Ahora que Binance permite a sus usuarios comprobar que sus saldos están completamente respaldados tras un hackeo récord de US$ 6.300 millones, los expertos en seguridad y los inversores recomiendan mantener en las plataformas de intercambio únicamente los fondos necesarios para realizar operaciones. También aconsejan entender las pruebas de reservas como una muestra de la solvencia de la empresa en un momento determinado, y no como una garantía de seguridad, y ajustar los saldos según la capacidad de la plataforma para afrontar posibles pérdidas.

Cómo se produjo el hackeo récord

Según una actualización sobre las tareas de recuperación publicada en X el 30 de octubre por los codirectores ejecutivos Richard Teng y Yi He, las billeteras digitales de Binance fueron comprometidas alrededor de las 20:05 UTC del 29 de octubre. La plataforma estimó las pérdidas en aproximadamente US$ 6.300 millones, suspendió los retiros y anunció que había reservado más de US$ 6.340 millones para cubrir el déficit.

Según Binance, los primeros resultados de la investigación apuntaban a una computadora portátil comprometida como posible origen del ataque. La compañía señaló que, desde entonces, había identificado otras vulnerabilidades, aunque aseguró que no encontró pruebas de que se hubieran filtrado claves privadas.

Dos días después, el FBI atribuyó el ataque a Corea del Norte. El organismo estadounidense afirmó que Pyongyang "fue responsable del robo de más de US$ 6.000 millones en activos virtuales de la plataforma de intercambio de criptomonedas Binance" e identificó como responsable al grupo de hackers TraderTraitor.

El FBI, el Servicio Secreto y la División de Investigación Criminal del IRS señalaron que los activos robados se estaban convirtiendo principalmente en ether. Además, instaron a los operadores de nodos, los servicios de finanzas descentralizadas (DeFi) y otras plataformas de criptomonedas a bloquear las transacciones relacionadas con las direcciones digitales utilizadas por los atacantes.

La empresa de análisis de blockchain TRM Labs estimó el valor de los activos robados en US$ 6.360 millones, una cifra aproximadamente cuatro veces superior a las pérdidas que sufrió Bybit el año pasado. 

Situación actual para los clientes de Binance

El 2 de noviembre, Binance anunció que había completado la verificación de su prueba de reservas correspondiente al 31 de octubre. Esto permite que los usuarios que poseen alguno de los 10 principales tokens comprueben de manera independiente que sus saldos cuentan con un respaldo de al menos 1:1, es decir, que la plataforma dispone de activos suficientes para cubrirlos. La compañía tiene previsto realizar una nueva verificación el 4 de noviembre, que incluirá una mayor cantidad de tokens. Además, se comprometió a publicar un informe detallado sobre el incidente una vez que concluya la investigación. Hasta el 2 de noviembre, ese documento todavía no había sido difundido.

Los retiros se reanudaron de manera gradual a las 6:00 UTC del 1 de noviembre y, según informó Binance en X, las 15 redes incluidas en la primera etapa ya estaban operativas a las 12:36 UTC. Entre las 6:00 y las 15:30 UTC, los clientes retiraron US$ 4.650 millones y depositaron US$ 1.010 millones, lo que dejó una salida neta de aproximadamente US$ 3.640 millones. Según la empresa, esa cifra representa el 2,1% de los US$ 171.000 millones en activos registrados en su prueba de reservas del 28 de octubre.

El 31 de octubre, a la medianoche UTC, Binance realizó una nueva captura del estado de sus reservas, cuyo informe se espera que se publique esta semana. La compañía también se comprometió a difundir un informe detallado sobre el ataque una vez que concluya la investigación. Hasta el 2 de noviembre, ese documento todavía no había sido publicado.

Tras cinco años, el mismo punto débil

El robo sufrido por Binance es el mayor de la historia de las criptomonedas, aunque el método utilizado por los atacantes no es nuevo.

En marzo de 2022, un grupo de hackers robó US$ 620 millones de Ronin, una plataforma vinculada al videojuego Axie Infinity, después de conseguir acceso a cinco de sus nueve claves de validación, según el análisis que Ronin publicó tras el ataque. El FBI atribuyó el robo al Grupo Lazarus, vinculado con Corea del Norte. Ese mismo año, los ciberdelincuentes sustrajeron US$ 3.700 millones en criptomonedas, una cifra récord hasta ese momento, de acuerdo con Chainalysis.

Según los datos de Chainalysis, el valor de las criptomonedas robadas disminuyó a aproximadamente US$ 1.700 millones en 2023, pero volvió a aumentar hasta los US$ 2.200 millones en 2024. En mayo de ese último año, los atacantes sustrajeron US$ 308 millones de la plataforma japonesa DMM Bitcoin, en una operación que el FBI, el Centro de Delitos Cibernéticos del Departamento de Defensa y la Agencia Nacional de Policía de Japón atribuyeron a TraderTraitor.

El 21 de febrero de 2025, Bybit, con sede en Dubái, sufrió el robo de aproximadamente US$ 1.500 millones, considerado hasta entonces el mayor de la historia de las criptomonedas. El FBI volvió a señalar a TraderTraitor como responsable del ataque, mientras que la Safe Ecosystem Foundation informó que los hackers habían comprometido una computadora utilizada para el desarrollo de su servicio Safe. Según Chainalysis, durante 2025 los ciberdelincuentes robaron más de US$ 3.400 millones en criptomonedas, de los cuales al menos US$ 2.020 millones fueron atribuidos a Corea del Norte. Con esa cifra, el valor acumulado de los activos digitales robados por Pyongyang alcanzó los US$ 6.750 millones.

Este año, Drift Protocol sufrió pérdidas de US$ 285 millones el 1 de abril, mientras que KelpDAO perdió US$ 292 millones el 18 de ese mes. Según TRM, Corea del Norte fue responsable del 76% del valor de los activos robados en ciberataques hasta abril. Más adelante, el 24 de septiembre, Bitget sufrió un robo de US$ 351,6 millones después de que los atacantes falsificaran los datos de aprobación utilizados por su sistema, de acuerdo con la misma firma.

El robo sufrido por Binance se aproxima, por sí solo, al valor total de las criptomonedas que Chainalysis estimaba que Corea del Norte había sustraído en todos los años anteriores. Como informó Forbes, el episodio deja en evidencia los crecientes problemas de seguridad que enfrenta el sector de las criptomonedas. Los ataques contra Ronin, Bybit, Bitget y Binance comparten una característica: los hackers lograron acceder a los fondos mediante la vulneración de una persona, un dispositivo o un proceso de autorización, en lugar de aprovechar una falla en la propia tecnología blockchain.

Por qué una firma válida no garantiza la seguridad

"Todos estos robos terminaron con transacciones que tenían firmas digitales válidas. Esto significa que la vulnerabilidad estaba en el proceso de autorización que conecta una solicitud de retiro con el sistema encargado de firmarla", explica Roshan Dharia, director ejecutivo de Echo Base, una firma de inversión privada especializada en situaciones excepcionales y de crisis relacionadas con activos digitales.

"Durante los últimos cinco años, las plataformas de intercambio invirtieron mucho en proteger las claves utilizadas para custodiar los activos, pero dedicaron comparativamente pocos recursos a comprobar si una solicitud de retiro debería autorizarse en primer lugar", señala.

Jonathan Riss, analista de inteligencia de fuentes abiertas (OSINT) y blockchain en la empresa de seguridad CertiK, comparte esa visión. "Los sistemas de firma están diseñados para verificar que una transferencia esté autorizada, no que sea legítima. Si una solicitud llega por el canal correcto y cuenta con las aprobaciones necesarias, el sistema la firma", explica.

Abdul Rafay Gadit, cofundador de ZIG Finance, advierte que el problema no se resuelve simplemente incorporando más personas al proceso de autorización. "Un atacante que pueda manipular las firmas digitales puede transferir fondos sin necesidad de robar la clave privada", explica. "Además, sumar más personas encargadas de aprobar las operaciones no aumenta la seguridad si todas toman sus decisiones a partir de la misma información comprometida", completa.

Milton "Todd" Ault III, fundador de Ault Blockchain, comparte esa preocupación. "Las plataformas de intercambio deben diseñar sus sistemas teniendo en cuenta que la computadora portátil de un empleado podría estar comprometida", señala. "No alcanza con que varias personas aprueben una operación si todas lo hacen desde la misma pantalla comprometida", sostiene.

¿Qué debería hacer una plataforma de intercambio para mejorar su seguridad?

Los especialistas coinciden en la necesidad de reforzar los controles durante el proceso de autorización de las operaciones. "El sistema encargado de firmar las transacciones debe verificar de manera independiente que cada transferencia coincida con lo que el cliente realmente solicitó, en lugar de confiar únicamente en el servicio interno que procesa la operación", explica Riss.

Dharia propone ir un paso más allá. Sostiene que una transferencia desde una billetera caliente, es decir, una billetera conectada a internet, solo debería autorizarse después de comprobar que coincide con una solicitud real del cliente, registrada en un sistema que no pueda ser modificado por la aplicación que inició la operación. Además, recomienda establecer límites a las transferencias de fondos directamente en el sistema de firma, de manera que una aplicación comprometida no pueda modificarlos.

Por su parte, Gadit considera que las billeteras utilizadas para realizar retiros deberían rechazar automáticamente cualquier solicitud que implique delegar el control de los fondos u otorgar permisos para utilizarlos, precisamente el tipo de modificación que los atacantes de Binance aprovecharon en Ethereum. También recomienda que las transferencias hacia direcciones nuevas o por montos inusualmente elevados se demoren hasta completar una verificación adicional mediante un canal independiente.

Los tres especialistas coinciden en que las plataformas deberían mantener cantidades más reducidas de fondos en sus billeteras digitales. "Las plataformas de intercambio tampoco deberían conservar en estas billeteras más plata de la necesaria para cubrir unas pocas horas de retiros habituales. Cualquier cantidad que supere ese nivel representa, en la práctica, una exposición innecesaria a posibles fallas en sus propios controles operativos", advierte Dharia.

"Los sistemas de custodia deben diseñarse bajo el supuesto de que, tarde o temprano, una persona o un dispositivo pueden verse comprometidos. Por eso, es fundamental contar con controles que permitan limitar las pérdidas cuando eso ocurra", señala Gadit.

¿Quién debería tener la facultad de congelar criptomonedas robadas?

El rápido congelamiento de fondos realizado por Tether y Circle volvió a abrir un antiguo debate sobre quién debería tener el poder de bloquear activos digitales.

El economista Peter Schiff, conocido por sus críticas a Bitcoin y por defender el oro como alternativa de inversión, considera que lo ocurrido refuerza los argumentos a favor de los tokens centralizados. "Creo que demuestra hasta qué punto las criptomonedas son vulnerables a los ciberataques a medida que avanza la tecnología", afirma. "También demuestra que los tokens centralizados son más seguros cuando se mantienen bajo la custodia de terceros, porque sus emisores tienen la capacidad de bloquear los activos robados". Schiff considera que una mayor regulación no resolvería el problema, pero advierte que tanto Bitcoin como Ether están expuestos a los robos y que esa vulnerabilidad podría aumentar a medida que la inteligencia artificial se vuelva más poderosa.

Ault sostiene una postura diferente. Se declara un firme defensor de las plataformas de intercambio descentralizadas y de la autocustodia, ya que ambas permiten a los usuarios operar sin perder el control de sus activos. "Sin embargo, seguirá siendo necesario contar tanto con plataformas centralizadas como descentralizadas", señala. "Ambas deben ganarse la confianza de los usuarios mediante la seguridad, la transparencia y la rendición de cuentas".

¿Qué hacer ahora con tus criptomonedas?

"Lo primero que preguntaría es cuánta plata necesitás realmente mantener en una plataforma de intercambio", señala Gadit. Si el objetivo es conservar las inversiones a largo plazo, agrega, conviene preguntarse por qué mantener todos los fondos en una plataforma diseñada principalmente para realizar operaciones de compraventa.

Riss, en cambio, no considera que la solución sea retirar todos los activos. "La respuesta no es necesariamente trasladar todas las criptomonedas a una billetera bajo custodia propia", explica. "Lo importante es que los usuarios comprendan los riesgos que asumen al mantener sus activos en una plataforma y decidan qué nivel de exposición están dispuestos a aceptar".

Comprobá si tu plataforma de intercambio puede afrontar una pérdida importante

Binance disponía de capital suficiente para cubrir una pérdida de US$ 6.000 millones. Según Dharia, la pregunta fundamental que deberían hacerse los inversores es si la plataforma en la que mantienen sus fondos tiene capacidad para afrontar un golpe de esa magnitud y qué tan rápido podría disponer de la plata necesaria. Una empresa más pequeña que sufriera pérdidas similares probablemente terminaría en un proceso de insolvencia, advierte.

"En ese escenario, los clientes suelen quedar como acreedores sin garantías específicas y pueden tener que esperar años para recuperar su plata. Además, sus reclamaciones se calculan en dólares según el valor de los activos en la fecha de presentación, en lugar de reconocerles la cantidad de tokens que habían depositado originalmente", explica Dharia.

"Los usuarios deberían considerar la plata que mantienen en una plataforma de intercambio como una exposición al riesgo de que esa empresa no pueda cumplir con sus obligaciones. Por eso, conviene conservar allí únicamente los fondos que utilizan para operar activamente y determinar cuánto mantener en función de la solidez financiera de la plataforma, en lugar de guiarse por su participación de mercado", recomienda.

Entendé qué demuestra realmente una prueba de reservas

"La prueba de reservas es un buen punto de partida", señala Riss. El especialista recomienda que los usuarios utilicen las herramientas de verificación que ofrecen la mayoría de las plataformas para comprobar que sus saldos estén incluidos en los informes. También aconseja verificar que los activos sean suficientes para cubrir todas las obligaciones de la empresa con sus clientes, revisar con qué frecuencia se actualiza esa información y comprobar si los datos son auditados por una firma independiente.

Sin embargo, estos informes tienen limitaciones. "La prueba de reservas permite confirmar que una plataforma disponía de activos suficientes en el momento en que se realizó la verificación, pero no ofrece información sobre los controles de seguridad que los protegían. Y fue precisamente en esos controles donde se originaron todas estas pérdidas", advierte Dharia. Ault lo resume de manera más sencilla: "Verificá la prueba de reservas, pero no confundas la existencia de activos suficientes con una garantía de seguridad", concluye.

Reforzá la seguridad de tu cuenta

"Las llaves de seguridad físicas, como los dispositivos FIDO2, son mucho más seguras que los códigos enviados por SMS. Además, las listas de direcciones autorizadas para retiros permiten bloquear transferencias hacia destinos desconocidos, mientras que las claves API utilizadas por los programas automatizados de trading nunca deberían tener permisos para retirar fondos", explica Riss.

Sin embargo, estas medidas protegen las cuentas individuales, pero no necesariamente la infraestructura de la plataforma. "Aunque ayudan a mejorar la seguridad de tu cuenta, no pueden impedir que se produzca una vulneración de los sistemas de la propia empresa", advierte Gadit.

Cómo pasar a la autocustodia de manera segura

"La autocustodia elimina el riesgo de depender de un tercero para conservar los activos, pero también traslada al usuario la responsabilidad de autorizar las transacciones. Por eso, solo resulta conveniente cuando las claves privadas se almacenan en un dispositivo específico y cada operación se verifica y confirma directamente en la pantalla de ese equipo", explica Dharia.

Gadit advierte que transferir todos los fondos a una billetera cuyo funcionamiento no se comprende puede significar reemplazar un riesgo por otro. "Empezá con cantidades pequeñas, aprendé a protegerlas y recuperarlas, y hacé transferencias de prueba antes de mover sumas importantes", recomienda. Ault agrega que la autocustodia tampoco garantiza una seguridad absoluta. "La descentralización no elimina los riesgos asociados con los contratos inteligentes, las estafas ni los errores humanos", señala.

Riss recomienda que quienes utilizan billeteras físicas mantengan sus frases de recuperación, también conocidas como frases semilla, desconectadas de internet y eviten divulgar información sobre sus criptomonedas. La precaución responde al aumento de los ataques que recurren a amenazas o violencia física para obligar a los propietarios de activos digitales a entregar sus fondos.

Cuidado con las falsas ofertas de reembolso

Según Riss, después de cada ciberataque importante suelen aparecer campañas de phishing en las que los estafadores se hacen pasar por la plataforma afectada y prometen reembolsos o solicitan verificar las cuentas. "Los usuarios deben confiar únicamente en los canales oficiales", advierte.

Qué puede pasar a continuación

El 4 de noviembre, Binance tiene previsto ampliar su prueba de reservas para incluir más tokens. Además, se espera que el informe sobre el incidente explique cómo los atacantes lograron pasar de comprometer una sola computadora portátil a sustraer miles de millones de dólares de las billeteras activas de la plataforma. La compañía todavía trabaja para recuperar el 5% restante de los activos robados, mientras que el FBI solicitó a las plataformas de criptomonedas que bloqueen los fondos relacionados con el ataque.

"El sector debe revisar constantemente y en profundidad cada posible vulnerabilidad, en lugar de esperar a que ocurra un nuevo robo para tomar medidas", advierte Ault.

*Este artículo fue publicado originalmente por Forbes.com.