Teorías de «trabajo interno» en Binance por informes de reservas del lunes

Los escépticos cuestionan el momento elegido para la auditoría del lunes

Las dudas se centran en la secuencia de los hechos, ya que, en su actualización del 30 de octubre, Binance afirmó que había recuperado alrededor del 80 % de los activos robados y que seguía comprando el 20 % restante. Tenía previsto realizar una instantánea inicial de la prueba de reservas en un plazo de 12 horas, con los resultados listos para el lunes 2 de noviembre.

Un informe de «prueba de reservas» tiene por objeto demostrar que una plataforma de intercambio cuenta con activos suficientes para respaldar el saldo de cada cliente, pero los críticos sostienen que realizarlo tras la recompra oculta cuál era realmente la magnitud del déficit en un primer momento.

Posteriormente, el conocido trader Financelancelot calificó el hackeo de «un trabajo totalmente interno», cuestionando cómo un atacante pudo obtener las autorizaciones correctas entre un sinfín de posibilidades.

Al mismo tiempo, otra persona alegó que Binance «orquestó un ataque» para encubrir una crisis de liquidez, argumentando que un único ordenador portátil comprometido no podría haber firmado transacciones en diez blockchains en 20 minutos, y comparó la situación con la de FTX antes de su colapso.

Por último, el reconocido trader de Solana, Ansem, hizo referencia a la caída por liquidaciones del 10 de octubre de 2025, antes de afirmar:

He perdido toda mi confianza en Binance. Poco a poco se está gestando un nuevo 10/10.

Sin embargo, hay que dejar claro que ninguna de las afirmaciones mencionadas está respaldada por pruebas contundentes, y Bitcoin.com News ya informó anteriormente de cómo los investigadores de la cadena de bloques cuestionaron partes de la explicación inicial de Binance, que se centraba en un ordenador portátil comprometido.

Lo que realmente revelan los análisis forenses

Los investigadores apuntan a un atacante externo, al tiempo que muestran por qué la historia del ordenador portátil parecía incompleta. La empresa de inteligencia de blockchain TRM Labs atribuyó el robo al grupo de hackers norcoreano «Tradertraitor», y escribió: «Hacemos esta valoración con un alto grado de confianza».

TRM coincidió en que una explicación basada en el phishing «abarca Ethereum, pero deja sin explicar las demás cadenas». Su valoración es que el atacante probablemente se hizo con el control del sistema de firma de la cartera caliente de Binance, que podía realizar firmas en todas las cadenas.

TRM también descubrió que los preparativos comenzaron al menos 36 horas antes con retiradas a través de Tornado Cash, y que el atacante probó el código en carteras de prueba antes de atacar a Binance. La mayor parte de los fondos se distribuyeron entre diez cadenas en unos 20 minutos a partir de las 20:05 UTC.

Desde entonces, Binance ha descartado la teoría del ordenador portátil y ha afirmado que ha encontrado puntos de brecha adicionales y que «no hay pruebas de que se hayan filtrado las claves privadas de las carteras». El codirector ejecutivo, Richard Teng, ha declarado que solo se vio comprometida la cartera caliente de Binance y que los fondos de los clientes no se vieron afectados.

No todo el mundo comparte la certeza de TRM sobre la atribución del ataque; la empresa de cumplimiento normativo en criptomonedas Elliptic ha señalado que probablemente los responsables fueron actores vinculados a Corea del Norte, pero que «ningún gobierno ni organismo policial había confirmado aún la atribución».

El lunes será la verdadera prueba

Binance ha indicado que las retiradas deberían reanudarse por fases en unas 34 horas, a lo que seguirán el informe sobre las reservas y un análisis técnico exhaustivo a posteriori. Esas revelaciones determinarán si los rumores sobre un «trabajo desde dentro» se desvanecen o cobran fuerza.