Tabla de contenidos
El 29 de octubre de 2026, dos plataformas cripto sufrieron ataques con un mismo patrón: los atacantes no rompieron la puerta principal, entraron por un elemento de confianza. En Binance fue el ordenador de un empleado; en Polymarket, un script de un proveedor externo. Ninguna empresa está a salvo de este tipo de ataque, tenga o no criptomonedas.
Binance: el mayor robo cripto de la historia empezó en un portátil
Binance, el mayor exchange de criptomonedas del mundo, ha confirmado un ataque con un impacto estimado de unos 6.300 millones de dólares. La firma de análisis TRM Labs eleva la cifra a 6.360 millones, movidos desde carteras calientes (hot wallets) en diez blockchains, la mayor parte en unos 20 minutos.
Es el mayor robo de criptoactivos registrado: unas cuatro veces el de Bybit de febrero de 2025, que rondó los 1.500 millones.
Cómo entraron. Según Binance, la investigación apunta a un ordenador comprometido como posible punto de entrada; Axios precisa que era el portátil de un ingeniero. Desde ahí, el atacante accedió a un contenedor de servicio y lanzó retiradas no autorizadas. La empresa afirma no haber encontrado indicios de filtración de claves privadas.
Quién está detrás. TRM Labs lo atribuye «con alta confianza» a TraderTraitor, grupo vinculado a Corea del Norte y señalado por el FBI en el caso Bybit. Binance aún no ha confirmado la autoría.
Respuesta.
- Binance suspendió depósitos y retiradas y se ha comprometido a cubrir todas las pérdidas.
- Unos 3.000 millones han quedado congelados on-chain, sobre todo gracias a Tether (más de 1.567 millones en USDT) y Circle (más de 800 millones en USDC).
- El resto, principalmente ETH, no puede bloquearse por su emisor y es mucho más difícil de recuperar.
Polymarket: el atacante llegó dentro de un script de confianza
Horas antes, la plataforma de mercados de predicción Polymarket pausó el trading de su web internacional tras detectar que uno de sus proveedores externos había sido comprometido. Los usuarios vieron retiradas que no habían hecho y posiciones cerradas sin su permiso.
Cómo funcionó. Los atacantes modificaron el script de monitorización de rendimiento de DebugBear, un servicio británico que Polymarket tenía incrustado en su web. Como el navegador lo cargaba como contenido legítimo, el código malicioso pudo:
- Leer datos de la sesión y credenciales de API guardadas en el navegador.
- Aprovechar la sesión ya iniciada del usuario para vender posiciones o firmar transferencias.
- Enviar los fondos a una cartera del atacante, recibiendo órdenes desde un servidor de control.
Impacto. Los análisis on-chain hablan de unos 2,7 millones de dólares sustraídos de 710 carteras; es una estimación externa, no una cifra oficial. La plataforma de EE. UU. no se vio afectada. Polymarket ha prometido reembolsar íntegramente a los afectados, y DebugBear pidió a sus clientes retirar su código de las webs.
La lección: el eslabón débil suele ser algo en lo que ya confías
Ninguno de los dos ataques necesitó romper contraseñas ni saltarse un cortafuegos. En Binance bastó con un equipo de trabajo comprometido con acceso a sistemas críticos. En Polymarket, con un servicio de terceros que nadie revisaba porque «solo medía la velocidad de la web».
Es lo mismo que vemos a diario en pymes: un portátil sin protección con acceso a todo, un plugin o una herramienta externa con más permisos de los necesarios, o un proveedor que nadie ha evaluado. Los atacantes ya no buscan la puerta principal; buscan la de servicio.
Qué puedes hacer en tu empresa
- Protege los equipos de quien tiene acceso privilegiado.
Antivirus/EDR gestionado, actualizaciones al día y doble factor (MFA) en todos los accesos críticos. - Aplica el mínimo privilegio.
Ningún usuario ni equipo debería poder mover dinero o datos sensibles por sí solo; separa funciones y exige doble validación. - Haz inventario de lo que cargan tus webs.
Revisa scripts, plugins y servicios externos, elimina los que no uses y aplica una política de seguridad de contenidos (CSP). - Evalúa a tus proveedores.
Pregunta cómo protegen sus sistemas y qué acceso real tienen a los tuyos. - Ten un plan de respuesta.
Saber a quién llamar y qué desconectar en los primeros minutos marca la diferencia, como demostraron las congelaciones de fondos en el caso Binance. - Forma a tu equipo.
Desconfía de mensajes «oficiales» que lleguen tras un incidente: los estafadores aprovechan estas noticias para enviar enlaces falsos de reembolso o recuperación.
Si usas plataformas cripto a título personal: verifica cualquier comunicación solo por canales oficiales, rechaza firmas que no esperas y nunca compartas tu frase semilla.
Fuentes
Otros contenidos que te pueden intersar:
¿Ese anuncio es una estafa? 5 segundos para pensar antes de hacer clic
Ciberataque en Francia: atacantes descongelan las neveras de cientos de supermercados
Tus empleados no son el eslabón débil: son tu mejor alarma (si les dejas)
El fraude del “jefe”: cuando la ciberseguridad ya no es solo tecnología
Google lanza una actualización de seguridad de emergencia para Chrome
Informa de actividades sospechosas
