, mientras que World Liberty Financial, firma de criptomonedas asociada al presidente estadounidense Donald Trump y su familia, indicó que trabajó con sus socios para bloquear los fondos sustraídos. Coinbase, otra plataforma importante del sector, afirmó no haberse visto afectada por el incidente.
Yi He, codirectora ejecutiva de Binance, agradeció públicamente a los emisores de criptomonedas por congelar parte de los activos y anunció la suspensión temporal de retiros en la plataforma mientras se confirma la integridad del sistema.
"La seguridad es lo primero: los retiros están actualmente deshabilitados hasta que se confirme que el entorno es seguro", escribió Yi He, codirectora ejecutiva de Binance.
El incidente, que afecta a Binance.com, no alcanzó a Binance.US, la plataforma de menor tamaño destinada a usuarios estadounidenses, según precisó la compañía. Eric Jardine, jefe de investigación de Chainalysis, llamó a las plataformas de intercambio a mantenerse alerta ante el riesgo que representan para los atacantes por el alto valor de los activos que custodian.