Última revisión: 2 de noviembre de 2026. Las cifras pueden cambiar cuando Binance publique su informe técnico.
El hackeo de Binance del 29 de octubre de 2026 es el mayor robo de criptomonedas registrado: la propia plataforma estima el impacto en unos 6.300 millones de dólares, más de cuatro veces lo que se robó a Bybit en 2025. Para quien tenía saldo en Binance, la pregunta inmediata es si ha perdido dinero. Pero hay otra que afecta a muchos más usuarios, tengan o no cuenta allí: ¿qué pasa si a su wallet llegan criptomonedas que han pasado por las direcciones del ataque?
¿Qué ocurrió en Binance?
Según TRM Labs, los fondos empezaron a salir de las hot wallets de Binance (las carteras conectadas a internet que el exchange usa para pagar las retiradas) hacia las 21:05 hora peninsular española del jueves 29 de octubre, en diez blockchains distintas, y la mayor parte de la operación se hizo en unos 20 minutos. En su comunicado del 30 de octubre, Binance explicó que su investigación inicial apunta a que se comprometió el portátil de un ingeniero de DevOps, lo que permitió al atacante acceder a un contenedor de servicio y enviar órdenes de retirada no autorizadas. La empresa añadió que no ha encontrado pruebas de que se filtrara ninguna clave privada y que publicará un informe técnico (post-mortem) cuando termine la investigación. A 2 de noviembre todavía no lo ha publicado.
Su codirector ejecutivo, Richard Teng, precisó después que la investigación ha descubierto puntos de entrada adicionales. Según Chainalysis, el atacante financió una de sus carteras a través del mezclador Tornado Cash.
Binance suspendió las retiradas como precaución, mientras los depósitos seguían funcionando. El 1 de noviembre, a partir de las 7:00 hora peninsular, empezó a reabrirlas por fases, empezando por bitcoin, ether y las principales stablecoins. Entre las 7:00 y las 16:30 hora peninsular de ese día, según la propia Binance, se procesaron unos 4.650 millones de dólares en retiradas y 1.010 millones en depósitos, una salida neta de unos 3.640 millones (un 2,1 % de los activos que custodia).
Las cifras: qué es dato y qué es estimación
Todas las cantidades son estimaciones en dólares y cada fuente cuenta de forma distinta, así que no conviene sumarlas ni darlas por definitivas.
| Fuente | Importe robado (estimado) | Importe congelado |
|---|---|---|
| Binance (30 de octubre) | Unos 6.300 millones de dólares | Unos 3.000 millones |
| TRM Labs (30 de octubre) | Unos 6.360 millones | Unos 2.700 millones |
| Chainalysis | Unos 6.400 millones | Unos 2.800 millones |
| Elliptic (1 de noviembre) | Unos 6.430 millones | Unos 2.850 millones, el 94 % en stablecoins |
El 31 de octubre, el FBI atribuyó oficialmente el robo a Corea del Norte, en concreto a la actividad que denomina TraderTraitor, un grupo vinculado a Lazarus y al que también atribuyó el robo a Bybit. TRM Labs y Chainalysis ya habían llegado a la misma conclusión: Chainalysis vio cómo los fondos de Binance se mezclaban en tiempo real con los robados a Bitget en septiembre.
Binance asegura que asumirá todas las pérdidas con su fondo de emergencia SAFU y con fondos propios, que los saldos de los usuarios no se verán afectados y que, a 1 de noviembre, había repuesto alrededor del 95 % de los activos sustraídos. El 5 % restante son tokens menos líquidos que sigue comprando en el mercado.
¿Qué significa que Tether y Circle «congelen» fondos?
Las stablecoins como USDT o USDC tienen un emisor central que puede bloquear las direcciones que las contienen. Tras el ataque, el consejero delegado de Tether, Paolo Ardoino, confirmó la congelación de más de 1.567 millones de USDT. Circle informó a CNBC el 2 de noviembre de que había congelado más de 1.100 millones de USDC en coordinación con las fuerzas de seguridad. Ripple, World Liberty Financial (emisor de USD1) y el Consejo de Seguridad de Arbitrum también bloquearon fondos.
Hay dos matices importantes:
- Congelar no es devolver. Los tokens quedan inmovilizados, pero su devolución exige acreditar quién es el titular y la base legal para hacerlo, como recordaron a CoinDesk varios abogados.
- Bitcoin y ether no se pueden congelar en la red. Según Elliptic, unos 3.250 millones de dólares del botín, entre ellos 18.327 BTC, están en activos que ningún emisor puede bloquear. Por eso el atacante cambió rápidamente stablecoins por ether.
El verdadero riesgo para usted: recibir fondos «contaminados»
El robo no termina con el ataque. Los fondos se blanquean moviéndolos por miles de direcciones, puentes entre blockchains y servicios de intercambio instantáneo. El FBI publicó una lista de 608 direcciones de Ethereum, 19 de Bitcoin y una de Solana, y pidió a exchanges, servicios DeFi, empresas de análisis y demás proveedores que bloqueen las transacciones con esas direcciones o derivadas de ellas. El consejero delegado de Chainalysis, Jonathan Levin, prevé que las direcciones utilizadas pasen a ser «decenas de miles» en las próximas semanas.
Esto tiene una consecuencia práctica. Los exchanges y muchos bancos usan herramientas de análisis que asignan a cada dirección un nivel de riesgo según su exposición, directa o indirecta, a actividades ilícitas. Si usted recibe criptomonedas que, unos saltos atrás, salieron de una dirección vinculada al hackeo, su proveedor puede:
- retener o rechazar el depósito;
- pedirle documentación sobre el origen de esos fondos;
- limitar o cerrar su cuenta en los casos más graves.
No hace falta haber hecho nada malo. El riesgo es mayor en operaciones entre particulares (P2P), en compras a desconocidos por debajo de la cotización de mercado y en servicios de intercambio que no piden identificación, porque son los canales que suelen usar quienes blanquean fondos robados. Cada entidad aplica sus propios criterios y umbrales.
Por qué ahora importa más conservar justificantes
Ante un aviso de riesgo, lo que mejor le protege es poder reconstruir de dónde vienen sus criptomonedas: la normativa contra el blanqueo obliga a exchanges y bancos a conocer el origen de los fondos de sus clientes. Conserve:
- Extractos e historial de operaciones de cada exchange, con fecha, importe y comisiones. Descárguelos ahora: si una plataforma limita el servicio, puede ser más difícil obtenerlos.
- Los identificadores de transacción (TxID) de los movimientos entre sus cuentas y sus wallets propias.
- La prueba del dinero de partida: transferencias bancarias, nóminas, facturas, contratos o la venta de otros activos.
- Un análisis de sus direcciones antes de mover importes relevantes a un exchange o a un banco.
En nuestra guía sobre cómo justificar ante su banco el origen de los fondos cripto encontrará una lista más detallada de documentos.
¿Qué cambia operar con un proveedor autorizado por MiCA?
Según el registro provisional de ESMA, consultado el 2 de noviembre de 2026 (última actualización del 29 de octubre), Binance no figura entre los proveedores de servicios de criptoactivos autorizados en la Unión Europea con arreglo al Reglamento MiCA. Un proveedor autorizado no es inmune a un hackeo, pero MiCA le impone obligaciones que protegen al cliente:
- mantener los criptoactivos de los clientes separados de los suyos, también jurídicamente, para que sus acreedores no puedan reclamarlos (artículo 75.7);
- responder ante el cliente por la pérdida de sus criptoactivos debida a un incidente atribuible al proveedor, con un límite: el valor de mercado del activo en el momento de la pérdida (artículo 75.8);
- tener procedimientos de reclamación y estar bajo la supervisión de una autoridad nacional, que en España es la CNMV.
La diferencia es relevante: en Binance la cobertura depende de una decisión de la empresa, mientras que con un proveedor autorizado existe una obligación legal exigible ante un supervisor. Puede comprobar si su plataforma está autorizada con nuestra guía sobre MiCA y los exchanges autorizados.
Pasos prácticos si vive en España o en América Latina
Binance tiene muchos usuarios en países como Argentina o Venezuela, según la BBC. Estos pasos sirven a ambos lados del Atlántico:
- Si tiene saldo en Binance, siga solo los canales oficiales. Tras un hackeo abundan los mensajes falsos que prometen «recuperar fondos» o piden sus claves. Nadie legítimo le pedirá su frase semilla.
- Antes de aceptar un pago en cripto de alguien que no conoce, compruebe la dirección de origen. Desconfíe de ofertas por debajo de la cotización de mercado.
- En operaciones P2P, guarde la identidad de la contraparte, la conversación y el justificante bancario.
- No intente «limpiar» fondos dudosos con mezcladores o cadenas de intercambios. Empeora el riesgo y puede considerarse un indicio de blanqueo.
- Si un exchange o un banco le pide información, responda con documentos ordenados por fechas. Pida que le indiquen qué transacción ha generado la alerta.
- Si ha sido víctima de una estafa relacionada con el hackeo, denúncielo ante la policía de su país y conserve todas las pruebas.
¿Necesita justificar el origen de sus fondos? FundsOrigin analiza la dirección pública de su wallet y genera un informe en PDF que puede adjuntar a su documentación; la decisión de aceptarlo es siempre de la entidad. Analice su wallet y vea las opciones disponibles →
Fuentes
- Binance: actualización del incidente (30/10/2026, en inglés)
- FBI: atribución a Corea del Norte y lista de direcciones (31/10/2026, en inglés)
- Chainalysis: análisis del robo (en inglés)
- RTVE: cifras de Binance y TRM Labs (30/10/2026)
- BBC Mundo: impacto en América Latina
- CNBC: reapertura de retiradas y USDC congelados (2/11/2026, en inglés)
- CoinDesk: congelaciones de stablecoins (en inglés)
- The Block: blanqueo y cifras de Elliptic (1/11/2026, en inglés)
- ESMA: registro provisional de MiCA y artículo 75 del Reglamento (UE) 2023/1114
Este contenido es informativo y no constituye asesoramiento legal, fiscal ni de inversión. Resume información pública sobre un incidente que sigue en investigación; las cifras pueden cambiar. Consulte su caso con un profesional.