Binance hackeado: el exchange de criptomonedas más grande del mundo perdió unos US$6,300 millones la noche del jueves 29 de octubre de 2026, y según la firma de análisis TRM Labs la mayor parte salió en unos 20 minutos. De acuerdo con la investigación inicial de la propia Binance, todo empezó en la laptop comprometida de uno de sus ingenieros.

#Qué pasó en el hackeo de Binance

Binance avisó el jueves por la noche que investigaba "un posible problema de seguridad". Horas después confirmó que había activos afectados, suspendió todos los depósitos y retiros y prometió cubrir todas las pérdidas. El viernes informó que el impacto total rondaba los US$6,300 millones y que había reservado más de US$6,340 millones de fondos propios para responder.

Es el robo de criptomonedas más grande del que hay registro. El récord anterior era el de Bybit, en febrero de 2025, con unos US$1,500 millones: este es unas cuatro veces mayor.

#Cómo una laptop abrió la puerta

La explicación preliminar de Binance es que la laptop de un ingeniero de DevOps estaba comprometida. Desde ella, el atacante llegó a un contenedor de servicio, una pieza interna de la infraestructura, y desde ahí envió órdenes de retiro que no estaban autorizadas. La empresa aclaró después que no fue solo la laptop: encontró otros puntos de entrada en lo que llamó un ataque complejo. Binance dice que no hay evidencia de que se filtraran las claves privadas de sus billeteras.

El detalle clave es que en un exchange grande nadie firma a mano cada retiro. Un sistema interno firma los pagos de forma automática para que los clientes reciban su dinero en segundos. Si el atacante logra que ese sistema crea que la orden es legítima, el sistema la firma. Según la firma Bitquery, ese sistema firmó la salida de fondos desde 17 billeteras calientes. TRM Labs rastreó el dinero en 10 blockchains distintas.

#Billeteras calientes y frías

Una billetera caliente está conectada a internet todo el tiempo: es la que paga los retiros al instante. Una billetera fría guarda las llaves fuera de línea, en un aparato o en papel, y para mover el dinero hace falta un paso manual. Los exchanges guardan en las calientes solo una parte de los fondos precisamente por este riesgo, pero en una plataforma del tamaño de Binance esa parte puede valer miles de millones.

#Quién estaría detrás

TRM Labs, Chainalysis y Elliptic, tres empresas que rastrean movimientos en blockchains, atribuyen el ataque a TraderTraitor, un grupo de hackers vinculado a Corea del Norte. Es el mismo grupo que el FBI señaló por el robo a Bybit. Binance no ha confirmado esa atribución y dice que trabaja con las autoridades.

#Por qué una parte ya está congelada

Unos US$3 mil millones ya están congelados. Tether congeló más de US$1,500 millones en USDT y Circle más de US$800 millones en USDC. Las monedas estables se pueden bloquear porque la empresa que las emite controla su contrato y puede impedir que una dirección las mueva. El bitcoin y el ether no tienen ese interruptor: hay que rastrearlos y esperar que pasen por un exchange que colabore, y según Chainalysis recuperarlos puede tardar meses o años.

#Qué significa para quien tiene criptomonedas

La regla que repiten los expertos es sencilla: si tus criptomonedas están en un exchange, las llaves no son tuyas. Un ataque como este solo alcanza lo que está guardado en la plataforma. Una billetera física, desconectada de internet y con llaves que controlas tú, no se vacía porque hackeen al exchange. Si prefieres seguir usando uno, activa la verificación en dos pasos, usa una lista blanca de direcciones de retiro y no dejes ahí más de lo que necesitas mover.

Publicado originalmente en Miguel Rivera Tech.

Una versión olvidada de Popcorn Time dejó a millones de computadoras con Windows y Mac listas para ejecutar cualquier programa que les mandara quien controlara un simple dominio de internet. Lo descubrió la empresa de ciberseguridad Eye Security, que publicó su investigación el 22 de octubre de 2026 y la presentó en la conferencia hack.lu, en Luxemburgo. El fallo está registrado como CVE-2026-30612.

Popcorn Time fue durante años la aplicación más conocida para ver películas y series por torrent. El proyecto original cerró en 2014, pero siguieron circulando versiones derivadas. Una de ellas, Time4Popcorn, es la que tenía el problema.

#Qué hacía el actualizador de Popcorn Time

Al instalar Time4Popcorn también se instalaba un actualizador que arranca solo cada vez que se enciende la computadora, aunque el usuario no vuelva a abrir la aplicación. Su trabajo era preguntar a unos dominios de actualización si había algo nuevo. El problema está en cómo lo hacía:

• Se conectaba por HTTP sin cifrar.
• No revisaba la firma de los programas que bajaba.
• Ejecutaba lo descargado con el máximo nivel de permisos: como SYSTEM en Windows y como root en Mac.

Mientras esos dominios estuvieran en manos de los desarrolladores, el riesgo era limitado. Pero la aplicación quedó abandonada y los dominios vencieron. Cualquiera que los registrara podía mandar un programa a todos esos equipos y se ejecutaría sin preguntar.

#Cómo lo descubrió Eye Security

Los investigadores vieron en la laptop de un cliente un archivo Updater.exe que intentaba conectarse a un dominio sin registrar, popcorntimeupd.xyz. Lo registraron ellos y, según su informe, empezaron a recibir unas 50 solicitudes por segundo.

En seis meses contaron más de 3.8 millones de identificadores únicos. Con esos datos estiman que había entre 2.5 y 3 millones de PC con Windows y entre 250,000 y 350,000 Mac con el actualizador activo, además de una pequeña parte de teléfonos Android. En Android el riesgo era menor, porque el usuario tiene que aprobar la instalación.

#El mismo truco, al revés

Con el control del dominio, Eye Security usó el propio actualizador para enviar una actualización que lo apaga. Según la empresa, en diciembre de 2025, después de un mes, ya había llegado a más de un millón de equipos, y en marzo de 2026 las solicitudes habían bajado un 98 % tras más de 2 millones de descargas. Después pasó sus 15 dominios a The Shadowserver Foundation, una organización sin fines de lucro dedicada a la seguridad de internet.

Hay dos detalles importantes. Primero, algunos dominios de actualización siguen en manos de terceros, y Eye Security dice que estaban a la venta por miles de dólares. Segundo, apagar el actualizador no vuelve segura la aplicación: según los investigadores, usa un motor de Chrome de 2014 sin aislamiento y carga código desde dominios abandonados.

#Qué hacer si alguna vez instalaste Popcorn Time

Según MacRumors y Cult of Mac, no hay pruebas de que delincuentes hayan aprovechado el fallo. Aun así, la recomendación de Eye Security y de Malwarebytes es clara:

1. Desinstala Popcorn Time y Time4Popcorn de todas tus computadoras.
2. En Windows, revisa que no quede el archivo Updater.exe en la carpeta del programa ni un servicio llamado «Update service».
3. En Mac, comprueba que no existan /Library/PrivilegedHelperTools/PT.updd ni /Library/LaunchDaemons/PT.updd.plist.
4. En Android, desinstala la app en lugar de aceptar cualquier aviso de actualización.

El caso deja una lección que va más allá de Popcorn Time: un programa que ya no usas puede seguir funcionando en segundo plano durante años, y si sus creadores lo abandonan, cualquiera podría heredar el control. Revisar de vez en cuando qué tienes instalado es una de las medidas de seguridad más sencillas.

Publicado originalmente en Miguel Rivera Tech.