Hackeo de Binance 2026: qué pasó y cómo protegerse

El 29 de octubre de 2026, el mundo se despertó con el mayor robo de criptomonedas jamás registrado. Según Binance y la firma de análisis blockchain TRM Labs, unos 6.300 millones de dólares salieron de las carteras de Binance a través de diez blockchains, la mayor parte en unos 20 minutos. El hackeo de Binance es aproximadamente cuatro veces mayor que el hack de Bybit de febrero de 2025, que ostentaba el récord hasta esta semana.

El detalle más importante no es la cantidad. Es cómo empezó: un único portátil de un empleado comprometido. Eso convierte el hackeo de Binance en una lección para cualquier empresa, no solo para los exchanges de criptomonedas. Y no ocurrió de forma aislada. En las mismas dos semanas, los atacantes empezaron a explotar una vulnerabilidad crítica de PHP conocida como PHP2Shell, y varias empresas comunicaron brechas de datos que afectan a millones de personas.

En este artículo explicamos qué pasó en el hackeo de Binance, qué significa la vulnerabilidad de PHP para cualquier empresa con una web y las buenas prácticas de ciberseguridad que le protegen frente a este tipo de ataque. La información está actualizada a 30 de octubre de 2026; la investigación sigue en curso.

Hackeo de Binance: los datos clave de un vistazo

• Qué: unos 6.300 millones de dólares en criptomonedas robados de carteras de Binance, el mayor hack de criptomonedas de la historia.
• Cuándo: el 29 de octubre de 2026; la mayor parte de los fondos se movió en unos 20 minutos.
• Cómo: un portátil de un empleado comprometido dio al atacante acceso a un servicio interno capaz de ordenar retiradas.
• Quién: los analistas de TRM Labs lo atribuyen a TraderTraitor, un grupo vinculado al Estado norcoreano. Todavía no hay atribución oficial.
• Clientes: Binance suspendió depósitos y retiradas y afirma que cubrirá todas las pérdidas. Tether y Circle congelaron parte de los fondos robados.

¿Qué pasó en el hackeo de Binance?

Binance explica que la brecha comenzó en el portátil de un empleado. Desde ese dispositivo, el atacante llegó a un contenedor de servicios interno y pudo enviar transacciones de retirada no autorizadas. Dicho de otro modo, nadie «rompió la blockchain». El atacante simplemente entró a través de un dispositivo de confianza y utilizó los propios sistemas de la empresa para mover el dinero.

Binance suspendió depósitos y retiradas mientras investigaba y ha declarado que cubrirá las pérdidas de sus clientes. Los emisores de stablecoins Tether y Circle congelaron fondos vinculados al ataque. Las cantidades congeladas varían según el medio, de unos 2.500 a más de 4.000 millones de dólares, y probablemente cambiarán a medida que avance la recuperación. El bitcoin cayó alrededor de un 5 % en las horas posteriores a la noticia.

¿Quién está detrás del hackeo de Binance?

TRM Labs atribuye el hackeo de Binance a TraderTraitor, un grupo de hackers norcoreano vinculado a la actividad más amplia del Grupo Lazarus, y Chainalysis habría llegado a una conclusión similar. Ningún gobierno lo ha confirmado oficialmente todavía, así que conviene tratarlo como una evaluación sólida de los analistas y no como un hecho probado.

El método encaja en un patrón bien conocido. Estos grupos rara vez atacan la tecnología de frente. Van a por las personas: ofertas de empleo falsas enviadas a desarrolladores, archivos trampa y equipos de trabajo que pueden comprometerse sin hacer ruido. Lo primero que falla es la persona y el dispositivo.

La verdadera lección: un portátil fue la puerta de entrada

La mayor lección de ciberseguridad del hackeo de Binance es sencilla. Un solo portátil desprotegido o comprometido puede abrir la puerta a toda una organización. Es cierto para un exchange global y lo es igualmente para una empresa de 20 personas en el Algarve.

Cada portátil, ordenador y teléfono que pueda acceder a datos de la empresa necesita una protección de endpoints moderna con detección y respuesta, no solo un antivirus básico. Debe gestionarse de forma centralizada, actualizarse automáticamente y aislarse en minutos cuando algo parece sospechoso. Eso es exactamente lo que implantamos y gestionamos para nuestros clientes con ESET PROTECT.

PHP2Shell: la vulnerabilidad de PHP que todo propietario de una web debe corregir

Mientras los titulares se centraban en el hackeo de Binance, una segunda noticia afectaba a muchas más empresas. El 21 de octubre de 2026, el proyecto PHP publicó parches de emergencia para dos fallos críticos de ejecución remota de código, conocidos ahora como PHP2Shell. Los detalles se habían filtrado dos días antes, lo que obligó a acelerar la publicación.

¿Qué son CVE-2026-109618 y CVE-2026-109619?

Son dos vulnerabilidades del propio PHP, cada una calificada con una gravedad de 9,2 sobre 10 por el proyecto PHP. Ambas pueden permitir que un atacante ejecute su propio código en un servidor sin iniciar sesión. El 26 de octubre, la Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE. UU. (CISA) las añadió a su catálogo de vulnerabilidades explotadas conocidas (Known Exploited Vulnerabilities), lo que significa que los atacantes las están utilizando activamente. Los investigadores de watchTowr y Cloudflare también han informado de intentos de explotación reales.

Por qué la vulnerabilidad de PHP importa a su empresa

PHP impulsa una enorme parte de la web: WordPress, WooCommerce, muchas tiendas online e innumerables aplicaciones empresariales a medida. Si su web funciona con una versión de PHP sin parchear, un atacante podría robar datos de clientes, desfigurar su sitio, distribuir malware a sus visitantes o usar su servidor como trampolín hacia el resto de su red.

Cómo corregir PHP2Shell

• Actualice PHP a 8.5.12, 8.4.27, 8.3.36 u 8.2.35 (o posterior). Actualizar es la única solución completa.
• Pregunte hoy mismo a su proveedor de hosting o agencia web qué versión de PHP utiliza su sitio.
• Siga de cerca los avisos oficiales de PHP: un fallo relacionado, CVE-2026-115560, se publicó el 23 de octubre y no queda corregido con esas actualizaciones.
• Revise los registros del servidor en busca de actividad sospechosa desde mediados de octubre, cuando aparecieron los primeros indicios de explotación.

Otros ciberataques y brechas de datos de octubre de 2026

El hackeo de Binance y PHP2Shell acaparan los titulares, pero octubre de 2026 ha sido uno de los meses con más ciberataques del año:

• Sony So-net (Japón): una brecha de datos que afecta a unos 2,5 millones de registros de clientes del proveedor de internet.
• Railway: la plataforma cloud advirtió de que las claves de API y los secretos de sus clientes guardados en variables de entorno se vieron comprometidos, y pidió a todos que los revocaran.
• ConnectWise: una brecha habría expuesto credenciales utilizadas para conectarse a organizaciones que hacen copias de seguridad de sus datos de Microsoft 365.
• PingCAP: la empresa de bases de datos afirmó que un grupo de extorsión tuvo acceso a sus sistemas durante un mes.

El denominador común no es una tecnología exótica. Son credenciales robadas, software sin parchear, secretos expuestos y atacantes que permanecen dentro de las redes durante semanas antes de que alguien se dé cuenta.

8 buenas prácticas de ciberseguridad tras el hackeo de Binance

No hace falta ser un exchange de criptomonedas para ser un objetivo. La mayoría de los ataques son oportunistas: escaneos automáticos en busca de un servidor PHP sin parchear, una contraseña reutilizada o un portátil sin protección. Estas son las buenas prácticas de ciberseguridad que recomendamos aplicar a todas las empresas desde ya.

1. Parchee rápido, empezando por los sistemas expuestos a internet

Actualice PHP, WordPress, plugins, cortafuegos y VPN en cuanto se publiquen parches críticos. Vulnerabilidades como PHP2Shell se explotan a los pocos días de hacerse públicas, no meses después.

2. Proteja todos los endpoints

Utilice una plataforma de protección de endpoints profesional y gestionada de forma centralizada, con detección y respuesta, en todos los dispositivos que acceden a datos de la empresa. El hackeo de Binance empezó en un solo portátil. ESET PROTECT es la plataforma que utilizamos con nuestros clientes.

3. Active la autenticación multifactor en todas partes

Correo electrónico, Microsoft 365, banca, paneles de hosting, acceso remoto y áreas de administración. Prefiera las aplicaciones de autenticación o las llaves físicas a los códigos por SMS. Nuestras soluciones de seguridad para el correo empresarial incluyen autenticación multifactor y protección contra el phishing.

4. Aplique el mínimo privilegio y la doble aprobación

Cada empleado solo debe tener acceso a lo que su función requiere, y nadie debería poder mover dinero, exportar datos o modificar sistemas de producción por sí solo. Una auditoría informática muestra rápidamente quién tiene acceso a qué.

5. Guarde bien los secretos y renuévelos

Las claves de API, contraseñas y tokens nunca deben estar en documentos compartidos ni en archivos de texto plano. Tras cualquier aviso de brecha de un proveedor, como en el caso de Railway, renueve las credenciales de inmediato.

6. Forme a su equipo

Los correos de phishing, las ofertas de empleo falsas y los archivos adjuntos maliciosos siguen siendo la principal vía de entrada. Una formación en concienciación de seguridad breve y periódica es uno de los controles más baratos y eficaces que existen.

7. Mantenga copias de seguridad probadas y desconectadas

Guarde al menos una copia desconectada o inmutable y compruebe de verdad que puede restaurarla. Las copias de seguridad son su última línea de defensa frente al ransomware. Consúltenos sobre las copias de seguridad al planificar sus soluciones cloud.

8. Tenga un plan de respuesta a incidentes

Incluso un plan de una página ayuda: quién decide, quién contacta con clientes y autoridades y qué socio investiga. Nuestro equipo de consultoría TI puede ayudarle a redactarlo y ponerlo a prueba.

Cómo mantenerse al día sobre nuevos hackeos y vulnerabilidades

Estar informado forma parte de estar protegido. Siga fuentes oficiales, no rumores en redes sociales:

• El catálogo CISA Known Exploited Vulnerabilities, la mejor lista de fallos que los atacantes están utilizando realmente.
• Su centro nacional de ciberseguridad: en España, el INCIBE (Instituto Nacional de Ciberseguridad); en Portugal, el Centro Nacional de Cibersegurança (CNCS).
• Los avisos de seguridad del software que utiliza, como PHP, WordPress y Microsoft.
• Las notificaciones de seguridad de sus proveedores, para enterarse directamente de brechas como las de Railway o ConnectWise.

Si tiene criptomonedas, siga únicamente la página de estado y los comunicados oficiales de su exchange. En los días posteriores a un gran ataque como el hackeo de Binance, los estafadores envían correos falsos de «reembolso» y «verificación de cuenta» para aprovechar la confusión. Nunca introduzca sus credenciales a través de un enlace recibido por correo electrónico o mensaje.

Hackeo de Binance: preguntas frecuentes

¿Cuánto se robó en el hackeo de Binance?

Binance calcula unos 6.300 millones de dólares y TRM Labs unos 6.360 millones, lo que lo convierte en el mayor hack de criptomonedas de la historia. Una parte importante ha sido congelada desde entonces por los emisores de stablecoins, y las cifras aún pueden cambiar.

¿Está seguro mi dinero en Binance?

Binance ha declarado que cubrirá todas las pérdidas de sus clientes, y los primeros comentarios de analistas indican que la brecha no supone un riesgo de solvencia relevante. Utilice únicamente los canales oficiales de Binance e ignore los mensajes no solicitados que ofrecen reembolsos o recuperación de fondos.

¿Qué es PHP2Shell?

PHP2Shell es el nombre que reciben dos vulnerabilidades críticas de PHP, CVE-2026-109618 y CVE-2026-109619, que permiten la ejecución remota de código y se están explotando activamente. La solución es actualizar PHP a 8.5.12, 8.4.27, 8.3.36, 8.2.35 o posterior.

¿Podría ocurrirle un hackeo así a una pequeña empresa?

Sí. El hackeo de Binance empezó con un solo portátil comprometido, y PHP2Shell afecta a webs empresariales corrientes. Las pequeñas y medianas empresas son objetivos frecuentes precisamente porque a menudo carecen de protección de endpoints, rutinas de actualización y formación en seguridad.

Cómo protege Strong Answer a su empresa

El hackeo de Binance demuestra que incluso organizaciones con enormes presupuestos de seguridad pueden sufrir una brecha por un único punto débil. La buena noticia: la mayoría de los ataques contra pequeñas y medianas empresas se frenan haciendo bien lo fundamental. Eso es lo que nuestro equipo de ciberseguridad hace para empresas de todo Portugal y el Algarve:

• Evaluación de seguridad: encontramos sus puntos débiles antes que los atacantes.
• Pruebas de penetración externas de sus webs y sistemas expuestos a internet.
• Formación en concienciación de seguridad para que su equipo reconozca el phishing y la ingeniería social.
• Protección de endpoints gestionada con ESET PROTECT en todos los dispositivos.
• Mantenimiento web y actualizaciones de PHP a cargo de nuestro equipo web.
• Soporte informático continuo de nuestro equipo de soporte técnico cuando algo no parece ir bien.