Hackeo a Binance: cómo una entrevista de trabajo falsa acabó en el mayor robo cripto de la historia (6.300 millones)

Qué se sabe del robo de 6.300 millones de dólares a Binance: la cadena de ataque paso a paso, la respuesta y qué lecciones de seguridad podemos aplicar.

El 29 de octubre de 2026 Binance sufrió el mayor robo de criptomonedas de la historia: unos 6.300 millones de dólares salieron de sus monederos en apenas unos minutos. Multiplica por más de cuatro el anterior récord, los 1.500 millones del hackeo a Bybit en 2025. Y lo más llamativo no es la cifra, sino cómo empezó todo: con una entrevista de trabajo falsa.

En este artículo resumimos qué se sabe hasta ahora (con las fuentes al final), cómo fue la cadena de ataque paso a paso y, sobre todo, qué lecciones prácticas podemos sacar quienes trabajamos o queremos trabajar en ciberseguridad.

Qué pasó: el resumen en 30 segundos

Cuándo: el 29 de octubre de 2026, entre las 20:05 y las 20:20 UTC empezaron las transferencias en varias blockchains a la vez.
Cuánto: unos 6.300 millones de dólares repartidos en diez blockchains.
Quién: el FBI y la firma de análisis blockchain TRM Labs lo atribuyen a hackers de Corea del Norte; las autoridades europeas señalan concretamente al grupo TraderTraitor, vinculado a Lazarus. Corea del Norte lo niega.
Cómo: un ingeniero de Binance ejecutó una "prueba técnica" con malware durante un falso proceso de selección. Desde su equipo, los atacantes acabaron llegando al servicio que firma las transacciones de los monederos.
Usuarios: Binance asegura que asume las pérdidas: "Binance absorberá el impacto económico de estos fondos robados, no nuestros usuarios". Los retiros se reanudaron el 1 de noviembre.

La cadena de ataque, paso a paso

Según la explicación que ha dado la propia Binance (recogida por BleepingComputer y NBC News), el ataque se preparó durante semanas. Así se encadenaron las fases:

1. El anzuelo: una oferta de trabajo (septiembre)

Un ingeniero de software de Binance recibió una propuesta a través de una plataforma de empleo legítima. Quien le escribía se hacía pasar por un director de proyecto. Hubo dos entrevistas: la primera con una supuesta persona de recursos humanos, por videollamada y con fotos sacadas de redes sociales para ganarse su confianza; la segunda, por chat, con alguien que decía ser el CEO de la empresa.

2. La "prueba técnica" con sorpresa

En la segunda entrevista le pidieron descargar un ejercicio de programación desde un repositorio de código. El proyecto llevaba malware oculto. Binance explica que usaba técnicas de ofuscación y evasión, incluida la sustitución de un componente legítimo de una herramienta de desarrollo por una versión maliciosa: en macOS creaba un ejecutable llamado pyenv_ en los directorios de Homebrew, borraba el pyenv original y lo usaba para abrir una shell (Z shell) con la que ejecutar comandos en remoto. Era malware desconocido hasta entonces y no lo detectaron las herramientas de seguridad del equipo.

3. Movimiento lateral (hasta el 20 de octubre)

Con el portátil del ingeniero comprometido, y apoyándose en una herramienta interna de IA, los atacantes consiguieron credenciales y un token de despliegue de contenedores de otros dos empleados que trabajaban en la infraestructura de monederos. El copresidente ejecutivo de Binance, Richard Teng, ha matizado que no fue "el mal uso de los permisos de un único ingeniero", sino un proceso más complejo.

4. El golpe (29 de octubre)

Con esas credenciales desplegaron un script malicioso que les dio acceso al servicio de firma de los monederos: la pieza que autoriza que los fondos salgan. Vaciaron activos de diez blockchains en unos 20 minutos, con al menos una transacción de más de 2.500 millones de dólares. Según Binance, además abusaron del mecanismo de autorización EIP-7702 de Ethereum (que permite a una cuenta normal delegar su ejecución en el código de un contrato) para seguir moviendo fondos incluso después de que se suspendieran los retiros.

Cuánto se robaron y de dónde

Blockchain	Valor aproximado robado
Ethereum	3.800 millones $
Bitcoin (18.270 BTC)	1.500 millones $
TRON	628 millones $
XRP	296 millones $
Solana	96 millones $
Arbitrum, Optimism y Base	39 millones $
Avalanche	28 millones $
Polygon	10 millones $

Elliptic, otra firma de análisis blockchain, lo ha descrito como casi con toda seguridad el mayor robo conocido de cualquier tipo, no solo de criptomonedas.

La respuesta: congelaciones, fondos de emergencia y retiros masivos

Aquí hay una parte de la historia que demuestra lo distinto que es robar en blockchain frente a robar en un banco:

Las stablecoins se pueden congelar. Tether y Circle (emisores de USDT y USDC) bloquearon carteras del atacante el 30 de octubre, con apenas tres minutos de diferencia entre una y otra. Las estimaciones de lo congelado van de unos 2.700 millones (TRM Labs) a unos 3.000 millones (Binance).
Bitcoin no. Los 1.500 millones en BTC no se pueden congelar: solo se puede rastrear su movimiento y presionar a los exchanges donde intenten cambiarlos.
Binance tiró de reservas. Usó su fondo de protección SAFU (Secure Asset Fund for Users), parte de su fondo de seguro de futuros y su tesorería corporativa. El 31 de octubre anunció que había restaurado el respaldo de aproximadamente el 90% de los activos afectados, con BTC, ETH, USDT, BNB, SOL, USDC y XRP respaldados al 100%.
Retiros masivos. Al reabrir los retiros el 1 de noviembre, los usuarios sacaron 4.650 millones de dólares en nueve horas. A la mañana siguiente las salidas netas rondaban los 4.900 millones, alrededor del 3% de los activos totales del exchange.

El FBI ha publicado direcciones de carteras vinculadas al robo y el Servicio Secreto de EE. UU. trabaja para rastrear y recuperar los fondos. Blanquear un botín así lleva tiempo: según los analistas, convertirlo en dinero real puede costar semanas o años y requiere intermediarios.

Lecciones prácticas (sobre todo si buscas trabajo en tech)

Este caso no se explica por un fallo exótico en la criptografía, sino por ingeniería social bien hecha. Las ofertas de empleo falsas dirigidas a desarrolladores son una táctica que los grupos norcoreanos llevan años usando. Esto es lo que puedes aplicar desde hoy:

Si te hacen una prueba técnica

Nunca ejecutes el código de una prueba en tu equipo de trabajo. Y si puedes, tampoco en tu equipo personal: usa una máquina virtual o un contenedor desechable, sin acceso a tus credenciales, claves SSH ni carteras.
Lee antes de ejecutar. Revisa los scripts de instalación (package.json con postinstall, setup.py, Makefile, hooks de git) y las dependencias raras o con nombres casi idénticos a paquetes conocidos.
Verifica a quien te recluta. Comprueba que la persona existe y trabaja donde dice, por un canal distinto al que te escribió. Desconfía de las prisas y de los "CEO" que entrevistan por chat.

Si diseñas o defiendes infraestructura

Aísla lo crítico. El servicio que firma transacciones (o despliega a producción) no debería ser alcanzable con las credenciales de un portátil de desarrollo.
Mínimo privilegio y tokens de corta duración. Un token de despliegue robado no debería servir durante semanas.
Varias aprobaciones humanas para operaciones grandes y límites de cantidad: una transferencia de 2.500 millones debería disparar todas las alarmas antes de ejecutarse.
Detección por comportamiento, no solo por firmas. Este malware era nuevo y el antivirus no lo vio; un binario de pyenv sustituido o una shell inesperada lanzada desde una herramienta de desarrollo sí son señales detectables.

Si te interesa entender mejor la parte técnica, en nuestra web tienes guías para empezar con las bases: comandos de Linux para hacking ético (para saber qué buscar en un sistema comprometido), herramientas de análisis forense como Volatility y una sección de seguridad de smart contracts. Y si estás empezando desde cero, la academia de Hackers en Acción está a punto de abrir.

Fuentes

Artículo actualizado a 4 de noviembre de 2026. La investigación sigue abierta y algunas cifras pueden cambiar.