Hackeos de exchanges de criptomonedas e incidentes de seguridad

Cronología de incidentes

1. Binance · octubre de 2026 · ~6,3 mil millones de $

   El 29 de octubre de 2026, unos atacantes vaciaron de las billeteras calientes de Binance unos 6.300 millones de dólares en criptomonedas, el mayor robo de criptomonedas registrado. El FBI atribuyó el ataque al grupo TraderTraitor de Corea del Norte.

   Resolución: Binance indicó que asumiría las pérdidas en lugar de trasladarlas a los usuarios y que, a 2 de noviembre, había cubierto cerca del 95 % (el resto corresponde a tokens menos líquidos). Los retiros, suspendidos durante el incidente, se reabrieron por fases a partir del 1 de noviembre de 2026.

   Fuente (consultada el 3 nov 2026)

2. Coinbase · octubre de 2026

   Un incidente de seguridad en Amplitude, un proveedor externo de analítica, expuso datos de contacto de un pequeño grupo de clientes de Coinbase; Coinbase no indicó cuántos resultaron afectados.

   Resolución: Coinbase indicó que sus propios sistemas no sufrieron ninguna brecha y que los fondos de los clientes no se vieron afectados; está notificando a los clientes afectados y a los reguladores.

   Fuente (consultada el 3 nov 2026)

3. Coinbase · mayo de 2025

   Los atacantes sobornaron a contratistas externos de soporte en el extranjero para extraer datos personales (nombres, datos de contacto, SSN parciales, imágenes de documentos de identidad) de unos 70.000 clientes y después exigieron un rescate de 20 millones de dólares.

   Resolución: Coinbase rechazó el rescate y ofreció una recompensa de 20 millones de dólares por los atacantes; en una presentación ante la SEC estimó entre 180 y 400 millones de dólares en costes de remediación y reembolso.

   Fuente (consultada el 10 ago 2026)

4. Bybit · febrero de 2025 · ~1,5 mil millones de $

   El 21 de febrero de 2025, atacantes vinculados al grupo Lazarus de Corea del Norte robaron unos 1.500 millones de dólares en Ethereum de una billetera fría de Bybit al comprometer una interfaz de firma multisig de un tercero (Safe UI); fue entonces el mayor exploit de criptomonedas registrado, hasta el robo a Binance de octubre de 2026.

   Resolución: Bybit reconoció públicamente el incidente con una cronología y puso en marcha un programa de recompensas por recuperación (Recovery Bounty Program) que ofrece el 10 % de los fondos recuperados.

   Fuente (consultada el 10 ago 2026)

5. KuCoin · enero de 2025 · ~297 millones de $

   Se declaró culpable de un cargo del Departamento de Justicia de EE. UU. por operar un negocio de transmisión de dinero sin licencia; unos 297 millones de dólares en decomiso penal y multas.

   Resolución: Aceptó salir del mercado estadounidense durante al menos dos años; los fundadores Chun Gan y Ke Tang fueron apartados de la dirección.

   Fuente (consultada el 10 ago 2026)

6. Kraken · junio de 2024 · ~3,0 millones de $

   Investigadores de seguridad vinculados a CertiK explotaron un error de inflado de saldo comunicado a través del programa de recompensas por errores de Kraken y retiraron casi 3 millones de dólares de la tesorería de Kraken; después exigieron una recompensa antes de devolver los fondos.

   Resolución: Kraken corrigió la vulnerabilidad aproximadamente una hora después del aviso; CertiK devolvió después los fondos (menos las comisiones de transacción). Los fondos procedían de la tesorería de Kraken, no de las billeteras de los clientes.

   Fuente (consultada el 10 ago 2026)

7. Gemini · noviembre de 2022 · ~1,1 mil millones de $

   Los retiros de Gemini Earn se detuvieron el 16 de noviembre de 2022, cuando su socio de préstamos Genesis Global Capital congeló los reembolsos (unos 1.100 millones de dólares adeudados a los usuarios de Earn); no fue un hackeo del exchange de Gemini.

   Resolución: Gemini anunció (en febrero de 2024) un acuerdo que devuelve el 100 % de los activos digitales de los usuarios de Earn en especie; a mediados de 2024 se habían distribuido más de 2.000 millones de dólares en criptomonedas a unos 232.000 usuarios.

   Fuente (consultada el 10 ago 2026)

8. Crypto.com · enero de 2022 · ~35,0 millones de $

   Los atacantes eludieron el 2FA y realizaron retiros no autorizados de unos 4.836 ETH y unos 444 BTC (unos 35 millones de dólares) de 483 cuentas de usuarios.

   Resolución: Crypto.com indicó que se reembolsó a todos los usuarios afectados; revocó todos los tokens 2FA, forzó un nuevo inicio de sesión y la reconfiguración del 2FA, y reforzó la seguridad.

   Fuente (consultada el 10 ago 2026)

9. KuCoin · septiembre de 2020 · ~281 millones de $

   Se comprometieron las claves privadas de billeteras calientes; se vaciaron unos 281 millones de dólares en criptomonedas, atribuidos al grupo Lazarus de Corea del Norte.

   Resolución: KuCoin indicó que los activos robados se recuperaron o quedaron cubiertos por el seguro; los depósitos y retiros de todos los tokens se reanudaron en noviembre de 2020.

   Fuente (consultada el 10 ago 2026)

10. Binance · mayo de 2019 · ~40,7 millones de $

    Unos hackers retiraron 7.000 BTC (unos 40,7 millones de dólares) de una billetera caliente de Binance en una sola transacción, tras obtener claves API y códigos 2FA de usuarios mediante phishing y otros ataques.

    Resolución: Binance cubrió la pérdida íntegramente con su fondo de emergencia SAFU; no se vieron afectados fondos de los usuarios. Los retiros se suspendieron durante aproximadamente una semana mientras se reforzaba a fondo la seguridad.

    Fuente (consultada el 10 ago 2026)

11. Bitstamp · enero de 2015 · ~5,3 millones de $

    Se robaron 18.866 BTC (unos 5,26 millones de dólares) de una billetera caliente tras una campaña de phishing de varias semanas que comprometió el equipo de un administrador de sistemas y el archivo wallet.dat.

    Resolución: El almacenamiento en frío no se vio afectado; Bitstamp reconstruyó su plataforma a partir de copias de seguridad seguras, contrató a Stroz Friedberg para el análisis forense y pasó a usar billeteras multifirma con almacenamiento en frío.

    Fuente (consultada el 10 ago 2026)

Sin incidentes graves registrados

Nuestros registros documentados no recogen ningún incidente de seguridad grave en Bitvavo, Gate, MEXC y OKX.

Que no haya un incidente registrado no es una garantía: solo registramos los incidentes que podemos verificar.

Preguntas frecuentes