Si crees que ninguna transferencia sale de la cuenta de tu empresa sin tu firma, el hackeo de Binance es una buena razón para poner a prueba esa idea hoy. La noche del 29 de octubre de 2026, unos 6,3 mil millones de dólares salieron de las billeteras de Binance, el mayor exchange de criptomonedas del mundo, mediante retiros no autorizados, la mayor parte en unos 20 minutos. El codirector ejecutivo del exchange dijo que parte de la operación no pasó por sus controles de aprobación habituales. La lección para tu negocio no tiene nada que ver con las criptomonedas: haz una lista de cada vía que puede mover dinero o cambiar la cuenta de un beneficiario, y haz que cada una requiera dos personas, dos dispositivos y un registro que nadie pueda borrar.

Qué pasó en Binance, en cifras

Según la segunda actualización oficial que Binance publicó el 30 de octubre, sus billeteras calientes, es decir, las billeteras conectadas a internet que procesan los retiros de los clientes, fueron comprometidas hacia las 20:05 UTC, con una pérdida de unos 6,3 mil millones de dólares. El exchange pausó los retiros, informó que unos 3 mil millones de dólares habían sido congelados en la cadena con ayuda de sus socios, y reservó más de 6,34 mil millones de dólares de fondos propios para cubrir las pérdidas, incluidos 5 mil millones en los mismos tokens que fueron robados, es decir, cerca del 80% del monto. Se fijó como objetivo reanudar los retiros por fases en unas 34 horas desde esa actualización, con un informe de prueba de reservas antes del 2 de noviembre.

El análisis de TRM Labs sobre los datos de la blockchain añade detalles importantes: los fondos salieron por 10 redes, la preparación empezó al menos 36 horas antes del robo, el atacante ensayó la herramienta en otra billetera antes de usarla y preparó 50 autorizaciones firmadas de antemano para que una de ellas fuera válida en el momento de la ejecución. TRM cifra el total en 6,36 mil millones de dólares, unas cuatro veces el hackeo de Bybit de 1,5 mil millones de dólares en febrero de 2025. TRM y Elliptic atribuyen el ataque a TraderTraitor, un grupo vinculado a Corea del Norte, aunque Elliptic señala que ningún gobierno ha confirmado todavía esa atribución.

Qué ha dicho Binance sobre cómo ocurrió

La investigación inicial apuntó a la laptop comprometida de un ingeniero DevOps, que permitió al atacante llegar a un contenedor de servicio y enviar transacciones de retiro no autorizadas. Más tarde, el exchange dijo que la investigación posterior había descubierto otros puntos de intrusión y que no había encontrado pruebas de que se filtraran las claves privadas de sus billeteras. El codirector ejecutivo afirmó que el ataque no lo llevó a cabo una sola persona, que el atacante usó un mecanismo de autodestrucción que eliminaba herramientas y rastros mientras operaba, y que la delegación utilizada en Ethereum no pasó por los controles de aprobación habituales de Binance.

Dicho de forma sencilla: el atacante no forzó la bóveda. Consiguió que los propios sistemas de Binance firmaran las transferencias. Según la evaluación de TRM, la explicación más probable es la capacidad de hacer que el sistema de firma firmara transacciones elegidas por el atacante, en redes distintas y con claves distintas, en aproximadamente media hora.

Por qué importa a una empresa que no tiene ni una sola criptomoneda

Porque toda empresa opera una versión pequeña de ese sistema de firma: el portal de banca empresarial, el archivo de pagos que el contador exporta del sistema contable y sube al banco, la pantalla donde se editan los datos bancarios de un proveedor, el permiso de reembolso en tu pasarela de pagos, el archivo mensual de nómina. Como dueño ves la ruta oficial de aprobación, solicitud, luego gerente, luego finanzas, pero el atacante busca la vía lateral: una cuenta de sistema que sube archivos automáticamente, un administrador de TI que puede cambiar un IBAN o una clave de integración en un proveedor externo que puede ejecutar una transferencia.

Hay dos lecciones más. La primera es la velocidad: la mayor parte del dinero salió en unos 20 minutos, y ningún empleado puede seguir ese ritmo a mano, así que la protección tiene que consistir en límites y alertas que funcionen solos. La segunda es la preparación: el atacante se preparó con 36 horas de antelación y probó la herramienta, lo que significa que había señales tempranas para quien estuviera vigilando. Ya escribimos sobre cómo un solo sitio gratuito de streaming en una laptop de trabajo puede entregar las contraseñas de tu empresa a los atacantes, y el dispositivo de quien tiene los permisos es el objetivo más valioso de la empresa.

Qué revisar en tu empresa esta semana

  • Traza cada vía por la que puede salir el dinero: anota cada persona y cada sistema que puede iniciar una transferencia, aprobarla, cambiar la cuenta de un beneficiario o emitir un reembolso, incluidas las cuentas de sistema, las claves de integración y los proveedores externos.
  • Dos personas y dos dispositivos para cada transferencia: quien registra una transferencia no la aprueba, y la aprobación se hace desde otro dispositivo. Es el principio de segregación de funciones de los Controles Esenciales de Ciberseguridad: completar una tarea requiere más de una persona, cada una con privilegios distintos. Vincúlalo a una matriz de aprobaciones que defina quién firma qué.
  • Límites y alertas instantáneas: pide a tu banco un límite diario de transferencias y una alerta instantánea al teléfono del dueño con cada transferencia grande y cada vez que se agregue o edite un beneficiario.
  • Permisos de administración a la medida de la necesidad: activa la autenticación multifactor para cada acceso remoto y cada cuenta privilegiada, revisa periódicamente la lista de quienes tienen esos permisos y elimina las cuentas de exempleados y de proveedores que ya terminaron su trabajo.
  • Un registro que el atacante no pueda borrar: el atacante de Binance borró rastros mientras operaba. Activa los registros de eventos de las cuentas privilegiadas y del acceso remoto, guarda una copia fuera del propio sistema y consérvala al menos 12 meses, como exigen los controles.
  • Un plan para los primeros minutos: decide quién llama al banco para detener una transferencia, quién desactiva la cuenta sospechosa y dónde están los números de emergencia. En el caso de Binance, Tether congeló la billetera principal del atacante 37 minutos después del mayor barrido, y esa rapidez es la que salvó una gran parte del dinero.

¿Qué dicen los controles saudíes?

Los Controles Esenciales de Ciberseguridad ECC-2:2024 emitidos por la Autoridad Nacional de Ciberseguridad (NCA) son obligatorios para las agencias gubernamentales y sus entidades afiliadas, y para las entidades del sector privado que poseen, operan o alojan Infraestructura Nacional Crítica, y la NCA anima firmemente a todas las demás entidades del Reino a utilizarlos. Se corresponden directamente con las lecciones de Binance: autenticación multifactor para el acceso remoto y las cuentas privilegiadas (2-2-3-2), los principios de necesidad de saber, mínimo privilegio y segregación de funciones (2-2-3-3), la gestión de accesos privilegiados (2-2-3-4), la revisión periódica de identidades y derechos de acceso (2-2-3-5), y los registros de eventos de las cuentas privilegiadas y del acceso remoto, monitoreados de forma continua y conservados al menos 12 meses (2-12-3).

La visión de Origami

Leemos el hackeo de Binance como una lección sobre las rutas de aprobación, no sobre las criptomonedas. La mayoría de las empresas diseña la aprobación para la ruta oficial y olvida las vías laterales: la cuenta de sistema que sube el archivo de pagos, el usuario que puede editar un IBAN, la clave de integración que puede ejecutar. Esas vías laterales son lo primero que busca un atacante.

Cuando construimos un sistema a medida que toca dinero, como un sistema del ciclo de compras o un portal de pagos a proveedores, recomendamos que la aprobación forme parte del diseño desde el primer día: dos personas distintas para registrar y aprobar, límites de montos y un registro de cada cambio en los datos de los beneficiarios. Si necesitas un sistema contable listo para usar en lugar de uno a medida, echa un vistazo a Fahim.

Conclusión

No necesitas una billetera cripto para aprender del mayor robo de criptomonedas registrado. Reserva dos horas esta semana con tu contador y tu responsable de TI: anoten cada vía por la que puede salir el dinero, separen el registro de la aprobación en dos dispositivos, pidan al banco límites y alertas, revisen quién tiene derechos de administrador y guarden los registros fuera del alcance de quien gestiona el sistema. Si quieres una revisión de las rutas de aprobación de tus sistemas, contáctanos o consulta nuestros servicios.

Fuentes