Trabajo interno de Binance
El "robo" de Binance fue probablemente un trabajo interno
Puntos clave
- El robo de $6.3 mil millones en Binance se está dando por concluido como un hackeo norcoreano, pero el detalle más importante apunta en la otra dirección.
- Binance misma confirmó que no se filtraron las claves privadas de la billetera. El ataque utilizó acceso a la infraestructura de firmas, que es precisamente el tipo de acceso que ya tiene un insider.
- Las declaraciones públicas de Binance oscilaron entre "los fondos de los usuarios están completamente seguros" y "cubriremos todas las pérdidas" — y su historia de la "laptop hackeada" es interesada y no verificada.
- Este no es el primer rodeo de Binance. Las memorias de CZ sospechaban de sobornos internos en el hackeo de 2019, y la empresa se declaró culpable en 2023 de facilitar deliberadamente el lavado de dinero.
- La atribución de "alta confianza" a Corea del Norte es coincidencia de patrones, no prueba: y la víctima es la que controla la narrativa.
La versión oficial, recapitulada
A finales del 29 de octubre de 2026, aproximadamente $6.3 mil millones salieron de las billeteras calientes de Binance a través de diez blockchains — Bitcoin, Ethereum, Tron, Solana y otras — la mayor parte en menos de veinte minutos. Es, por cualquier medida, el mayor robo en la historia de las criptomonedas: casi cuatro veces el récord anterior, la pérdida de $1.5 mil millones de Bybit de febrero de 2025.
En pocas horas, las firmas de inteligencia blockchain TRM Labs y Chainalysis atribuyeron el ataque "con alta confianza" a TraderTraitor, el grupo norcoreano vinculado a la operación Lazarus. La versión de Binance: la computadora portátil de un ingeniero DevOps fue comprometida, el atacante la usó para acceder a un contenedor de servicios y, desde allí, envió transacciones de retiro no autorizadas. Aproximadamente $3 mil millones han sido congelados con la ayuda de Tether, Circle y Ripple. Binance dice que indemnizará a todos los usuarios con su fondo de seguro SAFU y las reservas de la empresa.
Caso cerrado, parecía decir el mercado. Bitcoin bajó, BNB cayó y la historia se consolidó en una forma familiar: otra intervención de un Estado-nación, otro exchange asumiendo los costos. Pero la historia cómoda tiene una grieta que la recorre por completo.
La señal: No hubo filtración de claves privadas
La frase más importante del propio comunicado de Binance se ha visto opacada por el ruido. Binance declaró —una y otra vez— que los investigadores no encontraron pruebas de que se hubiera filtrado ninguna clave privada de ninguna billetera.
Detente y piensa en lo que significa eso. Un ladrón que irrumpe desde fuera debe llevarse algo: una clave, una frase semilla, una contraseña, un secreto de firma. Eso es lo que significa "hackeo" en cripto. Pero aquí, no se llevó nada. En cambio, se dice que el atacante utilizó infraestructura de firma, el mecanismo de firma EIP-7702 en Ethereum y transacciones pre-autorizadas, para mover fondos. En términos sencillos: el dinero se movió porque algo dentro del propio sistema de firmas de Binance lo autorizó a moverse.
Esa es una diferencia profunda. La infraestructura de firmas comprometida no es "nos han robado". Es "alguien con acceso legítimo a la firma movió el dinero". Y las personas que tienen acceso legítimo a la firma son, por definición, personas dentro del edificio, o que han sido introducidas por alguien que ya está dentro.
Un actor estatal externo tendría que trabajar enormemente para llegar a esa capa sin ser detectado. Un insider, o un insider trabajando con un socio externo, ya está parado sobre ella. La historia del "portátil hackeado" es conveniente precisamente porque explica la desaparición de la clave robada, pero se trata de una cuenta verificada de Binance, y merece el mismo escepticismo que el primer borrador de cualquier víctima.
Una narrativa contradictoria y auto-serving
Observa las propias comunicaciones de Binance y verás cómo la historia vacila. En un mensaje, los fondos de los usuarios estaban "completamente seguros". En el siguiente, la empresa "asumiría todas las pérdidas". Esas dos declaraciones no pueden ser ambas casuales. La cuenta de Binance en América Latina confirmó un impacto de "alrededor de $6.3 mil millones" mientras advertía que el número "podría seguir aumentando". Las declaraciones surgieron de forma intermitente, a veces contradiciéndose entre sí, lo que varios medios de comunicación señalaron.
Nada de esto demuestra una conducta delictiva. Las empresas en crisis a menudo se comunican mal. Pero cuando la entidad que cuenta la historia es también la que controla la investigación, el público recibe exactamente una versión de los hechos —y esa versión tiene un incentivo incorporado para culpar a un adversario extranjero en lugar de a un fallo en su propia casa.
La historia que nadie quiere mencionar
Aquí es donde la teoría del trabajo interno deja de ser especulación y se convierte en un patrón.
Primero, 2019. En mayo de 2019, los hackers vaciaron 7,000 bitcoin —aproximadamente $40 millones en ese momento— de la billetera caliente de Binance. En sus propias memorias, el fundador Changpeng Zhao escribe que sospechaba firmemente del grupo Lazarus de Corea del Norte, y que los atacantes podrían haber sobornado a un empleado interno. Eso no lo dice un crítico externo. Es el fundador, por escrito, admitiendo que la vía interna estaba sobre la mesa.
En segundo lugar, 2023. Binance y Zhao se declararon culpables de cargos federales y pagaron una resolución de $4.3 mil millones, el acuerdo corporativo más grande en la historia de la aplicación de la ley de delitos financieros del Tesoro de EE. UU. El Departamento de Justicia detalló, en gran medida, cómo Binance falló deliberadamente en detener el dinero criminal: aproximadamente $106 millones en bitcoin que fluían directamente desde el mercado de la darknet Hydra, cientos de millones más a través del servicio de mezcla Bestmixer, y un esquema para ocultar a los usuarios de EE. UU. detrás de una etiqueta "UNKWN" después de afirmar públicamente que los bloqueaba. Las propias palabras de Zhao en un chat interno: "Es mejor pedir perdón que permiso."
En tercer lugar, el patrón más amplio de la industria. Los robos en exchanges no siempre son externos. En 2019, Bithumb de Corea del Sur concluyó que su pérdida de 19 millones de dólares fue un trabajo interno por parte de un ex empleado con acceso a carteras calientes. El punto no es que cada hackeo sea interno. El punto es que el narrador "hackers de estado-nación" es la narrativa por defecto porque es la que todo el mundo —incluida la víctima— prefiere, y la más fácil de afirmar.
Cuando una empresa tiene un historial documentado de ocultar lo que hace, su relato no verificado sobre su propia violación de seguridad no debe aceptarse de manera superficial. Eso no es una teoría de la conspiración. Es una debida diligencia básica.
Lo que lo resolvería
La pregunta sobre si se trató de un trabajo interno es respondible, y la respuesta provendrá de la evidencia que Binance controla, lo cual es precisamente el problema. Una resolución creíble incluiría: un informe forense independiente de una tercera parte (no un análisis póstumo escrito por la propia empresa); la identidad y el alcance de acceso de cada autoridad de firma involucrada durante la ventana de veinte minutos; y un registro público de qué sistemas internos autorizaron los retiros.
Hasta que exista esa evidencia, la posición honesta es que lo más probable es que se tratara de un trabajo interno, o de una mano interna que guiaba a una externa. La atribución a Corea del Norte no es prueba; es una inferencia basada en similitudes con incidentes pasados. Las similitudes no son huellas dactilares.
La conclusión incómoda: el mayor robo en la historia de las criptomonedas puede que no haya sido una irrupción. Puede que haya sido una puerta abierta desde el interior. Y una empresa con la historia de Binance se ha ganado cada parte del escrutinio que la acompaña.
FAQ
¿Cuánto se robó realmente de Binance? Aproximadamente $6.3 mil millones se trasladaron fuera de las billeteras calientes de Binance a través de diez blockchains en unos veinte minutos el 29 de octubre de 2026. Se han congelado unos $3 mil millones; Binance dice que cubrirá todas las pérdidas de los clientes con su fondo SAFU y las reservas de la empresa.
¿Por qué algunas personas creen que fue un trabajo interno? Porque Binance confirmó que no se filtraron las claves privadas de las billeteras. Los fondos se movieron a través de una infraestructura de firma comprometida: acceso autorizado, no claves robadas. Ese tipo de acceso es el que ya tiene un insider, y Binance tiene un historial que hace que su historia de la "laptop hackeada" sea difícil de tomar en serio.
¿A qué historial se refieren? En sus memorias, CZ dijo que el hackeo de Binance de 2019 puede haber involucrado a un insider sobornado. En 2023, Binance y CZ se declararon culpables de cargos federales y pagaron $4.3 mil millones por permitir deliberadamente el lavado de dinero y ocultar a los usuarios de EE. UU. a los reguladores.
¿No se culpa oficialmente a Corea del Norte? Sí — TRM Labs y Chainalysis atribuyeron el ataque al grupo TraderTraitor de Corea del Norte "con alta confianza". Pero eso es una inferencia basada en similitudes con incidentes pasados, no una prueba. La víctima controla la investigación, y no se ha publicado ningún informe forense independiente.
¿Qué evidencia lo resolvería? Un informe forense independiente de una tercera parte, un relato completo de qué autoridades de firma fueron tocadas, y una explicación pública de qué sistemas internos autorizaron los retiros. Nada de eso se ha publicado.