Binance sufre hackeo de 6,300 mdd; señalan a grupo vinculado a Corea del Norte

Binance, la plataforma de intercambio de criptomonedas más grande del mundo, confirmó este 30 de octubre que investiga un ciberataque que resultó en la sustracción de más de 6,300 millones de dólares de sus carteras digitales conectadas a internet, conocidas como hot wallets^1, 2, 3. El incidente ocurrió el 29 de octubre y afectó billeteras en al menos diez redes blockchain³.

Las primeras investigaciones de la compañía y de firmas especializadas en ciberseguridad apuntan a TraderTraitor, un grupo de hackers vinculado al régimen de Corea del Norte, como posible responsable del ataque^2, 3. Binance aseguró que cubrirá todas las pérdidas con su fondo SAFU y recursos propios, y que los fondos de los usuarios están seguros^1, 2.

Cómo ocurrió el ciberataque a Binance

El incidente se originó cuando los atacantes lograron comprometer la computadora portátil de un ingeniero de DevOps de Binance, lo que les permitió acceder a un contenedor de servicios y ejecutar transacciones de retiro no autorizadas^1, 2, 3. La operación fue rápida: la mayor parte de los fondos se sustrajo en aproximadamente 20 minutos, según análisis de TRM Labs³.

Las transferencias se realizaron desde las hot wallets, que son carteras conectadas a internet utilizadas por la plataforma para procesar operaciones diarias¹. Los especialistas señalan que los ciberdelincuentes no necesariamente vulneraron todas las billeteras, sino que bastó con comprometer los sistemas o dispositivos que intervienen en la autorización de movimientos financieros³.

Quiénes son los presuntos responsables

Diversas firmas de seguridad digital, como TRM Labs, Pangolin Intelligence y Sophos, atribuyen el ataque con alto grado de confianza al grupo TraderTraitor, vinculado a Corea del Norte y relacionado con Lazarus, organización señalada por ataques financieros previos^2, 3.

Pangolin Intelligence indicó que, de forma 'casi segura', Corea del Norte está detrás del ataque, basándose en similitudes técnicas con incidentes anteriores y en el uso de cuentas previamente empleadas para blanquear fondos robados². Binance, sin embargo, mantiene abierta la investigación y no ha confirmado oficialmente la identidad de los responsables^1, 3.

Respuesta oficial de Binance y medidas tomadas

Tras detectar el incidente, Binance suspendió temporalmente los depósitos y retiros mientras realiza verificaciones de seguridad, revocó la autorización de la dirección afectada y contactó a autoridades y socios especializados en inteligencia blockchain para rastrear y recuperar los fondos¹.

La plataforma informó que, hasta la publicación de su comunicado, se habían bloqueado aproximadamente 3,000 millones de dólares en la cadena de bloques con ayuda de socios del ecosistema¹.

El contexto: ciberataques previos y riesgos actuales

El ciberataque a Binance supera en monto incidentes anteriores, como el robo de 1,500 millones de dólares a Bybit en febrero de 2025, también atribuido a actores vinculados con Corea del Norte^2, 3. En septiembre de 2026, la plataforma Bitget reportó el robo de 351.6 millones de dólares en un ataque similar².

Expertos advierten que los propietarios de criptoactivos, tanto particulares como corporativos, son cada vez más objetivo de ciberdelincuentes, quienes explotan vulnerabilidades en dispositivos y credenciales de acceso¹. Se recomienda instalar soluciones de seguridad, mantener sistemas actualizados y reforzar los controles de acceso en los servicios que administran activos digitales¹.

Qué significa para México

Aunque Binance ha asegurado que cubrirá las pérdidas y que los fondos de los usuarios están protegidos, el incidente pone en alerta sobre la importancia de la ciberseguridad tanto para usuarios individuales como para empresas mexicanas que participan en el ecosistema de criptomonedas¹.

Versiones de los hechos

• Identidad del grupo responsable del ataque: Muchos señalan específicamente a Lazarus como posible responsable, pero la investigación sigue abierta¹; Dos firmas de seguridad digital acusan casi con certeza al grupo TraderTraitor, vinculado a Corea del Norte²; TRM Labs y Sophos atribuyen el ataque a TraderTraitor, asociado con Lazarus y patrocinado por el Estado norcoreano³.

Fuentes

Texto elaborado por la Redacción de Columna Digital. Para ofrecer una visión equilibrada, contrastamos la información de estas otras fuentes:

1. El Universal ↩
2. El Español ↩
3. Expansión ↩

Redacción Columna Digital. Es posible que en la preparación de esta nota se hayan usado herramientas de inteligencia artificial para reunir fuentes, procesar datos, corregir o redactar textos, bajo la supervisión del equipo de Redacción.