Binance, la mayor bolsa mundial de criptoactivos, ha sido víctima de un ciberataque con un impacto total estimado de 6.300 millones de dólares (5.650 millones de euros) alrededor del 29 de octubre, que la Oficina Federal de Investigación (FBI) de EE UU atribuye a Corea del Norte.
La plataforma reanudó de forma gradual los retiros el domingo 1 de noviembre y asegura haber repuesto ya el 95 % de los activos afectados, mientras que el banco francés Crédit Mutuel Arkéa ha reconocido el robo de unos 100 millones de euros en un ciberataque distinto.
Un robo atribuido a Pionyang
Binance informó el 30 de octubre de que había sufrido un "incidente de seguridad" y de que habría logrado congelar, junto con otros socios de blockchain (del inglés, cadena de bloques), activos por unos 3.000 millones de dólares (2.690 millones de euros). Se considera el mayor robo de criptomonedas registrado, unas cuatro veces los 1.500 millones sustraídos a Bybit en febrero de 2025.
La noticia provocó una caída de los precios en el mercado: el bitcoin perdió casi un 5 %, Ethereum casi un 6 % y BNB, la criptomoneda nativa de Binance, cerca de un 10 %.
Las primeras investigaciones apuntaban a que el incidente podía estar relacionado con el portátil de un ingeniero, lo que habría permitido a un atacante acceder al sistema y realizar retiros no autorizados. Después, la compañía habló de un "ataque complejo" con varios "puntos de brecha", si bien asegura que no ha encontrado evidencias de filtración de claves privadas de monederos.
Estamos colaborando estrechamente con las fuerzas del orden para confirmar la identidad de estos delincuentes y llevarlos ante la justicia
BINANCE, en un comunicado
Binance ha contactado con las fuerzas del orden y con socios de la cadena de bloques para rastrear y recuperar los fondos, y ha revocado la autorización de la dirección afectada. "Nuestros equipos están trabajando sin descanso para resolver este problema de forma segura y exhaustiva. Estamos colaborando estrechamente con las fuerzas del orden para confirmar la identidad de estos delincuentes y llevarlos ante la justicia", ha indicado la compañía.
La firma de ciberseguridad financiera TRM Labs atribuyó la autoría a TraderTraitor, la unidad de piratas informáticos de élite de Corea del Norte. "Hacemos esta afirmación con alta confianza", señaló. Según su análisis, la preparación comenzó "al menos 36 horas antes del robo", cuando la billetera del operador del atacante recibió tres pequeños retiros de Tornado Cash, un servicio que oculta el origen de las criptomonedas, desde la mañana del 28 de octubre.
El sábado 31 de octubre, el FBI confirmó esas sospechas en un comunicado: Corea del Norte "fue responsable del robo de más de 6.000 millones de dólares" en activos virtuales de Binance. La agencia ya había identificado a TraderTraitor como responsable del ataque a Bybit, valorado en 1.500 millones de dólares, y TRM Labs sostiene que varias características de este ataque coinciden con las de robos anteriores vinculados a Corea del Norte, entre ellos el de Bybit y el de KelpDAO, en abril de 2026.
El presidente de EE UU, Donald Trump, puso en duda esa autoría ante los periodistas el sábado por la noche, en su residencia de Florida: "No estoy preocupado. Estamos recabando información. No sabemos si es Corea del Norte". Pionyang lo negó el martes 3 de noviembre: Kim Yo Jong, hermana del líder norcoreano, Kim Jong Un, calificó la acusación de "absurda" y de "grave provocación política" contra su país, en una declaración difundida por la agencia estatal norcoreana.
Carsten Menke, responsable de Investigación Next Generation de Julius Baer, ha señalado que el que podría ser "el mayor robo de la historia" no parece estar relacionado con la seguridad de la propia cadena de bloques y no se trata de un problema inherente a las criptomonedas, "sino de un problema de la empresa, lo que subraya, una vez más, la importancia del almacenamiento seguro". Por ahora, añade, no hay pruebas de que la inteligencia artificial (IA) haya desempeñado un papel.
Binance repone fondos y reabre retiros
Binance suspendió de forma temporal los depósitos y los retiros durante las comprobaciones de seguridad. Más tarde informó de que los depósitos no se habían visto afectados y funcionaban con normalidad, mientras que los retiros permanecían suspendidos durante la revisión del servicio y de las direcciones relacionadas, con la previsión de reanudarlos en un plazo de 48 horas.
La reanudación llegó el domingo 1 de noviembre, de forma gradual y por fases, a partir de las 06.00 horas del meridiano de Greenwich (GMT, por sus siglas en inglés). Hasta las 15.30, la plataforma procesó 4.650 millones de dólares en retiros y 1.010 millones en depósitos, lo que supone una salida neta de 3.640 millones, cerca del 2,1 % de los activos que gestiona la empresa.
El codirector ejecutivo de Binance, Richard Teng, dijo que la compañía cubrirá todas las pérdidas. La plataforma, que se había comprometido a hacerlo con su fondo de reserva de emergencia (SAFU), creado para proteger los fondos de los usuarios, afirma haber reservado más de 6.340 millones de dólares (5.684 millones de euros) de sus fondos para cubrir el incidente.
Este proceso puede demorar más tiempo debido a la baja liquidez de algunos tokens y al tiempo que requiere la liquidación OTC
BINANCE, en una actualización
De esa cantidad, 5.000 millones de dólares (4.483 millones de euros) ya están invertidos en los activos afectados, y la plataforma completa la compra del importe restante mediante la adquisición de activos en canales de mercado y en mercados extrabursátiles (OTC, por sus siglas en inglés). Binance admite que "este proceso puede demorar más tiempo debido a la baja liquidez de algunos tokens y al tiempo que requiere la liquidación OTC", y precisa que estas cifras no incluyen los activos congelados o protegidos, que siguen sujetos a recuperación y verificación.
Binance había anunciado que repondría el 90 % de lo sustraído con fondos propios y después elevó la cifra al 95 % de los activos afectados. El martes 3 de noviembre informó de que los depósitos por hora ya superaban a las retiradas, un comportamiento que, según la compañía, evidencia una recuperación de la actividad y una mayor estabilidad en los movimientos de capital.
Una oleada de ataques en Europa
El banco francés Crédit Mutuel Arkéa, con sede en Bretaña, reconoció el miércoles 4 de noviembre haber sido víctima de un ciberataque que permitió realizar transacciones fraudulentas. El jueves 5, informó de que los piratas informáticos sustrajeron unos 100 millones de euros (112,6 millones de dólares, según Reuters) y de que trabaja para recuperar el dinero.
La alerta pública la había dado el 2 de noviembre el investigador de cadena de bloques ZachXBT, que detectó movimientos anómalos de gran volumen vinculados a una entidad europea. Otras estimaciones difundidas en los primeros momentos elevaban el importe a 118 millones de euros, una cifra que el banco no ha confirmado, y el propio investigador calculó 133 millones de dólares.
Según el banco, los atacantes accedieron a sus sistemas a través de la plataforma de uno de sus proveedores de servicios y utilizaron una cuenta de la entidad para efectuar transferencias a otros bancos. La entidad descarta un error humano y habla de un "ataque sofisticado desde el exterior", y un portavoz negó que su filial de banca en línea, Fortuneo, fuera el punto de entrada. No ha identificado al proveedor.
El banco precisa que los fondos no estaban en forma de criptomoneda, aunque podrían haberse convertido a criptomonedas tras la sustracción. Suspendió temporalmente algunas operaciones, lo que dejó la aplicación fuera de servicio y retrasó ciertas transferencias, pero asegura que los activos de los clientes no se han visto afectados y que casi todas las operaciones se reanudaron en la mañana del 4 de noviembre. Algunos de los fondos afectados han sido congelados, y la entidad advierte de un probable aumento del phishing (del inglés, suplantación de identidad) dirigido a sus clientes.
La fiscalía de París recibió la denuncia el miércoles y abrió de inmediato una investigación, dirigida por la policía especializada en delitos informáticos. El banco informó también al Banco Central Europeo y a los supervisores bancarios franceses. Los atacantes no han sido identificados.
Reuters califica el caso de poco habitual, ya que unos ciberdelincuentes lograron robar a un banco convencional. Rafay Baloch, director ejecutivo de la empresa de ciberseguridad RedSecLabs, dijo que el ataque no tiene precedentes en Europa, mientras que Puneet Kakkar, de la firma Nardello & Co, en París, afirmó que "los ciberdelincuentes se están volviendo más oportunistas y más creativos" y que los bancos franceses suelen tener una sólida ciberseguridad por exigencias normativas.
El ataque a Arkéa coincide con una oleada de ataques contra frigoríficos conectados a internet en Europa. El lunes 2 de noviembre, un presunto ciberataque disparó las temperaturas de las cámaras frigoríficas de supermercados de al menos nueve países europeos, y la Unión Europea (UE) advirtió de un intento deliberado de perturbar la cadena de suministro de alimentos del bloque. AFP elevó después la cifra a once países, con Alemania y Rumanía entre los últimos en sumarse.
Bélgica fue uno de los países más afectados, con decenas de tiendas con fallos de refrigeración y una investigación abierta por la fiscalía federal, y algunos comercios tuvieron que desechar alimentos. El episodio repite otro de mayor alcance ocurrido en Francia a principios de octubre.
Ese mismo lunes, varios centros regionales del Establecimiento Francés de Sangre (EFS) se vieron afectados por un incidente de ciberseguridad que alcanzó a sistemas de supervisión y control de sus cámaras frigoríficas, según el Ministerio de Sanidad francés. Tres centros sufrieron el ataque, que afectó a la empresa externa encargada de los equipos; las alarmas detectaron las anomalías y los productos se trasladaron a otras instalaciones, por lo que no hubo daños en los productos sanguíneos. Las autoridades investigan los hechos y todavía no han determinado quién está detrás.
El panorama general de la ciberseguridad se está volviendo cada vez más complejo a medida que la IA reduce el coste y la velocidad de los ataques sofisticados
CARSTEN MENKE, de Julius Baer
Menke advirtió además de que "el panorama general de la ciberseguridad se está volviendo cada vez más complejo a medida que la IA reduce el coste y la velocidad de los ataques sofisticados". Según estimaciones del sector, recordó, una de cada cuatro brechas maliciosas se realiza ya mediante IA, por lo que la ciberseguridad "es ahora más crucial que nunca".
Añadir EcoAvant.com como fuente preferida de Google de forma gratuita.
Activar ahora