A fines de octubre, Binance, la mayor plataforma de intercambio de criptomonedas del mundo, informó que US$6.300 millones en activos digitales se vieron afectados por un hackeo. Según la BBC, es el mayor robo de criptomonedas registrado hasta hoy.
Es fácil leerlo como un problema exclusivo del mundo cripto, pero sería un error. Lo más interesante del caso no es el monto sino cómo empezó y cómo se respondió. Y en esas dos cosas hay lecciones que aplican a cualquier organización, tenga o no activos digitales.
Qué pasó
Según informó la propia empresa, la investigación inicial indica que el punto de entrada fue la computadora de un ingeniero que fue comprometida. Desde ahí, el atacante obtuvo acceso a un sistema interno (un contenedor de servicios) y realizó retiros no autorizados.
La empresa aclaró que no se trató de una acción de un solo clic: el ataque fue más complejo, el atacante no se limitó a usar los permisos de una sola persona y la investigación posterior encontró otros puntos vulnerables. También informó que no encontró evidencia de filtración de las claves privadas.
La parte afectada fue una “billetera caliente”, una herramienta conectada permanentemente a internet. Según la empresa, la gran mayoría de los activos de sus usuarios se guarda en “billeteras frías”, sin conexión a la red.
El caso tiene una cercanía particular para Argentina. Según la BBC, en 2024 casi el 7,2% del tráfico global de Binance provenía del país, el porcentaje más alto del mundo.
Los atacantes ya no van por la bóveda
Jayant Dave, de Check Point, lo resumió en la BBC con una frase que vale para cualquier empresa: los atacantes ya no necesitan las claves de la bóveda; su objetivo son los sistemas y las personas autorizadas para utilizarlas.
Esa es la idea central del caso. Durante años, la seguridad se pensó como un perímetro alrededor de lo más valioso. Hoy, el camino más directo hacia lo más valioso pasa por quienes tienen acceso a ello: administradores, ingenieros, tesorería, la dirección.
Proteger a esas personas no es desconfiar de ellas. Es reconocer que son la puerta más valiosa de la organización, y que sus equipos, sus cuentas y sus permisos merecen la misma atención que un servidor crítico.
La respuesta: decisiones de negocio, no técnicas
La otra mitad del caso es cómo respondió la empresa, según lo que informó públicamente:
- Frenó una operación crítica. Deshabilitó los retiros hasta confirmar que el entorno era seguro y anunció que no los reactivaría hasta superar pruebas rigurosas.
- La dirección comunicó desde el primer momento. Sus codirectores ejecutivos explicaron públicamente qué se sabía, qué no y cuándo habría más información.
- Coordinó con terceros. Otras empresas del sector congelaron una parte importante de los fondos robados.
- Asumió un compromiso con sus clientes. Anunció que cubriría todas las pérdidas y que publicaría un informe de prueba de reservas.
Ninguna de estas decisiones es técnica. Frenar una operación que genera ingresos, decidir qué se comunica y cuándo, coordinar con socios y asumir pérdidas son decisiones de la dirección. Y se toman mucho mejor si están pensadas antes de que pase algo.
Qué puede aprender cualquier empresa
No hace falta manejar criptomonedas para que esto aplique. Si cambiamos “billetera” por “base de clientes”, “sistema de pagos” o “plataforma de producción”, el razonamiento es el mismo.
1. Los accesos críticos son activos críticos
La notebook de un administrador o de un ingeniero con permisos amplios vale tanto como un servidor. Necesita la misma protección: autenticación robusta, equipos monitoreados y permisos revisados periódicamente.
2. Un solo acceso no debería alcanzar para todo
Limitar permisos, separar entornos y exigir doble aprobación en operaciones sensibles hace que un equipo comprometido no se convierta en un incidente mayor. El objetivo es que el atacante tenga que superar varias barreras, no una.
3. Separar lo más valioso de lo más expuesto
En este caso, lo que estaba fuera de línea no se vio afectado. En cualquier organización, la pregunta es qué está expuesto, qué está aislado y si esa separación responde a lo que más le importa al negocio.
4. Detectar a tiempo y tener la respuesta decidida
Un ataque en varios pasos deja señales en el camino: accesos inusuales, movimientos dentro de la red, operaciones fuera de lo normal. Verlas a tiempo depende de un monitoreo continuo. Y actuar rápido depende de que la dirección ya haya definido quién decide, qué se frena y cómo se comunica.
Dos preguntas para la dirección
Cuando una organización nos pregunta por dónde empezar, solemos responder con dos preguntas:
- ¿Quiénes tienen hoy los accesos más críticos y cómo los protegemos?
- Si mañana hay que frenar una operación clave, ¿quién lo decide y cuánto tardamos en volver a operar?
Si alguna no tiene una respuesta clara, ahí está el trabajo. Y no es un trabajo técnico: es una decisión de negocio.
En eMozart gestionamos la ciberseguridad de forma continua, integrando tecnología, procesos y personas, y siempre empezamos por entender dónde está parada la organización.
¿Querés saber cómo están protegidos los accesos críticos de tu empresa? Pedí tu diagnóstico hoy.
Fuentes: BBC News Mundo, “Un hackeo a la empresa Binance afecta a US$6.300 millones en activos digitales, el mayor robo de criptomonedas conocido” (30/10/2026), y comunicados públicos de la empresa. La investigación del caso sigue abierta y la información puede actualizarse.
