La plataforma de intercambio de criptomonedas Binance anunció la semana pasada que de sus hot wallets (carteras calientes) salieron, mediante retiros no autorizados, criptomonedas por un valor aproximado de 6300 millones de dólares. Según las conclusiones preliminares de la plataforma, el atacante pudo haber utilizado el portátil comprometido de un empleado de DevOps y obtener acceso a un servicio interno que permitía introducir transacciones no autorizadas. Binance indicó que, por el momento, no ha encontrado pruebas de una filtración de claves privadas y sigue investigando el desarrollo exacto del ataque. ¿Qué dice este incidente sobre la seguridad de las plataformas de intercambio de criptomonedas y cómo pueden los inversores proteger mejor sus fondos? Habla de ello Miloš Mázor, director general de la empresa Madison Six, que opera la plataforma crypto4me. Se dedica a la inversión en criptomonedas desde 2018.
El reciente incidente de seguridad en torno a Binance ha vuelto a plantear la cuestión de cuán seguras son las plataformas de intercambio de criptomonedas. ¿Qué deberíamos aprender de sucesos como este y deberían cambiar los inversores comunes la forma en que manejan sus criptomonedas?
Considero fundamental que el inversor sepa a quién confía sus criptomonedas y cómo están protegidas. Ni el tamaño de una plataforma ni su fama garantizan por sí solos la seguridad. Para el trading activo, el exchange tiene su lugar, pero para la tenencia a largo plazo siempre consideraría también una cartera de hardware propia. Además, un ataque a la infraestructura de una empresa no significa que alguien haya vulnerado la propia red de bitcoin.
En mi opinión, también merece atención la reacción del mercado. Dada la magnitud del incidente, la caída del precio de bitcoin no me parece especialmente pronunciada. Además, en la misma época se debilitaban los mercados bursátiles, sobre todo los valores tecnológicos. Por ello, no se puede atribuir automáticamente todo el movimiento de precios al hackeo de Binance; parte de él puede estar relacionada con una menor disposición general de los inversores a asumir riesgos.
Lo percibo como una señal de mayor solidez y madurez del mercado. Creo que hace unos años una noticia así probablemente habría provocado una reacción de pánico más acusada. El mercado es hoy más grande y cuenta con una base de inversores más amplia, de modo que incluso un robo récord en términos nominales tiene un peso relativo distinto. Esto, por supuesto, no resta en absoluto gravedad al fallo de seguridad ni al perjuicio sufrido por los clientes afectados.
Podría interesarle: Solana ha pasado por el mayor cambio en seis años
En relación con el ataque se habla de las llamadas carteras calientes, que están conectadas a internet. ¿Cuál es la diferencia entre estas y las carteras frías, y cómo debería repartir los fondos entre ambos tipos de custodia una plataforma bien protegida?
En pocas palabras, se trata de si se puede disponer de los fondos a través de un sistema conectado a internet. Las carteras calientes permiten procesar retiros con rapidez, pero están más expuestas a ataques remotos. En la custodia en frío, las claves privadas permanecen fuera del entorno en línea. Las propias criptomonedas se registran en ambos casos en la blockchain; lo que está fuera de línea es el medio con el que se autoriza la transacción.
En mi opinión, en las carteras calientes debería permanecer solo la cantidad necesaria para el funcionamiento ordinario. La mayor parte de los activos debería almacenarse en un entorno de acceso restringido, con permisos separados y mecanismos de control más estrictos. Sin embargo, no existe un porcentaje correcto universal; depende del volumen de retiros y del funcionamiento del servicio concreto. También son importantes los límites de transferencia y la aprobación independiente de las recargas de las carteras operativas. Ni siquiera la custodia en frío sirve de nada si quienes la gestionan aprueban una transacción fraudulenta.
Según los análisis realizados hasta ahora, el atacante pudo haber abusado de un sistema interno de firma de transacciones, en lugar de obtener directamente una clave privada. ¿Qué dice un escenario así sobre las debilidades de seguridad de las grandes plataformas de criptomonedas?
Muestra que la seguridad no termina en la propia clave privada. El atacante no necesita robarla si logra que un sistema legítimo firme por él una transacción no autorizada. La blockchain puede entonces verificar una firma válida, pero no puede saber que se hizo contra la voluntad del cliente o contra las reglas de la plataforma.
Tan importante como la protección de las claves es, por tanto, la gestión de accesos y el control de lo que realmente se firma. Con todo, en el caso de Binance no sacaría todavía una conclusión técnica definitiva. La empresa indicó que no encontró pruebas de una filtración de claves privadas y, al mismo tiempo, admitió varios puntos de vulneración de la infraestructura. El desarrollo exacto del ataque debe esclarecerlo la investigación.
¿Qué medidas de seguridad debería tener implantadas una plataforma de criptomonedas para que la vulneración de un único sistema no pueda provocar una pérdida masiva de fondos de los clientes? ¿Y qué papel desempeña en este ámbito la regulación europea, en particular el reglamento DORA?
El sistema debe asumir que un ordenador, una cuenta o un empleado concretos pueden verse comprometidos. Un fallo así no debería permitir disponer libremente de todo el patrimonio de los clientes. La base es la separación de competencias y accesos, los límites de transacción, la supervisión continua de transferencias inusuales y la posibilidad de detenerlas rápidamente. Las operaciones importantes deben pasar por una aprobación realmente independiente. No basta con varias firmas si todas las personas que aprueban dependen del mismo sistema atacado.
DORA es importante en este sentido porque convierte la gestión de los riesgos tecnológicos en una obligación exigible. Desde el 17 de enero de 2025 se aplica también a los proveedores de servicios de criptoactivos autorizados conforme a MiCA. Abarca la gestión de riesgos en el ámbito de las tecnologías de la información y la comunicación (TIC), la gestión y notificación de incidentes graves relacionados con las TIC, las pruebas de resiliencia operativa digital y la gestión de los riesgos derivados de los proveedores externos de servicios de TIC. Ninguna regulación garantiza que no se produzca un ataque. Pero crea un marco en el que la empresa debe gestionar la seguridad de forma sistemática y ser capaz de restablecer la operativa.
En Madison Six cumplimos las obligaciones de seguridad y operativas que nos corresponden como proveedor autorizado, incluidos los requisitos de MiCA y DORA. En el servicio crypto4me aplicamos autenticación multifactor, cifrado y pruebas de penetración periódicas. Con la obtención de la licencia, el trabajo en seguridad no termina para nosotros; es una parte permanente de la operativa.
No se lo pierda: Las 10 mejores criptomonedas por debajo de 1 dólar
En relación con el incidente se menciona también la tecnología EIP-7702, que permite ampliar las funciones de las carteras de criptomonedas convencionales. ¿Puede su uso indebido suponer un riesgo también para los pequeños inversores? ¿Cómo pueden darse cuenta de que, al usar la cartera, están concediendo un permiso peligroso?
Sí. EIP-7702 permite que una cuenta normal en Ethereum utilice funciones de contrato inteligente, por ejemplo, combinar varias operaciones o dejar que otra persona pague la comisión de transacción. Para ello, el usuario firma una autorización que asigna a su cuenta un código de programa concreto. Si el usuario autoriza la asignación de un código malicioso o no fiable, el atacante puede obtener la posibilidad de realizar determinadas operaciones con sus fondos, dentro del alcance de los permisos que se derivan de dicho código. Esa configuración puede persistir incluso después de que finalice la transacción original.
Una señal de advertencia es una solicitud inesperada de «actualización» de la cartera, una delegación o una firma cuyas consecuencias no se explican con claridad. El hecho de que no se muestre un pago inmediato no significa que la firma sea inofensiva. Si no sé qué estoy aprobando exactamente ni a quién, no lo confirmo. Además, desconectarse de un sitio web no anula una delegación ya concedida. Ni siquiera una cartera de hardware impide que el propio usuario firme un permiso peligroso. El papel de EIP-7702 en un ataque concreto debe valorarse, por lo demás, según constataciones técnicas verificadas.
La Unión Europea va introduciendo gradualmente las normas MiCA para los proveedores de servicios relacionados con las criptomonedas. ¿Cuál es, desde el punto de vista del inversor común, la diferencia práctica entre utilizar una plataforma autorizada y una no autorizada, sobre todo si se produce un incidente de seguridad?
Precisamente Binance, afectada por el reciente ataque de hackers, no ha conseguido por ahora obtener la licencia MiCA. Nuestra empresa, Madison Six, que opera el servicio crypto4me, la tiene desde el 18 de diciembre de 2025 en virtud de la autorización del Banco Nacional de Eslovaquia. La autorización incluye también la custodia y administración de criptoactivos de los clientes. Hemos superado el procedimiento de concesión de la licencia y cumplimos de forma continua las obligaciones de seguridad, organizativas y de capital relacionadas.
En el caso de un proveedor autorizado existe una persona jurídica concreta bajo la supervisión de un regulador europeo. Debe cumplir requisitos de capital y organizativos, proteger los activos de los clientes y gestionar las reclamaciones. En caso de incidente, el cliente se encuentra así en un entorno jurídico considerablemente más claro. En una plataforma extranjera sin licencia, hacer valer sus derechos puede resultar mucho más difícil.
Aun así, yo siempre verificaría la licencia directamente en el registro de la ESMA o del regulador nacional. No basta con un logotipo conocido ni con una afirmación en la web. Es importante con qué empresa celebra el cliente el contrato y para qué servicios tiene autorización esa empresa. La regulación aumenta la responsabilidad y la transparencia del proveedor, pero por sí sola no elimina el riesgo operativo ni la volatilidad del precio de las criptomonedas.
No se lo pierda: MiCA empieza a cambiar de verdad el mercado cripto
Las grandes plataformas de criptomonedas pueden prometer, tras ataques de este tipo, que compensarán las pérdidas a sus clientes. Pero ¿qué protección tienen realmente derecho a exigir los inversores? ¿Y existe en el sector de las criptomonedas algo comparable al seguro de depósitos bancarios?
Lo decisivo es el régimen jurídico del proveedor, el servicio concreto y las circunstancias de la pérdida. MiCA establece que el proveedor de servicios de custodia responde por la pérdida de criptoactivos de los clientes o de los medios de acceso a ellos si esta se produjo a raíz de un incidente que le sea imputable. Esta responsabilidad está limitada al valor de mercado de los activos perdidos en el momento de la pérdida. Por tanto, no se trata de una compensación automática de cualquier daño en todas las circunstancias.
Los criptoactivos en sí no están cubiertos por el sistema europeo de garantía de depósitos bancarios de hasta 100 000 euros. Tampoco un fondo de reserva de una plataforma de intercambio, como SAFU, constituye un sistema legal de ese tipo. En caso de un posible seguro privado, es necesario conocer su alcance y sus exclusiones. E incluso cuando el cliente tiene un derecho legal, el pago efectivo depende también de la situación patrimonial de la empresa y de la exigibilidad de la reclamación. Por ello, la promesa de compensación debe valorarse en función de las condiciones concretas y de los pasos posteriores.
En caso de incidentes de seguridad, los emisores de algunas stablecoins pueden bloquear los fondos sustraídos. ¿Es esta posibilidad principalmente una ventaja para el inversor común o conlleva también ciertos riesgos? ¿Cómo aborda esta cuestión la regulación europea?
En caso de robo es una ventaja significativa, porque un bloqueo rápido puede impedir una nueva transferencia de los tokens sustraídos. Sin embargo, esto no implica la devolución automática del dinero a los afectados. Su destino posterior se decide en el proceso jurídico correspondiente.
Al mismo tiempo, esto demuestra que una stablecoin de este tipo depende de un emisor concreto y de sus facultades. El bloqueo puede estar relacionado, por ejemplo, con sanciones o con la decisión de una autoridad competente, y puede dejar temporalmente inaccesibles los fondos incluso a una persona que no ha hecho nada. Por ello, el inversor debería saber quién emite el token y en qué condiciones puede restringirse su uso.
MiCA regula la autorización de los emisores, la cobertura y los derechos de los titulares de las stablecoins correspondientes. Para los tokens de dinero electrónico establece el derecho de reembolso al valor nominal. Las obligaciones relacionadas con las sanciones y la lucha contra el blanqueo de capitales constituyen una capa adicional de normas. La regulación europea aporta condiciones más claras, pero la facultad del emisor de bloquear tokens concretos no desaparece por ello.
Detrás de muchos ataques de gran alcance a las criptomonedas no hay solo vulnerabilidades técnicas, sino también el factor humano y la ingeniería social. ¿Qué métodos utilizan hoy con mayor frecuencia los atacantes y de qué deberían cuidarse los propios usuarios de criptomonedas?
Los atacantes buscan a menudo la vía a través de la persona. Imitan al servicio de atención al cliente, a compañeros o a socios comerciales, envían falsas ofertas de empleo e intentan que la víctima instale un programa o apruebe una solicitud fraudulenta. En los ataques dirigidos pueden construir la confianza durante semanas. Además, la inteligencia artificial les facilita la creación de mensajes convincentes, así como de voces o vídeos falsos.
Según la información públicamente disponible y las conclusiones de las autoridades de seguridad estadounidenses, el ataque podría estar vinculado a un grupo de hackers norcoreano. El desarrollo técnico exacto del ataque sigue siendo objeto de investigación.
Para los usuarios, de ello se desprende sobre todo la necesidad de una verificación independiente. Ni siquiera un nombre conocido en la pantalla es prueba suficiente de identidad. Ante una solicitud inesperada de instalar una aplicación, de acceso remoto o de transferir dinero, yo la verificaría a través de otro contacto, conocido de antemano.
Quizá le interese: Los mejores pódcast sobre criptomonedas
Tras los grandes ataques de hackers aparecen con frecuencia también ofertas fraudulentas de compensación o falsos servicios de atención al cliente. ¿Por qué señales puede el inversor reconocer una estafa así y qué información no debería solicitarle nunca un proveedor legítimo?
Los estafadores se aprovechan del miedo y la urgencia. Afirman, por ejemplo, que es necesario conectar de inmediato la cartera a un sitio web de compensación, pagar una tarifa por el desbloqueo o transferir los fondos a una «dirección segura». También es sospechoso un mensaje privado no solicitado de un supuesto soporte.
Un soporte legítimo no pedirá al cliente la seed, la clave privada ni la contraseña. Tampoco debería dictarle códigos de inicio de sesión o de autorización de un solo uso. Introducir un código en la aplicación oficial al iniciar sesión uno mismo es una situación distinta a comunicárselo a un desconocido. Con la misma cautela hay que valorar las solicitudes de firma de transacciones o de permisos.
Yo contactaría con el soporte por mi cuenta a través de la aplicación oficial o de un sitio web abierto manualmente. Si es necesario acreditar la identidad o una transacción, debe hacerse por un canal verificado. La exigencia de pagar un supuesto impuesto o un anticipo por la recuperación de criptomonedas robadas es una fuerte señal de alarma.
Incidentes como estos pueden llevar a algunos inversores a trasladar sus criptomonedas desde la plataforma de intercambio a su propia cartera. ¿Cuándo tiene sentido la autocustodia y cuándo, por el contrario, puede ser más seguro recurrir a los servicios de un proveedor regulado?
Para la tenencia a largo plazo considero una cartera de hardware una solución adecuada, siempre que el inversor entienda su manejo y sea capaz de conservar de forma segura la frase de recuperación. Obtiene control directo sobre los fondos, pero al mismo tiempo asume la responsabilidad de la copia de seguridad, de la corrección de las transferencias y de la eventual herencia. Ningún servicio de atención al cliente le volverá a emitir una seed perdida.
Para quien guardaría la frase de recuperación en el teléfono, la enviaría por correo electrónico o confirmaría con regularidad solicitudes desconocidas, una custodia regulada de calidad puede ser más segura. Del mismo modo, puede resultar práctica para el trading activo. Lo importante es comparar los riesgos reales de ambas opciones y las propias capacidades. Para muchos inversores tiene sentido una combinación: mantener la parte a largo plazo por cuenta propia y dejar en el proveedor los fondos destinados a operar.
Algunas plataformas de intercambio suspenden temporalmente los retiros y las transferencias durante incidentes de seguridad. ¿Cómo puede el cliente distinguir una medida de seguridad preventiva de problemas más graves en el funcionamiento de la plataforma? ¿Y hasta qué punto le ayuda a valorar la fiabilidad de una plataforma el llamado proof of reserves?
La mera suspensión de los retiros no tiene por qué significar insolvencia. En caso de ataque puede ser necesaria para evitar nuevas pérdidas. El cliente debería observar lo concreta y regular que es la comunicación, el alcance de las restricciones y si las medidas anunciadas se cumplen realmente. Son señales de advertencia el aplazamiento repetido de los plazos sin explicación o la exigencia de un depósito adicional como condición para retirar. Pero ni siquiera una buena comunicación demuestra por sí sola la salud financiera de la empresa.
Binance anunció, a fecha de 1 de noviembre, la reanudación gradual de los retiros y la reposición de aproximadamente el 90 por ciento de los activos sustraídos con recursos propios. Reponer la cobertura de los saldos de los clientes no es lo mismo que recuperar de los autores los fondos robados.
El proof of reserves puede ayudar a verificar determinados activos y, según el método utilizado, también su relación con los saldos de clientes declarados. Sin embargo, normalmente no ofrece una imagen completa de todas las obligaciones, de las posibles cargas sobre los activos ni de la calidad de los controles internos. Es una pieza útil, pero no una auditoría completa de la gestión ni una garantía de disponibilidad futura de los retiros.
No se lo pierda: TOP 10 de países con la adopción de criptomonedas más rápida
Si tuviera que recomendar, para terminar, a un inversor europeo común algunas reglas básicas por las que guiarse al mantener y negociar criptomonedas, ¿cuáles serían?
Empezaría por una estrategia propia. Saber por qué compro criptomonedas, por cuánto tiempo y qué caída soy capaz de soportar, tanto financiera como psicológicamente. El tamaño de la inversión debería corresponderse con el patrimonio total y no debería poner en peligro el presupuesto corriente. Decidir bajo la presión de una rápida subida del precio o del miedo a una caída suele salir caro.
A continuación, verificaría al proveedor y el método de custodia. Protegería la cuenta con una contraseña fuerte y única y con autenticación multifactor, idealmente con una llave de seguridad o passkey, si el servicio lo admite. La frase de recuperación de la cartera propia la guardaría sin conexión y no se la revelaría a nadie.
Antes de cada transferencia comprobaría la dirección completa y la red correcta y, en el caso de una dirección nueva, enviaría primero una pequeña cantidad de prueba. No firmaría permisos que no entiendo y me formaría de manera continua. Considero lo más importante comprender que la estrategia de inversión y la seguridad de la custodia van de la mano. Una buena decisión de compra puede quedar arruinada por un solo error innecesario en la seguridad.
Fuente de la foto: archivo de Miloš Mázor
