Exchange cripto hackeado: qué pasa y cómo prepararse
Qué significa para los clientes un gran hackeo de un exchange, qué enseña el caso de Binance y cómo limitar lo que depende de una sola empresa.
Ver un exchange cripto hackeado en los titulares plantea una pregunta incómoda a cualquiera que tenga monedas en uno: ¿podría pasarle lo mismo a mi dinero? Nadie ajeno a un exchange puede detener un ataque contra sus sistemas. Lo que sí se puede controlar es cuánto depende de una sola empresa y lo difícil que resulta entrar en la propia cuenta. Esta guía usa un robo muy grande para explicar ambas cosas.
¿Qué pasó en el hackeo de Binance?
Las cifras de esta sección son a 30 de octubre de 2026 y pueden cambiar.
Binance, uno de los mayores exchanges de criptomonedas, estimó que le sustrajeron de sus wallets unos 6.300 millones de dólares. Los medios lo describieron como el mayor robo de criptomonedas registrado. La mayor parte del dinero se movió por 10 blockchains en unos 20 minutos.
Binance dijo primero que podría haberse comprometido el portátil de un ingeniero DevOps, alguien que ayuda a gestionar los sistemas de software de una empresa. Eso dio al atacante una forma de enviar retiradas no autorizadas. Más tarde, Binance dijo que su investigación había encontrado más brechas.
El objetivo fueron las hot wallets, wallets conectadas a internet para que un exchange pueda procesar retiradas con rapidez. Binance dijo que no encontró pruebas de que se filtraran las claves privadas, las credenciales que autorizan mover monedas. La firma de análisis de blockchain TRM Labs consideró que los sistemas que firman las transacciones estaban comprometidos. TRM Labs y Chainalysis vincularon el ataque con un grupo de hackers norcoreano, mientras que Binance dijo que no lo había atribuido a nadie. Los primeros relatos de un hackeo suelen cambiar cuando terminan las investigaciones.
Un detalle importa más que los demás para los clientes. Los informes describen un ataque a las wallets de la empresa, no a los inicios de sesión de los clientes. Una contraseña fuerte no lo habría detenido, y por eso la seguridad personal y el riesgo de la empresa deben pensarse por separado.
Exchange cripto hackeado: ¿qué les pasa a los clientes?
Tras un gran hackeo, los clientes suelen encontrarse con tres cosas, y este caso mostró las tres.
El acceso puede quedar en pausa. Binance suspendió las retiradas mientras hacía comprobaciones de seguridad. Durante una pausa, un saldo puede verse normal en la pantalla, pero no se puede mover.
La compensación depende de la empresa. Binance dijo que cubriría todas las pérdidas con SAFU, su fondo de emergencia para usuarios, y con su propio dinero. Una promesa así solo es tan sólida como la empresa que la respalda. Las criptomonedas en un exchange por lo general no cuentan con una protección pública como la de un depósito bancario en Estados Unidos. El boletín de la SEC sobre custodia de criptoactivos advierte de que, si un custodio externo es hackeado, cierra o quiebra, se puede perder el acceso a las criptomonedas.
La recuperación puede ser parcial y lenta. Binance dijo que se congelaron unos 3.000 millones de dólares. Las stablecoins, monedas diseñadas para seguir a una divisa como el dólar estadounidense, tienen emisores que pueden congelarlas. Bitcoin y ether no tienen emisor, así que los investigadores deben rastrearlos hasta un servicio que pueda intervenir. Incluso los fondos congelados pueden tardar meses o años en volver.
¿Son seguros los exchanges de criptomonedas?
No hay un sí o un no, porque los exchanges y las wallets personales conllevan riesgos distintos. Un exchange es una empresa que guarda monedas para sus clientes, así que sus fallos pasan a ser los de ellos. El dicho cripto "not your keys, not your coins" (si las claves no son tuyas, las monedas tampoco) apunta a este riesgo.
La autocustodia, es decir, guardar las monedas en una wallet que controlas tú, elimina ese riesgo de empresa, pero traslada toda la responsabilidad a la persona propietaria. El mismo boletín de la SEC advierte de que una wallet perdida, robada, dañada o hackeada puede suponer perder el acceso para siempre.
| En un exchange | En tu propia wallet | |
|---|---|---|
| Quién controla las claves | La empresa | La persona propietaria |
| Riesgos principales | Hackeo, cierre, quiebra | Claves perdidas, malware, estafas |
| Ayuda si algo sale mal | Soporte, mientras la empresa exista | Normalmente ninguna |
| Conocimientos necesarios | Menos | Más |
Ninguna columna está libre de riesgo. Para un principiante con un saldo pequeño, perder una frase de recuperación puede ser un peligro mayor que la quiebra de un exchange. A medida que crecen la cantidad y el tiempo que se mantiene, el riesgo de empresa suele importar más.
¿Cómo protege una hardware wallet frente al hackeo de un exchange?
Una hardware wallet, un tipo de wallet fría, es un pequeño dispositivo físico que guarda las claves privadas sin conexión. Las transacciones se aprueban en el propio dispositivo, de modo que las claves no quedan en un ordenador o teléfono conectado a internet. El mismo boletín de la SEC señala que las wallets frías suelen ser más seguras frente a las ciberamenazas que las hot wallets, porque no están conectadas a internet.
Esto responde directamente al caso de Binance. Las monedas robadas estaban en wallets que controlaba el exchange. Las monedas de una hardware wallet personal nunca estuvieron en esas wallets, así que un hackeo del exchange no puede alcanzarlas y una pausa de retiradas no puede bloquearlas. La protección más fiable frente al hackeo de un exchange es que las monedas no estén en el exchange cuando ocurra.
La lección de la academia de cripto sobre wallets calientes y frías compara una wallet caliente con el dinero del bolsillo y una wallet fría con una caja fuerte. Su regla es sencilla: usar un exchange solo mientras se compra, una wallet caliente para cantidades pequeñas y una wallet fría para todo lo que te dolería perder.
Una hardware wallet traslada el riesgo, no lo elimina. Estos son los puntos que más importan:
- La frase de recuperación. Estas palabras pueden restaurar la wallet en un dispositivo nuevo, así que perder el dispositivo no tiene por qué significar perder las monedas. Perder ambos puede suponer perderlas para siempre, y cualquiera que encuentre la frase puede llevárselas. Debe guardarse sin conexión, en papel o metal, y nunca en una foto, una nota en la nube o un mensaje. Un equipo de soporte auténtico nunca la necesita.
- De dónde viene el dispositivo. Pedirlo directamente al fabricante reduce el riesgo de que esté manipulado. Un dispositivo que llega con una frase de recuperación ya escrita es una señal conocida de estafa.
- Qué se aprueba. Una hardware wallet protege las claves, pero no puede impedir que su dueño apruebe una transacción mala. Comprobar la dirección en la pantalla del propio dispositivo detecta muchos engaños.
- Primero una prueba pequeña. Enviar una cantidad pequeña y confirmar que la frase funciona revela los errores cuando todavía salen baratos.
- Coste y rapidez. El dispositivo cuesta dinero, mover monedas implica comisiones de red y las monedas en almacenamiento en frío tardan más en llegar a un exchange. Para un saldo pequeño, puede que el esfuerzo no compense.
Cómo proteger criptomonedas de hackers en la propia cuenta
Ningún cliente puede evitar el hackeo de un exchange. La mayor parte de la protección que está en manos de cada persona tiene que ver con su propia cuenta, y estos son los puntos que vale la pena revisar:
- Contraseña y correo. Una contraseña que no se use en ningún otro sitio, en una cuenta de correo también bien protegida, ya que el correo suele ser la vía para restablecer cuentas.
- Método de inicio de sesión. Los códigos por SMS son la opción común más débil, porque los números de teléfono se pueden secuestrar. Una aplicación de autenticación es más fuerte. La ficha de CISA sobre MFA resistente al phishing describe métodos como las llaves de seguridad, que un sitio falso no puede engañar.
- Lista de direcciones permitidas. Donde esté disponible, limita las retiradas a direcciones guardadas de antemano, de modo que un acceso robado sea más difícil de convertir en dinero.
- Claves API. Dan a las aplicaciones acceso a una cuenta de exchange. Conviene revisar las antiguas y las que tengan permiso de retirada.
- Dispositivos. El ataque empezó, según los informes, con un solo portátil. Un dispositivo actualizado importa tanto como una contraseña fuerte.
¿Qué estafas suelen venir después de un hackeo?
La noticia de un hackeo da a los estafadores una historia lista para usar. La FTC señala que los estafadores se hacen pasar por alguien de confianza y que los pagos en criptomonedas normalmente no se pueden revertir. Entre los patrones habituales están:
- Falso personal de soporte que dice que una cuenta se ha visto afectada
- Páginas falsas de compensación o reembolso que piden iniciar sesión
- Mensajes falsos de "las retiradas ya están activas" con un enlace urgente
- "Servicios de recuperación" que cobran por adelantado por rastrear monedas robadas
Un hábito sencillo frena la mayoría de estos intentos: ignorar los enlaces de los mensajes y abrir la aplicación oficial o escribir la dirección a mano para ver los avisos.
¿Cuánto depende de una sola empresa?
Aquí tienes una comprobación de exposición con cifras inventadas. Una persona tiene 10.000 $ en criptomonedas: 7.000 $ en un exchange, 2.000 $ en un segundo y 1.000 $ en una wallet personal. Si el primer exchange pausa las retiradas, el 70 % de sus criptomonedas no se puede mover hasta que reabra. No es un reparto sugerido. Solo muestra el tamaño de la dependencia, algo que muchas personas no han calculado.
Algunas preguntas pueden hacer que esa cifra sea personal:
- Si este exchange pausara las retiradas durante un mes, ¿qué facturas o planes se verían afectados?
- Si este saldo nunca volviera, ¿cómo cambiaría mi vida?
- ¿Tengo un registro propio de lo que tengo y dónde, fuera de la aplicación del exchange?
- Si hoy perdiera el teléfono, ¿podría entrar en mis cuentas? ¿Lo he comprobado?
- ¿Qué aplicaciones siguen teniendo acceso a mi cuenta de exchange, y lo necesitan?
La pregunta 3 es donde ayuda un registro manual. La herramienta de cartera de Stratalla permite registrar posiciones y transacciones a mano. No se conecta a exchanges ni wallets, así que no hay claves de exchange que compartir. Esta guía explica cómo seguir una cartera cripto sin claves API.
Stratalla no le dice a nadie qué comprar o vender, y no predice precios.
Fuentes