Robo a Binance: qué se sabe y qué hacer si tienes cuenta en España

Qué ha pasado

Lo que hay hasta hoy, por orden.

El FBI llama TraderTraitor a este grupo, el mismo que señaló por el robo de 1.500 millones a Bybit en 2025. Es una atribución del FBI. Kim Yo-jong, alta cargo del Partido de los Trabajadores de Corea, la ha negado en un comunicado, según la televisión surcoreana SBS: habla de provocación de Estados Unidos y llega a insinuar que Washington podría estar detrás. La nota de SBS no recoge pruebas de esa insinuación.

Cómo entraron, según Binance

No fue un único descuido, sino una campaña de meses contra empleados. Esta es la versión de la empresa, y dice que la investigación sigue abierta:

• Junio: un ingeniero de carteras descarga un instalador manipulado al buscar una herramienta de programación con IA. Binance lo detecta y cambia su equipo y sus credenciales, pero el atacante ya sabe quién trabaja en esa área.
• Septiembre: otro ingeniero recibe una oferta de trabajo falsa. Tras dos entrevistas, le piden descargar una «prueba» en el ordenador del trabajo, y esa prueba trae el programa malicioso.
• 20 de octubre: desde ese ordenador, el atacante usa una herramienta interna de IA para llegar a otros dos ingenieros y encuentra un permiso clave.
• 29 de octubre: entra en el servicio interno que firma las operaciones de las carteras y empieza a sacar fondos fuera del proceso normal de retirada.

Dato: suspender las retiradas no bastó para frenarlo. El atacante ya se había dado permisos en la propia red de Ethereum, y siguieron funcionando hasta que Binance logró revocarlos. La última salida se completó casi cuatro horas después de la primera.

¿Se han perdido los fondos de los clientes?

Según lo que dice la propia empresa, no, y eso es lo que hay: su versión.

• Quién paga: Binance dice que asumirá el impacto, no sus usuarios, y que ha reservado más del 100% de lo necesario. Antes habló de cubrirlo con su fondo SAFU y con dinero propio.
• Cuánto ha repuesto: el 4 de noviembre dijo que cerca del 98%. Su informe del día anterior da esa cifra a 31 de octubre, aunque el 2 de noviembre se publicaba cerca del 95%. Lo que falta son tokensActivo digital creado sobre una cadena de bloques. menos líquidos, que tarda más en comprar. Reponer no es recuperar: es poner dinero propio en lugar del robado.
• Qué asegura: BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD y ZEC estarían respaldados al 100%, según la empresa, que remite a su web de prueba de reservas. No lo hemos comprobado por nuestra cuenta, y esa foto es del 31 de octubre, anterior a las grandes retiradas. El 4 de noviembre tomó otra, con 44 tokens, cuya prueba criptográfica calcula que tardará de 50 a 60 horas en generar.
• Lo congelado: cerca de 2.850 millones, una cifra que Binance deja pendiente de conciliar y sujeta a los precios.

El informe es inicial: habrá una revisión de empresas independientes, y Binance avisa de que parte de los detalles técnicos seguirá siendo confidencial.

Qué cambia si estás en España

Aquí se juntan dos cosas distintas: el robo y la situación legal de Binance en la UE.

• No figura como autorizada: no aparece ni en la lista de la CNMV del 20 de octubre ni en el registro de ESMA del 30 de octubre. Explicamos qué implica en qué pasa si tu plataforma no está autorizada.
• Las retiradas: la lista de monedas fiat que se pueden retirar ya incluye el euro. Binance avisa de retrasos y de que hay que reintentar si falla. Las de criptomonedas se siguen reabriendo por tandas, y la última empezó el 5 de noviembre.
• Sale dinero: entre el 1 y el 3 de noviembre salieron 10.970 millones y entraron 5.695, según cifras de Binance que recoge FinanceFeeds. Esa salida neta es cerca de un 3,1% de los 171.000 millones que gestionaba. Son movimientos de clientes, no dinero robado.
• Lo que no sabemos: no hemos encontrado un aviso de la CNMVComisión Nacional del Mercado de Valores, el supervisor español de los mercados. sobre el robo, ni si las cuentas españolas tienen condiciones distintas.

Qué comprobar hoy

Esto no es una recomendación de quedarte ni de irte. Es lo mínimo si tienes cuenta:

1. Entra por tu cuenta, con la app o escribiendo tú la dirección. No uses enlaces de mensajes.
2. Revisa el historial y la seguridad: movimientos, dispositivos y métodos de verificación. Si algo no te cuadra, abre un caso en el soporte oficial.
3. Descarga tus extractos ahora: te harán falta en la renta y en cualquier reclamación.
4. Si decides sacar fondos, prueba primero con una cantidad pequeña y confirma la red de destino. Un envío a una red equivocada puede no recuperarse.

Por qué importa: mover monedas a otra dirección tuya, en nuestra lectura, no es una venta. Convertirlas en otra sí se declara como permuta, y si algún día hubiera pérdidas por impago, la AEAT no las trata como pérdida automática.

Las estafas que ya circulan

Han llegado rápido. Una de las que se han visto en redes promete $150 de compensación por la suspensión de retiradas, con capturas falsas. Un miembro de su equipo lo ha desmentido en X, según ese medio.

Estas son las señales, y ninguna requiere saber nada técnico:

• Te escriben ellos, por WhatsApp, SMS, correo o llamada, y corre prisa.
• Te piden la frase de recuperación, un código de verificación o instalar algo.
• Te ofrecen recuperar lo perdido, con un adelanto. Malwarebytes recuerda que el FBI ya avisó de estos falsos recuperadores en 2023.
• Te prometen una compensación que hay que reclamar en un enlace.

Comprueba: los comunicados se leen en la propia app, nunca en el mensaje que te llega, y si ya has caído, guarda las pruebas y sigue los pasos de nuestra guía de estafas.

Qué falta por saber

• La cifra final. Binance habla de 6.340 millones, TRM Labs estimó 6.360 y Elliptic, 6.430. La pérdida neta dependerá de lo que se recupere.
• La revisión independiente. Lo publicado es la versión de Binance, aún sin validar por terceros.
• Qué pasa con lo robado. El FBI espera que se blanquee a través de DeFiFinanzas descentralizadas: servicios financieros que funcionan con contratos inteligentes, sin un intermediario tradicional. y servicios de intercambio instantáneo.
• La autoría. NPR señala que los investigadores asocian métodos del ataque a actores norcoreanos. Es lo que se atribuye hoy, no una sentencia.

Actualizaremos este artículo cuando se conozca el resultado de esa revisión.