En una sola noche, dos plataformas fueron atacadas con tres horas de diferencia. Polymarket perdió unos $2.65M. Binance perdió unos $6.3B.
Binance es ahora el hack de criptomonedas más grande jamás registrado. La pregunta que todo el mundo se hace es sencilla: si el mundo lo supo en una hora, ¿por qué el dinero siguió saliendo?
Aquí está lo que está confirmado, lo que no lo está y lo que significa para tus fondos. Actualizado el 2 de noviembre de 2026. La historia sigue en movimiento.
Qué ha cambiado desde el 30 de octubre
- Atribución: el FBI confirmó el 31 de octubre que Corea del Norte fue la responsable. Llama a la actividad TraderTraitor y publicó las direcciones involucradas.
- Retiros: reabiertos en fases a partir de las 06:00 UTC del 1 de noviembre. Las 15 redes de la primera fase estaban activas a las 12:36 UTC. Otras redes y activos todavía están siendo probados.
- Salidas: Binance informó de $4.65B de salida y $1.01B de entrada durante las primeras 9.5 horas, una salida neta de $3.64B. Nuestro conteo on-chain muestra que $6.96B salieron en las primeras 26 horas.
- Cobertura: Binance dice que ha reemplazado alrededor del 95% de los fondos afectados. El resto son tokens menos líquidos que tardan más en comprarse.
- Congelamientos: Circle dijo a CNBC que ha congelado más de $1.1B en USDC.
- Polymarket: informó reembolsos completos a 689 de 726 billeteras afectadas, con las otras 37 pagadas a medida que se verifican. También está pagando $1.19M a unas 5,500 billeteras por las pérdidas durante la interrupción del trading.
La versión de 60 segundos
- Polymarket: cerca de $2.65M drenados de aproximadamente 700 a 995 cuentas (depende de la fuente). Causa: JavaScript malicioso entregado a través de un script de monitoreo de terceros. Sin errores en el smart contract. Los reembolsos están en curso.
- Binance: cerca de $6.3B retirados de hot wallets en 10 blockchains en unos 20 minutos. Binance señala la laptop de un ingeniero de DevOps comprometido. Cerca de $3B están congelados. Binance dice que cubrirá todas las pérdidas.
- Sospechosos: el FBI dice que Corea del Norte fue responsable y llama a la actividad TraderTraitor. TRM Labs y Chainalysis habían señalado al mismo grupo.
- ¿Vinculados? No hay evidencia de que Polymarket y Binance fueran atacados por el mismo actor. Existe un vínculo on-chain entre los fondos de Binance y el hack de Bitget de septiembre.
- Estado de Binance: los depósitos funcionan, los retiros se reabrieron en fases el 1 de noviembre en 15 redes, y otras redes aún están siendo probadas.
Hack de Polymarket: un script de monitoreo se convirtió en un drenador
El sitio internacional de Polymarket cargó un script de monitoreo de usuarios reales de DebugBear, una empresa del Reino Unido que mide la velocidad de las páginas. Ese script fue cambiado por un drenador de billeteras.
Según el análisis de DefiPrime y Hudson Rock, el código leyó los datos de la sesión del navegador, encontró al cliente del order book dentro de la página y vendió las posiciones de los usuarios o movió sus tokens de resultado. Para los usuarios conectados con billeteras de correo electrónico, no apareció ninguna solicitud de firma. Los fondos obtenidos fueron intercambiados por POL y enviadas a una dirección.
Cifras clave:
- Ventana: aproximadamente de 17:10 a 18:03 UTC el 29 de octubre
- Dirección del atacante (Polygon):
0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18 - Robado: 28.6M POL, cerca de $2.65M
- Víctimas: más de 700 (Bubblemaps), cerca de 710 (CNBC), 737 (Bitquery), cerca de 995 (Conor Grogan). Polymarket dijo más tarde que 726 billeteras se vieron afectadas.
- Mayores pérdidas individuales: cerca de $341K y $307K
Cómo respondió Polymarket: modo de solo cancelación y pausa del relayer a las 18:05 UTC, una corrección y el reinicio del trading aproximadamente una hora después. La empresa dijo que un proveedor externo fue comprometido, remitió el caso a las autoridades y prometió que los usuarios afectados serían compensados. Los smart contracts no fueron tocados. Polymarket US no se vio afectado, según CNBC.
Dos advertencias son importantes para la precisión.
→ Polymarket no mencionó a DebugBear. Reuters y CNBC sí lo hicieron, citando una fuente. DebugBear mismo confirmó un incidente de seguridad en X y pidió a sus clientes que eliminaran su código.
→ Un trader que afirmó una pérdida de $800K fue cuestionado por Bubblemaps, quienes dijeron que el drenaje no coincidía con el patrón de otras víctimas. Trata esa afirmación como disputada.
Este no es el primer incidente de terceros de Polymarket este año. Un script malicioso de un proveedor no revelado también afectó a los usuarios en junio.
Hack de Binance: 20 minutos, 10 redes, $6.3B
El primer drenaje comenzó a las 20:05 UTC (21:05 CET). TRM Labs rastreó 233.46M de XRP saliendo primero, luego Solana, Optimism, Tron, Bitcoin y Ethereum. La mayor parte del dinero se movió en unos 20 minutos.
La propia estimación de Binance es de unos $6.3B. TRM la sitúa en unos $6.36B a los precios del momento. Chainalysis dijo primero $5.9B, luego unos $6.4B. Diferentes números, mismo orden de magnitud. Eso es normal mientras los precios fluctúan y el rastreo continúa.
Cómo funcionó
En Ethereum, el atacante utilizó EIP-7702, una función que permite que una billetera normal ejecute temporalmente código de smart contract. Una transacción contenía 50 autorizaciones pre-firmadas para la billetera caliente (hot wallet) 14 de Binance. Una se ejecutó. Minutos después, la billetera fue vaciada: 167,464 ETH y otros 63 tokens, incluyendo unos $1.6B en USDT.
En las otras nueve redes, el atacante simplemente envió transferencias firmadas.
El punto importante: EIP-7702 fue la herramienta, no la causa raíz. Analistas de TRM, SlowMist y Blockaid describen todos un compromiso de la infraestructura de firma. En lenguaje sencillo, el atacante pudo lograr que el propio sistema de Binance aprobara los retiros.
El hallazgo preliminar de Binance, publicado alrededor de las 02:25 UTC del 30 de octubre: la computadora portátil de un ingeniero de DevOps cuya computadora había sido comprometida dio acceso a un contenedor de servicio, el cual fue utilizado para enviar retiros no autorizados. Binance afirma que no encontró evidencia de que las claves privadas se filtraran. Este es un hallazgo inicial. Se promete un análisis post-mortem completo.
¿Quién está detrás?
TRM Labs atribuye el ataque a TraderTraitor con un alto nivel de confianza, citando patrones de preparación: pequeños retiros de Tornado Cash para gas el 28 de octubre, pruebas y un ensayo general el 29 de octubre. Chainalysis también señala a TraderTraitor. ZachXBT dice "probablemente Lazarus" y muestra que los fondos de Binance y el exploit de Bitget de septiembre fueron mezclados en la misma dirección después de pasar por THORChain.
La atribución oficial llegó el 31 de octubre. El FBI dijo que Corea del Norte fue responsable del robo de más de $6,000 millones y que los actores estaban convirtiendo los activos robados principalmente en ETH. Solicitó a los servicios DeFi, operadores de nodos y otros proveedores que bloquearan las direcciones enumeradas.
Por qué el dinero siguió saliendo después de que todos lo supieran
Esta es la pregunta detrás de la mayoría de las búsquedas. Cuatro cosas sucedieron al mismo tiempo.
1. Binance pausó los retiros tarde y de forma gradual.
Primer drenaje: 20:05 UTC. Primer comunicado oficial: 21:24 UTC. Retiros pausados en parte de las redes: 22:15 UTC. Suspensión total de depósitos y retiros: de 00:04 a 00:13 UTC. Durante horas, los usuarios normales aún podían retirar algunos activos en algunas redes.
2. La billetera hackeada siguió recibiendo fondos.
La delegación EIP-7702 en Binance 14 permaneció activa. Cada nuevo depósito enviado a esa billetera fue barrido por el atacante. TRM registró barridos a las 20:41, 20:59, 21:04, 21:44, 22:39 y 23:56 UTC. El analista Wazz señaló en vivo que un depósito de 200 millones de USDT había sido barrido en un lapso de seis bloques. La delegación fue revocada solo alrededor de las 00:42 UTC. De todo lo ocurrido esa noche, esta parece ser la brecha operativa más costosa.
3. El atacante se adelantó a las congelaciones.
Tether congeló la billetera principal unos 37 minutos después del gran saqueo. En ese lapso, el atacante vendió unos $325M en USDT a creadores de mercado a través de swaps basados en intenciones con una prima superior al 10%, depositó USDT en Aave, envió fondos a JustLend, dividió Bitcoin a través de una cadena de pelado (peel chain) y vendió parte de RLUSD antes de que Ripple congelara el resto.
4. Solo algunos activos pueden ser congelados.
Tether, Circle, Ripple y World Liberty pueden congelar sus stablecoins. Nadie puede congelar ETH, BTC, XRP o SOL. TRM afirma que más de 420,000 ETH y 18,270 BTC, aproximadamente $2.4B, permanecieron con el atacante.
¿Hubo una corrida bancaria de clientes? Se informaron algunas salidas institucionales. Aún no existen datos precisos sobre el tamaño de los retiros de los clientes durante ese lapso en fuentes públicas. Trata la afirmación de que "todos corrieron hacia la salida" como algo no probado.
¿Qué está congelado y quién cubrirá la pérdida?
- Congelado (Binance, verificado el 30 de octubre): unos $3B, de los cuales unos $2.3B son en USDT y USDC
- Tether: unos 1.77B USDT
- Circle: más de $1.1B en USDC para el 2 de noviembre, un aumento desde unos 825M
- Ripple: 40.5M RLUSD confirmados on-chain
- World Liberty Financial: 27.8M USD1
- Arbitrum Security Council: unos 8,425 ETH y 74.6M ARB
Binance afirma que cubrirá todas las pérdidas con el fondo SAFU y fondos de la empresa, y que los fondos de los usuarios están seguros. SAFU posee unos 15,000 BTC, aproximadamente $1.16B. Eso es una fracción de la pérdida, por lo que la mayor parte de la cobertura debe provenir del propio balance de Binance. Para el 1 de noviembre, Binance dijo que había reemplazado cerca del 95% de los fondos afectados, utilizando SAFU, fondos de la empresa y su fondo de seguros de Futuros. Esa es una declaración de la empresa, no una auditoría.
Los datos de DefiLlama sugieren que Binance poseía unos $144B en activos antes del ataque, por lo que el robo es de aproximadamente el 4%. Neto de las congelaciones, un colaborador de DefiLlama estimó la brecha abierta cerca de $1B. CZ dijo que podría ser ligeramente superior pero que será cubierta.
¿Están conectados los hackeos de Polymarket y Binance?
No hay evidencia que lo indique.
- Diferentes vectores: script del navegador frente a infraestructura de firma
- Diferentes cadenas y activos: POL en Polygon frente a ETH, BTC y otros en 10 redes
- Diferente escala: aproximadamente 2,400 veces de diferencia
- Ninguna empresa de análisis de blockchain ha informado de un vínculo on-chain
Lo que los incidentes comparten es un patrón, no un autor. Polymarket, Predict.fun (alrededor de $400K, 27 de octubre), Bitget (alrededor de $388M, septiembre) y Binance todos comenzaron con una capa intermedia de confianza: un script de proveedor, una página de documentación, un producto de seguridad, la computadora portátil de un empleado. No un error de smart contract.
Otras exchanges: confirmado frente a rumor
Los rumores se difundieron rápidamente esa noche. Aquí está la lista ordenada.
- Confirmado: Predict.fun, alrededor de $400K USDT, 27 de octubre, página de documentación de terceros, reembolsos prometidos
- Confirmado, anteriormente: Bitget, alrededor de $388M, 24 de septiembre, vinculado on-chain a los fondos de Binance por ZachXBT
- Falso: Bybit hackeado al mismo tiempo. Bybit dijo que no se vio afectado y que los retiros permanecieron abiertos
- No afectado según declaraciones oficiales: Coinbase, KuCoin, Binance.US
- Sin informes creíbles: OKX, Kraken
- No es un hack nuevo: Ledger. Un problema de cadena de suministro a través de un revendedor es real y data de principios de octubre. No es el evento de Binance
- Especulación no verificada: "Los agentes de IA lo hicieron" y "un actor detrás de todo"
- Spam y phishing: formularios de reembolso falsos, mensajes directos de "soporte", enlaces de "reclama tu compensación". Ignóralos todos
Qué ocurrió con el mercado
- BTC: de unos $80.3K a menos de $77K
- BNB: de $738.90 a $692.32 en minutos, no se robó ningún BNB
- Liquidaciones: unos $1.53B en 24 horas, principalmente posiciones largas
- Miedo y codicia (Fear & Greed): de 51 a 30
- Ganadores: HYPE y TRX subieron. Los mercados recompensaron las alternativas que no son exchanges
La reacción fue más moderada de lo que sugiere el tamaño del robo. El mercado apostó a que Binance cubriría la pérdida. Los retiros volvieron a abrirse el 1 de noviembre. La próxima prueba es una nueva Prueba de Reservas (Proof of Reserves).
¿Es seguro Binance? Qué hacer ahora
Nadie puede prometer nada, pero aquí tienes una lista de verificación práctica.
→ No confíes en mensajes directos, enlaces de "reembolso" o formularios de "compensación". Usa solo canales oficiales.
→ No firmes nada que no hayas iniciado tú mismo. Eso incluye transferencias por lotes y autorizaciones EIP-7702.
→ Si usas Polymarket, cierra las pestañas antiguas y recarga. Mueve saldos más grandes a una billetera que solicite confirmación manual, idealmente una billetera de hardware.
→ Distribuye tu riesgo en diferentes plataformas. Un exchange, un punto de falla.
→ Evita el apalancamiento durante incidentes. Se liquidaron unos $628M en la primera hora. Esa pérdida provino del apalancamiento, no del hack.
→ Desarrolladores: aíslen los scripts de terceros, monitoreen las delegaciones EIP-7702 en las billeteras de la tesorería y ensayen la revocación de delegaciones.
Preguntas frecuentes
¿Fue hackeada Binance?
Sí. Binance y CZ lo confirmaron. Impacto estimado: unos $6.3B.
¿Cuánto fue robado de Binance?
Unos $6.3B según la estimación de Binance. TRM indica $6.36B en el momento del robo. Chainalysis cita hasta $6.4B.
¿Está seguro mi dinero en Binance?
Binance afirma que los fondos de los usuarios están seguros y que cubrirá todas las pérdidas. Esa es una declaración de la empresa. Los retiros en 15 redes se reabrieron el 1 de noviembre. Estate atento al post-mortem y a la nueva Prueba de Reservas.
¿Se han reanudado los retiros de Binance?
Sí, en fases a partir de las 06:00 UTC del 1 de noviembre. Las 15 redes de la primera fase estuvieron activas a las 12:36 UTC, y otras redes y activos aún están siendo probados.
¿Cuánto salió de Binance después de que se reabrieron los retiros?
Binance informó un neto de $3.64B durante las primeras 9.5 horas. Nuestro conteo on-chain muestra $6.96B de retiros brutos en las primeras 26 horas.
¿Quién hackeó Binance?
El FBI dice que fue Corea del Norte, bajo el nombre TraderTraitor. TRM Labs y Chainalysis habían llegado a la misma conclusión, y ZachXBT señaló a Lazarus.
¿Fue el hack de Binance más grande que el de Bybit?
Sí. TRM lo llama el mayor robo de criptomonedas en la historia, unas cuatro veces el hack de Bybit en 2025.
¿Qué es SAFU?
El fondo de seguro de emergencia de Binance. Contiene unos 15,000 BTC, alrededor de $1.16B, no suficiente para cubrir la pérdida por sí solo.
¿Fue hackeado Polymarket?
Sí, su sitio internacional, a través de un script de monitoreo de terceros comprometido. Unos $2.65M, sin errores en el smart contract.
¿Reembolsó Polymarket a los usuarios?
Polymarket dice que reembolsó totalmente 689 de 726 billeteras afectadas, con las otras 37 pagadas a medida que se verifican. También está pagando $1.19M a unas 5,500 billeteras por las pérdidas durante la interrupción del trading.
¿También fueron hackeados Bybit, Coinbase, OKX o Kraken?
No hay evidencia creíble. Bybit y Coinbase dijeron que no se vieron afectados.
Fuentes: FBI · Binance and CZ on X · TRM Labs · Chainalysis · ZachXBT · WazzCrypto · Bubblemaps · DefiPrime · Hudson Rock · CoinDesk · Cointelegraph · Bloomberg · Reuters · CNBC · Axios · Bleeping Computer · The Block · DefiLlama.
Información al 2 de noviembre de 2026. La investigación está en curso y las cifras pueden cambiar. Este artículo describe eventos y no constituye asesoramiento financiero ni legal.
Divulgación de referidos: los enlaces de Polymarket en este artículo son enlaces de referidos. W3Match puede recibir una recompensa si te registras a través de ellos. Esto no es una recomendación para operar, y la disponibilidad depende de tu país, así que consulta primero los términos de Polymarket.