La empresa Binance sufrió el 29 de octubre de 2026 una intrusión en sus sistemas, aparentemente por el compromiso de una computadora de un ingeniero de DevOps que habría permitido acceder a un contenedor de servicios y hacer envíos no autorizados por un total estimado de U$S6.300 millones.
En sus informes preliminares, TRM Labs y Chainalysis atribuyen el ataque al grupo de ciberdelincuentes identificado como TraderTraitor, unidad vinculada a Corea del Norte. El exchange, por su lado, aún no ha confirmado quién está detrás del ataque.
Binance afirmó, en una publicación en X, que cubrirá las pérdidas de los clientes con su fondo SAFU (Fondo de Activos Seguros para Usuarios) y activos propios y que, a su vez, socios de la industria han logrado congelar cerca de U$S3.000 millones.
La pregunta de fondo
Con el conocimiento que tenemos hoy, la pregunta relevante no es cómo se logró comprometer una notebook, sino qué diseño de gobernanza permitió que ese acceso inicial se tradujera en la transferencia de miles de millones de dólares en pocos minutos.
De momento no está determinado cómo se comprometió el equipo del empleado de la firma, de qué manera se accedió al contenedor y cuáles fueron los controles que fallaron.
Este análisis se basa en la información que se conoce al día de hoy y luego podrá ser ampliado cuando se produzca el informe post-mortem.
El antecedente
Como antecedente inmediato del caso, podemos encontrar el hackeo a la empresa Bybit. El 21 de febrero del año 2025, el exchange de Dubai sufrió un ciberataque y perdió alrededor de U$S1.500 millones. El FBI atribuyó el ataque a TraderTraitor, el mismo grupo señalado por TRM Labs y Chainalysis. Sin embargo, los vectores de ingreso no fueron los mismos. En Bybit se comprometió la computadora de un desarrollador de Safe{Wallet}, proveedor externo, cuya infraestructura permitió la introducción de código malicioso. Esto permitió la manipulación del UI de las pantallas de los firmantes, y que vieran una transacción normal y no la que realmente se estaba ejecutando. En Binance, en principio, el acceso fue a través de una notebook de un ingeniero propio. Lo que ambos casos comparten, si se confirma el hallazgo preliminar de Binance, es el punto de ingreso por medio del entorno de los que construyen y operan la infraestructura.
Tres hallazgos de gobernanza
De la información existente se pueden extraer tres hallazgos de gobernanza:
- Apetito de riesgo: que existieran altos montos en las hot wallets accesibles de manera automatizada, según el informe de Chainalysis, sugiere una decisión de exposición. En este caso debería preguntarse si existía un límite aprobado de valor en línea y quién era el encargado de revisarlo.
- Velocidad de las transacciones: según TRM Labs salieron aproximadamente U$S6.360 millones de las wallets de Binance a través de 10 blockchains y en alrededor de 20 minutos. El ritmo en que transcurrieron las transacciones parece sugerir que no hubo un freno efectivo por tiempo o monto. Sería necesario revisar si existían en el caso límites por transacción, fijación de intervalos de tiempo entre cada una o si existía una segregación de funciones para su autorización.
- Ciclo de aprendizaje: el escenario de un actor malicioso que compromete un entorno de ingeniería, propio o de un proveedor, de un crypto exchange ya era conocido a partir del ataque contra Bybit. Cabría preguntarse si ese nuevo escenario estaba en el registro de riesgos, si se probó dentro de la compañía y qué cambios fueron realizados a partir de ese antecedente.
Lo que esto dice sobre el diseño
Un endpoint comprometido en un sistema crítico es un evento que debe ser contemplado en cualquier diseño de gobernanza. Lo que define la magnitud del daño ocasionado no es la sofisticación del atacante, sino la autoridad concentrada en el camino que logró recorrer. Esa concentración es efecto de decisiones de negocios respecto de dónde mantener los fondos, qué controles exigir y qué escenarios poner a prueba.
Con la información que contamos hoy, el caso de Binance sugiere que una o más de estas decisiones merecen ser revisadas. Sumado a ello, el antecedente de Bybit muestra que el riesgo no era desconocido en la industria. Sobre estas preguntas se volverá cuando haya información técnica oficial disponible.
Preguntas para CISOs y directorios
El caso nos deja algunas enseñanzas y preguntas que deberían plantearse internamente las empresas:
- Si se viera comprometido el equipo de un ingeniero con acceso privilegiado, ¿cuál es el valor máximo que se puede mover antes de que sea detenido por un control independiente? ¿Alguien en el directorio conoce ese monto?
- ¿Existe alguna ruta por la cual un único sistema o identidad pueda realizar una transacción de alto impacto sin otra aprobación independiente? ¿Se hacen tests para probar esta situación?
- Cuando ocurre un evento como el de Bybit o este actual en el sector, ¿cuánto tiempo se demora en convertir el aprendizaje en un rediseño? Si no ocurre, ¿hay un responsable de aceptación del riesgo residual?
Sobre estas preguntas se volverá al momento de analizar el informe que presentará en el futuro Binance.
Fuentes
https://www.axios.com/2026/10/29/binance-cyberattack-crypto-heist
https://therecord.media/binance-hit-by-record-6-billion-crypto-hack
https://twitter.com/_RichardTeng/status/2116072080525656150
https://www.binance.com/en/support/announcement/detail/c5a8729a97ac486d963784d96c5642d7
https://www.chainalysis.com/blog/binance-exploit-latest-findings-and-response/
https://www.elliptic.co/insights/bybit-hack-largest-in-history