La brecha de seguridad en Binance y Bybit revela fallas operativas en la custodia cripto

Los dos mayores robos informáticos contra plataformas cripto demostraron que la vulnerabilidad principal ya no radica en la matemática del código fuente sino en las personas y en los accesos de las operaciones corporativas. En solo veinte meses, el crimen organizado sustrajo 1.500 millones de dólares a Bybit y 6.340 millones de dólares a Binance sin necesidad de romper la criptografía de la red.

La respuesta operativa ante las pérdidas de reservas exigió auxilio crediticio privado de urgencia en Bybit e inmovilización inmediata de activos centralizados en Binance. Mientras Bybit recurrió a préstamos institucionales para mantener los pagos de sus usuarios, Binance amortiguó la sacudida financiera mediante su fondo corporativo de reserva y el bloqueo de tokens en la cadena de bloques.

¿Cómo evolucionaron los ataques cibernéticos desde el caso Bybit hasta Binance?

La intrusión cibernética contra plataformas centralizadas de activos digitales cambió su modo de operar entre el atraco a Bybit en febrero de 2025 y el golpe masivo a Binance en octubre de 2026. Si analizás la secuencia histórica de ambos hechos, observás un salto de complejidad hacia la filtración profunda en los servidores corporativos de desarrollo.

En el caso de Bybit, la sustracción de 401.347 Ether se ejecutó mediante la inyección de código malicioso en la pantalla web que utilizaban los administradores de la plataforma. Los atacantes vulneraron la computadora de un desarrollador del proveedor de software de custodia Safe Wallet tras el hurto de credenciales de sesión en la nube de Amazon Web Services.

Durante una transferencia ordinaria entre la billetera fría y la billetera tibia, la pantalla alterada presentó datos normales a los ojos de los operadores. Sin embargo, al pulsar la aprobación en los dispositivos físicos de hardware, las autorizaciones entregaron el control operativo del contrato inteligente a las direcciones bajo el dominio de los delincuentes. Según el informe técnico publicado por la consultora NCC Group al 21 de febrero de 2025, la inyección maliciosa alteró los parámetros visuales sin levantar sospechas en los autorizantes.

El ataque a Binance prescindió del engaño a la vista de los ejecutivos en el momento del firmado. El grupo criminal articuló una campaña de ingeniería social de cinco meses que incluyó un asistente de programación falso con inteligencia artificial y la simulación de una búsqueda laboral corporativa para capturar el acceso de los ingenieros.

Al tomar el control de la máquina de un programador, los intrusos penetraron en un contenedor de servicios interno. Desde esa posición emitieron órdenes de retiro legítimamente autorizadas a través de diez cadenas de bloques simultáneas, con el abuso de la especificación EIP-7702 en Ethereum para desviar los fondos sin necesidad de extraer las claves privadas. El portal especializado Hard2bit analizó el impacto técnico de la especificación EIP-7702 y las lecciones regulatorias para la infraestructura de firmas al 30 de octubre de 2026. 

¿Qué papel juegan los grupos norcoreanos en los mayores robos de criptomonedas?

Las células de cibercrimen respaldadas por el estado de Corea del Norte, en especial el Grupo Lazarus y su subdivisión TraderTraitor, actúan como los ejecutores principales en las mayores sustracciones de la industria cripto. Si seguís los rastreos forenses en la cadena de bloques, detectás un estándar operativo de escala internacional.

Según la alerta oficial emitida por la Oficina Federal de Investigación de los Estados Unidos (FBI) al 22 de febrero de 2025, los agentes estatales de Pionyang dirigieron la operación completa contra Bybit.

Los agentes de este grupo aplican una táctica de ingeniería social denominada "entrevista contagiosa". Crean perfiles ficticios en redes profesionales, inventan compañías fantasmas del sector informático y realizan entrevistas de trabajo para enviar archivos infectados con programas espías que toman el control de los sistemas empresariales.

El informe de la compañía de inteligencia Chainalysis publicado al 25 de febrero de 2025 reconstruyó la trayectoria del lavado de los fondos sustraídos por Pionyang. Esta metodología ya contaba con antecedentes severos en el sector informático. Las agresiones atribuidas al régimen norcoreano abarcan el atraco a Axie Infinity por 600 millones de dólares en 2022, el golpe a DMM Bitcoin por 305 millones de dólares y la sustracción en WazirX por 235 millones de dólares en 2024.

Una vez que capturan los activos, las unidades norcoreanas despliegan un lavado automatizado de alta velocidad. Mueven el capital a través de puentes entre distintas cadenas de bloques, plataformas descentralizadas de intercambio sin verificación de identidad y operadores privados en Asia para perder el rastro del dinero en pocos minutos.

La apropiación masiva de divisas digitales constituye una fuente de financiamiento directo para el régimen de Corea del Norte. Ante las sanciones económicas impuestas por el Consejo de Seguridad de las Naciones Unidas, estos botines financian los programas militares y el desarrollo de armamentos.

¿Cómo respondieron las plataformas ante la pérdida de reservas y la congelación de activos?

La reacción de las plataformas frente a la emergencia financiera combinó la toma de créditos puente privados por parte de Bybit y la combinación de un fondo interno de resguardo con la inmovilización de tokens en el caso de Binance. Las dos administraciones buscaron proteger los depósitos de los usuarios con metodologías opuestas.

En el episodio de Bybit, el total del capital robado consistió en Ether nativo de la red Ethereum. La estructura descentralizada de esa cadena de bloques no cuenta con funciones administrativas para frenar cuentas ni aplicar listas negras sobre su moneda nativa, por lo cual ningún emisor pudo inmovilizar las unidades sustraídas.

Para evitar una venta presurosa de activos que destruyera los precios del mercado, la dirección ejecutiva de Bybit obtuvo 1.120 millones de dólares mediante préstamos puente con intermediarios de liquidez como Galaxy Digital, FalconX y Wintermute en menos de tres días. De este modo la plataforma repuso 447.000 Ether en sus billeteras y mantuvo la atención de giros sin demoras.

En la intrusión a Binance, el botín incluyó una canasta variada de activos con alta presencia de monedas estables emitidas por entidades privadas. Al detectar las transferencias anómalas, la compañía pausó los giros e inició una coordinación rápida con los emisores de tokens y con consorcios de seguridad.

Esa colaboración en la cadena permitió congelar más de 2.700 millones de dólares en las primeras horas posteriores al incidente. La entidad Tether bloqueó más de 1.567 millones de dólares en USDT en las direcciones sospechosas, mientras que la organización Circle inmovilizó 823 millones de dólares en USDC. Consorcios como Arbitrum y World Liberty Financial sumaron bloqueos en sus contratos. El reporte publicado por la consultora Cognativ al 31 de octubre de 2026 analiza la cronología del drenaje en Binance y la posterior parálisis de fondos en la cadena de bloques. 

Para asumir la pérdida del remanente no congelable, que incluyó 18.270 Bitcoins y 420.000 Ether, Binance utilizó su tesorería corporativa y su reserva SAFU (Secure Asset Fund for Users). La compañía asignó 6.340 millones de dólares propios para respaldar la totalidad de los depósitos sin derivar el costo hacia sus clientes.

¿Por qué la prueba de reservas no evita los robos informáticos?

La prueba de reservas actúa como una comprobación contable en una fecha específica, pero no demuestra la resistencia de los accesos ni la seguridad de las operaciones diarias. Si revisás una auditoría contable criptográfica, confirmás la presencia del dinero en la billetera en ese instante, pero no sabés si un tercero posee la capacidad de moverlo unos minutos después.

Antes de sufrir las intromisiones, tanto Bybit como Binance difundían reportes periódicos apoyados en árboles de Merkle. Esos informes acreditaban que las plataformas contaban con el respaldo del 100% de los depósitos de sus clientes. En el caso de Binance, la billetera conocida como "Binance 14" exhibía más de 1.200 millones de dólares en tokens en sus registros públicos días antes del drenaje.

Las investigaciones técnicas posteriores confirmaron que certificar la tenencia de los activos no equivale a garantizar la inviolabilidad de los sistemas de custodia. La prueba de reservas publica un estado estático de la tesorería, pero resulta incapaz de detectar si la computadora de un programador aloja un archivo infectado o si una pantalla de administración sufre una inyección maliciosa. El análisis publicado por Safe Security al 30 de octubre de 2026 detalla el compromiso de la infraestructura interna de desarrollo y el movimiento transaccional de la brecha en Binance.

Los profesionales en ciberseguridad señalan que la industria debe evolucionar desde la verificación estática del balance hacia un control continuo de la operativa informática. Esto exige separar los servidores de validación transaccional, establecer techos máximos de retiro por período de tiempo y realizar simulaciones permanentes de intromisión sobre todo el circuito informático.

¿Cómo impactan las regulaciones y las políticas de auto custodia en la seguridad de los exchanges?

Las normas internacionales recientes y la adopción de la auto custodia reducen la dependencia hacia las plataformas centralizadas al exigir auditorías integrales de riesgo informático y devolver el manejo exclusivo de las claves a los usuarios. Si analizás el escenario regulatorio global, notás una vigilancia más estrecha sobre las empresas custodias.

En el marco de la Unión Europea, reglamentos como MiCA y la ley DORA imponen la obligación de gestionar los riesgos tecnológicos de proveedores externos y fijan responsabilidad financiera ante la pérdida de fondos bajo custodia. Las autoridades exigen planes de contingencia probados y la notificación de incidentes en plazos breves.

Un problema recurrente para los intercambios centralizados es la falta de seguros cibernéticos tradicionales para billeteras operativas conectadas a la red. Las pólizas internacionales suelen restringir la protección al almacenamiento en frío sin conexión o aplican exclusiones de cobertura si el ataque proviene de organismos vinculados a Estados extranjeros.

Frente a estas limitaciones corporativas, la auto custodia mediante billeteras de hardware o esquemas de cómputo multifirma otorga al usuario del intercambio el control directo de sus activos sin intermediarios.

Las plataformas centralizadas constituyen un punto único de falla donde un error de infraestructura o un descuido informático en el equipo corporativo paraliza los ahorros de millones de personas. Si una intromisión bloquea los giros de una plataforma, quedás expuesto a las decisiones de resolución de la empresa para recuperar el dinero. Con la auto custodia personal, no dependés de la salud financiera ni de la estabilidad de los sistemas de una compañía privada para disponer de tus ahorros en cualquier instante.