Quien guarda criptomonedas en un exchange no tiene garantía de reembolso si la plataforma sufre un ciberataque, y el hackeo de unos US$6,300 millones a Binance lo dejó en evidencia: la pérdida la absorbió la propia empresa, no un seguro, un fondo de garantía ni el Estado. El monto equivale a cuatro veces lo sustraído a Bybit en febrero de 2025, el récord anterior del sector.
Un exchange es una plataforma donde se compran, venden y almacenan criptoactivos. Para un usuario dominicano que opera en plataformas internacionales, el caso muestra que su dinero depende de la solvencia de esa empresa y no de una protección pública como la que respalda los depósitos en un banco. Según el análisis que reconstruye el caso, abogados y reguladores coinciden en que nadie devuelve el dinero de forma automática.
Un ataque de 30 minutos tras cinco meses de preparación
La noche del 29 de octubre de 2026, atacantes vinculados a Corea del Norte vaciaron en unos 30 minutos los hot wallets de Binance, las carteras conectadas a internet que atienden las retiradas de los clientes. La compañía habla de US$6,340 millones. El FBI atribuyó la operación a TraderTraitor, el grupo norcoreano que también estuvo detrás del robo a Bybit; Pyongyang lo niega.
El informe que Binance divulgó el 3 de noviembre detalla una campaña de cinco meses. En junio, un empleado que usaba un asistente de programación con inteligencia artificial instaló un programa alterado. En septiembre, alguien que se hacía pasar por director de proyecto de una empresa inexistente abordó a un segundo ingeniero mediante un portal de empleo legítimo, con entrevista por video, una supuesta responsable de recursos humanos y una prueba técnica que incluía código malicioso. Con las credenciales obtenidas, los atacantes levantaron un contenedor el 29 de octubre y corrieron un guion que drenó las carteras.
Binance logró congelar o interceptar cerca de US$2,850 millones, principalmente en stablecoins (criptomonedas atadas a una moneda como el dólar), porque sus emisores pueden bloquear transferencias, algo que no es posible con bitcoin o ether. La plataforma dice que repuso alrededor del 95% de lo afectado usando su tesorería corporativa, su fondo SAFU y su fondo de seguros de futuros. Las retiradas volvieron a abrirse el 1 de noviembre, después de casi dos días suspendidas y de salidas netas por unos US$4,700 millones. El bitcoin llegó a cotizar por debajo de US$76,000.
MiCA responsabiliza al custodio, pero no asegura el cobro
El Reglamento europeo de mercados de criptoactivos (MiCA), vigente desde diciembre de 2024, establece que el custodio responde por la pérdida de los activos de sus clientes cuando esta se origina en un incidente atribuible a él, como un ciberataque. El tope es el valor de mercado de lo robado al momento del ataque. La dificultad está en cobrar: según un portavoz del sector, «en la práctica, esto se traduce en una reclamación legal contra la empresa, no en una indemnización procedente de un fondo de garantía».
En Europa no hay un mecanismo comparable al Fondo de Garantía de Depósitos, que protege hasta €100,000 por ahorrista en la banca, ni al Fogain, que desde 2001 resguarda el dinero entregado a sociedades y agencias de valores, según explica Manuel Calero, asociado sénior de finReg360. MiCA obliga a separar los activos de los clientes del patrimonio del proveedor y a tener planes de liquidación ordenada, pero ninguna de esas medidas asegura que el cliente recupere lo suyo.
El respaldo de capital también es modesto. La norma exige el mayor valor entre un mínimo legal (€125,000 para custodia, €150,000 si además se opera una plataforma de negociación) y el equivalente a una cuarta parte de los gastos fijos del año anterior. Calero advierte que estos requisitos «pueden quedar muy por debajo de las pérdidas reales», una brecha evidente frente a un robo de US$6,300 millones.
El ciberseguro que Binance no tenía y que quizá no habría pagado
Binance mantiene un seguro de responsabilidad de administradores (D&O), que ampara a sus directivos ante investigaciones o demandas. Sin embargo, de acuerdo con Bloomberg Law, no ha podido contratar ciberseguro, algo que le ocurre a buena parte del sector.
Aun con esa póliza, el pago era improbable. Las pólizas tradicionales contra delitos (crime) se diseñaron para dinero en efectivo y valores, y las que excluyen riesgos cibernéticos dejan fuera la pérdida de fondos salvo que se agregue una cobertura específica para activos digitales. Las de tipo specie cubren monedas en almacenamiento en frío, pero «normalmente no responden a tokens robados de carteras calientes en un hackeo», dice Christopher Keegan, de Brown & Brown.
Pesa además la atribución a un Estado. Desde marzo de 2023, las pólizas cibernéticas independientes del mercado de Lloyd’s deben incluir exclusiones por guerra y ataques patrocinados por Estados. Alana McMullin, de Lathrop GPM, aclara que «el patrocinio estatal no elimina automáticamente la cobertura»: todo depende de cómo esté escrita la póliza, de la vía de entrada de los atacantes y de la ubicación de los activos.
El mercado es pequeño y concentrado. El seguro cripto movió unos US$390 millones en 2026 y se proyecta que llegue a US$1,170 millones en 2031, con capacidad para grandes exposiciones en manos de pocos sindicatos de Lloyd’s y aseguradoras especializadas. Frente a ese tamaño, el fondo SAFU, de unos US$1,000 millones antes del ataque y creado en 2018 con comisiones de trading, «parecía un número enorme en su momento» y hoy «no lo parece tanto», reconoce un suscriptor de riesgos cibernéticos.
Coberturas parciales en otras plataformas y la revisión de MiCA
El patrón se repite en otras empresas. OKX Shield cubre hasta US$500,000 por cliente seleccionado, de forma voluntaria, y la firma advierte en su web que no es un seguro ni un fondo de garantía de depósitos. Bit2Me, mediante Ledger Vault, tiene una póliza colectiva de hasta US$150 millones que deja fuera el ciberataque. Coinbase Europa dispone de un seguro contra delitos parcial, sin detalles públicos.
Bruselas busca cerrar el vacío. La consulta pública sobre la revisión de MiCA concluyó el 31 de agosto de 2026 y preguntó si el capital exigido a los proveedores cripto es suficiente, dado que otras entidades financieras cumplen requisitos proporcionales a los activos que manejan. El Banco Central Europeo, por su parte, propuso subir los fondos propios de las empresas más relevantes que actúan fuera del sistema bancario.
Mientras tanto, la fuente sugiere tres pautas al usuario: verificar que el proveedor tenga licencia MiCA (Binance no opera en Europa desde el verano porque no la obtuvo), revisar si el seguro que anuncia cubre ciberataques y no solo el robo de claves, y entender que dejar criptomonedas en un exchange es asumir riesgo de contraparte, no hacer un depósito.
Lo que sigue es si la revisión de MiCA terminará exigiendo capital proporcional a los activos custodiados y quién responderá cuando un ataque similar golpee a una plataforma menor que Binance, que administra US$171,000 millones. La empresa pidió disculpas con una frase que describe el problema del sector: «Esto no debería haber pasado».
