Hackeo a Binance: no falló la criptografía, falló el control

El 29 de octubre, Binance, la mayor plataforma de criptomonedas del mundo, confirmó que le sustrajeron alrededor de 6,300 millones de dólares en bitcoin, ether y stablecoins. Es el robo de criptoactivos más grande del que se tenga registro: supera por mucho los 1,500 millones del caso Bybit en 2025. Según la propia empresa, sus carteras operativas se vaciaron en unos 20 minutos.

Desde la auditoría forense, lo primero que llama la atención no es la tecnología, sino la puerta de entrada.

No falló la criptografía, falló el control

De acuerdo con la investigación preliminar de Binance, el acceso inicial vino de la computadora comprometida de un ingeniero de operaciones, desde la que los atacantes llegaron a un contenedor de servicios y ordenaron retiros no autorizados. La empresa dice que no hay evidencia de que se filtraran las llaves privadas de sus carteras y reconoció después "puntos adicionales de brecha".

Es decir: no se rompió el algoritmo que protege al bitcoin. Se aprovechó una cadena de accesos internos. Es el mismo patrón que vemos en los fraudes de cualquier empresa: una cuenta privilegiada, un equipo sin suficiente control y un proceso que permite mover recursos sin que nadie lo detenga a tiempo. Cambia la escala, no la naturaleza del riesgo.

Las preguntas que haría un auditor forense

• ¿Quién tenía acceso privilegiado al entorno desde el que se ordenaron los retiros, y con qué segregación de funciones?
• ¿Qué límites automáticos existían para retiros masivos en una ventana de 20 minutos, y por qué no se activaron?
• ¿Qué bitácoras se preservaron, con qué cadena de custodia y quién las resguarda?
• ¿Cómo se reconstruye la trazabilidad completa de los fondos, desde la cartera de origen hasta cada salida?

Sobre la autoría, la prudencia obliga. La firma de análisis TRM Labs dice tener "alta confianza" en que se trata de TraderTraitor, una unidad norcoreana ligada al Grupo Lazarus. Binance, en cambio, afirma que su investigación todavía no atribuye responsabilidad a ninguna persona. Mientras no haya una conclusión formal, es una hipótesis, no un hecho.

La paradoja de la trazabilidad

Hay un dato que muchos pasan por alto. Cerca de 3,000 millones de dólares ya están congelados: Tether bloqueó unos 1,600 millones y Circle más de 800 millones en USDC. Eso fue posible porque las stablecoins tienen un emisor central con capacidad de congelar. El activo que nació para no depender de nadie terminó protegido, en parte, por empresas que sí pueden intervenir. Para la investigación forense es una buena noticia: la cadena de bloques deja rastro, y donde hay un intermediario, hay un punto de control.

Congelar, sin embargo, no es recuperar. Binance anunció un fondo de más de 6,340 millones de dólares, que incluye su reserva de emergencia SAFU, para reponer a sus clientes los mismos activos que tenían. Es una promesa respaldada con recursos propios de la empresa, no con un seguro público.

Por qué importa a México

Muchos mexicanos usan plataformas internacionales para comprar criptoactivos. En México, la Ley Fintech de 2018 reconoce a los activos virtuales, Banco de México restringe que bancos y fintech los ofrezcan directamente al público, y el SAT grava las ganancias por su enajenación. Pero un usuario que tiene sus fondos en una plataforma extranjera depende, sobre todo, de la solvencia y los controles de esa plataforma.

Mi recomendación, como contador y auditor forense, es práctica:

• No concentre todo su patrimonio digital en una sola plataforma.
• Guarde sus estados de cuenta, comprobantes de cada operación y evidencia del saldo antes y después de cualquier incidente. Es su prueba si tiene que reclamar y su soporte ante el SAT.
• Si es empresa, trate sus criptoactivos con el mismo rigor de control interno que su efectivo: accesos, autorizaciones dobles, límites y conciliaciones.
• Desconfíe de cualquier mensaje que, a raíz del hackeo, le pida claves, datos o transferencias para "proteger" su cuenta. Después de un evento así, el siguiente fraude suele ser el de la ingeniería social.

El caso Binance confirma algo que repetimos en cada auditoría: la tecnología cambia, pero los fraudes siguen entrando por donde siempre, por las personas, los accesos y los controles que nadie revisó a tiempo.