Reflexiones tras el gran robo de Binance: ¿A quién deberíamos confiar nuestros activos criptográficos?

¿Intercambios, auto-custodia, ETF, quién es el verdadero hogar de los activos criptográficos?

Escrito por: Jake Pahor

Traducido por: Chopper, Foresight News

Nunca me he sentido tan inseguro acerca de cómo almacenar mis activos criptográficos como ahora.

El viernes pasado, los hackers robaron alrededor de 6.3 mil millones de dólares de Binance, el mayor robo en la historia de las criptomonedas. No tengo Bitcoin almacenado en Binance, pero aún así verifiqué si el intercambio local australiano que utilizo había sido comprometido, y afortunadamente, estaba a salvo.

Creo que cuando las personas entran en pánico, lo peor que pueden hacer es actuar precipitadamente; es en esos momentos cuando es más fácil cometer errores fatales, lo cual es natural. Lento es estable, y estable es rápido.

Escribí este artículo para ayudar a los inversores a organizar sus estrategias de almacenamiento de activos, para que estén preparados sin importar la situación. A continuación, presentaré varias formas de custodiar activos criptográficos, los riesgos asociados y las medidas de protección.

Desarrollo del evento

Los atacantes infiltraron la billetera caliente de Binance (que está conectada a Internet y se utiliza para retiros diarios). Binance afirmó que el origen del ataque fue la computadora portátil de un ingeniero de DevOps que fue comprometida, y actualmente no hay evidencia de que se hayan filtrado claves privadas. Sin embargo, el análisis de TRM Labs indica que los hackers en realidad no necesitaban obtener la clave privada: controlaban el sistema de backend responsable de firmar las transacciones de retiro.

Una transacción contenía 50 firmas preautorizadas de la misma billetera de Binance, con los números de transacción en orden secuencial, y la siguiente transferencia ya había sido aprobada con antelación. La mayor parte de los fondos robados fueron transferidos en aproximadamente 20 minutos, cruzando 10 cadenas públicas.

Las stablecoins tienen el riesgo de ser congeladas, por lo que los hackers decidieron descontar más del 10%, convirtiendo parte de los fondos robados en Ethereum, completando el intercambio antes de que Tether y Circle pudieran intervenir. Aun así, las dos emisoras de stablecoins congelaron aproximadamente 1.8 mil millones de dólares en activos dentro de los 40 minutos posteriores a la gran transferencia.

En cuestión de horas, Binance declaró que cubriría las pérdidas de los usuarios de su propio bolsillo. El 31 de octubre, el FBI anunció que el ataque fue llevado a cabo por el grupo de hackers norcoreano TraderTraitor. Hasta el 2 de noviembre, Binance había reabierto los canales de retiro en 15 cadenas públicas, incluyendo Bitcoin; las demás cadenas aún estaban en pruebas. La prueba completa de reservas se revelará el martes.

Este grupo había atacado a Bybit en febrero de 2025, robando aproximadamente 1.5 mil millones de dólares, que antes de este robo en Binance, había sido el mayor robo en la historia de las criptomonedas. En ese ataque, el objetivo era una billetera fría de múltiples firmas, disfrazando el ataque como una transferencia normal. Los hackers alteraron el código de la página web utilizada por los firmantes, mostrando una transacción, pero el firmante realmente autorizó otra transacción. Una billetera de múltiples firmas solo puede proteger realmente los activos si cada firmante verifica cuidadosamente el contenido de la transacción.

Este año, ambos métodos de custodia han tenido problemas

Incluso los métodos de auto-custodia que controlan las claves privadas no se han salvado este año. Desde julio, los usuarios de Coldcard y Ledger han perdido un total de aproximadamente 200 millones de dólares: el primero debido a una vulnerabilidad en el firmware, y el segundo debido a que un distribuidor vendió billeteras de hardware que habían sido alteradas. Según las estadísticas de TRM Labs, hasta el 30 de octubre, el total de robos en el sector de criptomonedas en 2026 alcanzó los 8.7 mil millones de dólares, estableciendo un nuevo récord.

He utilizado profundamente ambos métodos: custodia en intercambios y auto-custodia de claves privadas, y conozco bien sus ventajas y desventajas. La clave está en entender los riesgos de cada método y en implementar las medidas de control adecuadas.

Auto-custodia: riesgos y medidas de protección

• Pérdida de acceso. La Oficina de Impuestos de Australia (ATO) ha registrado casos en los que los fideicomisarios de fondos de pensiones autogestionados (SMSF) han perdido activos criptográficos debido a olvidar contraseñas. Medidas de protección: almacenar copias de seguridad en lugares separados y escribir guías de recuperación para que otros fideicomisarios puedan recuperar los activos siguiendo los pasos.
• Palabras clave robadas por phishing. Hubo una notificación falsa de Ledger que indujo a los usuarios a escanear un código y a ingresar sus palabras clave. Medidas de protección: nunca ingresar las palabras clave en un teléfono, computadora o cualquier sitio web.
• Compra de billeteras de hardware alteradas. Algunos dispositivos Ledger vendidos por distribuidores tenían programas implantados que robaban las 24 palabras clave en el momento de la inicialización de la billetera. Medidas de protección: comprar billeteras de hardware directamente de canales oficiales de la marca.
• Vulnerabilidades en el firmware. La versión de marzo de 2021 del Coldcard Mk3 generó palabras clave con insuficiente aleatoriedad, lo que presenta un riesgo de ser descifrado por fuerza bruta. Medidas de protección: utilizar un esquema de múltiples firmas, generando claves con diferentes marcas de billeteras de hardware, de modo que una sola palabra clave débil no pueda transferir activos por sí sola.
• Robo por coerción. CertiK reportó que en 2025 ocurrieron 72 casos de robo mediante coerción física a poseedores de criptomonedas. Medidas de protección: almacenar las claves de manera dispersa, bajo el cuidado de varias personas, para que no se pueda transferir el activo simplemente coaccionando a una sola persona.

De las cinco medidas de protección mencionadas, dos son esencialmente múltiples firmas: almacenar múltiples claves de manera separada.

Mi opinión es que la auto-custodia a menudo no es adecuada para principiantes. Pero cada persona que posee Bitcoin debería aprender sobre la auto-custodia, comprender plenamente los riesgos y luego elegir racionalmente el método que mejor se adapte a ellos.

Custodia en intercambios: riesgos y medidas de protección

• Robo en el intercambio. Esto se refiere a los casos de Binance y Bybit mencionados anteriormente. Medidas de protección: almacenar la mayoría de los activos en billeteras frías; cada firmante debe verificar cuidadosamente el contenido de la transacción; la plataforma debe establecer un fondo de compensación, como el fondo SAFU de Binance.
• Uso indebido de fondos de los usuarios por el intercambio. La SEC acusó a FTX de utilizar un “línea de crédito” casi sin límites para transferir fondos de los usuarios a Alameda. Medidas de protección: los activos deben almacenarse en fideicomisos separados, y no se pueden prestar fondos sin el permiso del usuario; verificar que los activos de reserva coincidan con las obligaciones de los usuarios.
• Suspensión de retiros. Binance suspendió los retiros el 30 de octubre. Bybit, tras el robo, no detuvo los retiros y procesó más de 350,000 solicitudes de retiro en 10 horas. Medidas de protección: mantener una alta liquidez de reservas de 1:1, con capital adicional reservado como colchón.
• Secuestro de cuentas. En mayo de 2025, un gran intercambio en EE. UU. reveló que un empleado de servicio al cliente había recibido sobornos para filtrar información de usuarios, lo que permitió a los hackers hacerse pasar por usuarios y robar cuentas. Medidas de protección: verificación de dos factores (2FA) con claves de hardware; habilitar una lista blanca de retiros y establecer un período de enfriamiento para nuevas direcciones.

En 2022, el colapso de FTX dejó a los usuarios sin nada; mientras que después del incidente de Binance, decidieron cubrir las pérdidas por su cuenta. Creo que la forma en que Binance manejó esta situación fue muy buena y merece reconocimiento.

Para confiar en un intercambio, observaría estas condiciones

La prueba de reservas solo puede demostrar cuántos activos tiene el intercambio, pero la prueba de pasivos es la que refleja cuánto debe a los usuarios. Solo mirar la prueba de reservas no puede demostrar la capacidad de pago de la plataforma. La prueba de reservas completa que Binance publicará pronto es autoemitida; hasta el 2 de noviembre, no se ha publicado ninguna auditoría de un tercero independiente.

GS 007 es la guía de auditoría de control interno para instituciones de custodia en Australia. Un informe de auditoría de Tipo 2 puede demostrar que este mecanismo de control ha sido estable y efectivo durante un período (normalmente de 6 a 12 meses). Si el intercambio custodia activos criptográficos para fondos de pensiones autogestionados (SMSF) en Australia, la ATO exige que la institución proporcione este informe; pero la ATO declaró en octubre de 2026 que rara vez ven este tipo de informes.

Mis criterios de selección personales son:

• Prueba de reservas 1:1 que haya sido completamente auditada de manera independiente, incluyendo verificación de activos y pasivos;
• Obtener un informe de auditoría GS 007 Tipo 2 siempre que sea posible;
• Buen historial de seguridad a largo plazo;
• Equipo de confianza;
• Si se utiliza para un fondo de pensiones autogestionado (SMSF), preferiblemente una institución local de Australia.

Múltiples firmas: un método que aún no he implementado

Las múltiples firmas son un nivel de seguridad más alto para el almacenamiento en frío: las transferencias de activos requieren la autorización de múltiples claves, siendo común el esquema 2/3 (cualquier 2 de 3 claves pueden firmar para realizar la transferencia). Especialmente para fondos de pensiones autogestionados, un esquema de seguridad a prueba de fallos es crucial. Honestamente, aún no he construido formalmente una billetera de múltiples firmas, ya que el esquema es complejo y no he dedicado suficiente tiempo a investigar la mejor opción.

Hasta el 1 de noviembre, las soluciones principales en el mercado son:

• The Bitcoin Adviser: producto local australiano, diseñado específicamente para SMSF. Esquema de múltiples firmas 2/3, el usuario tiene una clave, la plataforma otra y el proveedor de custodia otra; solo el usuario puede iniciar transacciones. Durante los primeros cuatro años, se cobra el 1% del promedio de tenencia de Bitcoin, después la tarifa es más baja, y se emite un informe de auditoría cada año.
• Casa: esquema de múltiples firmas 2/3, Casa custodia una de las claves, con una tarifa anual de 250 dólares, incluye un esquema de herencia de activos. El sitio web no indica las áreas de servicio, y no tienen productos para fideicomisos o fondos de pensiones autogestionados.
• Nunchuk: tiene una versión gratuita de auto-custodia; la versión asistida de custodia tiene una tarifa anual de 120 dólares para el esquema 2/3. El esquema de herencia utiliza un bloqueo temporal, permitiendo que el heredero reclame los activos sin depender de la plataforma Nunchuk.
• Bitkey (de Block): un esquema de múltiples firmas 2/3 que combina teléfono, dispositivo de hardware y servidores de Block, es el más fácil de usar. El precio en el sitio australiano es de 400 AUD, y el esquema de herencia tiene un período de espera de 6 meses. Los servicios están limitados a individuos, no son adecuados para SMSF.
• Sparrow: de código abierto y gratuito. Puedes construir tu propia solución de múltiples firmas con tu propia billetera de hardware, sin que terceros tengan acceso a las claves. Tiene la mayor barrera de entrada: todas las copias de seguridad y configuraciones de billetera deben ser gestionadas por ti mismo.

También hay restricciones específicas para SMSF. Las billeteras de activos criptográficos deben abrirse a nombre del fondo, completamente separadas de los activos personales del fideicomisario; el auditor debe verificar la propiedad de los activos del fondo y confirmar su valoración. En el modo de auto-custodia, se deben proporcionar mensajes firmados o transferencias de prueba controladas de bajo monto, junto con documentos de custodia que especifiquen quién es el custodio de cada clave, y cómo se manejarán los activos en caso de fallecimiento, incapacidad o desacuerdos entre fideicomisarios.

¿Quién es adecuado para tener las claves? Actualmente, las autoridades reguladoras no han establecido reglas claras. Mi comprensión personal es que si dos fideicomisarios tienen cada uno una clave de un esquema de múltiples firmas 2/3, pueden firmar conjuntamente, cumpliendo con el requisito central de la ATO de que “el fondo controla los activos”; si cada transferencia debe ser firmada por una clave de un no fideicomisario, la fuerza de la prueba de control de activos se debilitará, y finalmente será el auditor del fondo quien determine si es conforme.

Este es también un aspecto que aún no he decidido: no he pensado en quién confiar el resto de las claves para su custodia.

Otra opción: ETF de Bitcoin al contado

Australia lanzó su ETF de Bitcoin al contado en mayo de 2022, y ahora hay al menos 6 que se negocian en intercambios, con tarifas anuales que oscilan entre el 0.25% y el 0.49%.

Las ventajas del ETF son: posees participaciones del fondo, no necesitas custodiar claves, y no hay riesgo de perder palabras clave. Para SMSF, las participaciones se valoran al cierre del 30 de junio de cada año, igual que las acciones.

Por otro lado, las desventajas son: con una tarifa anual estimada del 0.45%, después de diez años, cada participación del fondo representará aproximadamente un 4.4% menos de Bitcoin; el ETF solo se puede comprar y vender durante las horas de negociación del mercado de valores.

El ataque a Binance ocurrió a las 6:05 de la mañana del viernes, hora de Brisbane, a solo 3 horas de la apertura de la bolsa australiana. La mayoría de estos fondos no permiten que retires Bitcoin real. Originalmente no era un gran defensor de los ETF, pero después de tantos incidentes de seguridad, su atractivo ha aumentado. Si deseas una solución completamente sin preocupaciones, elegir un ETF es completamente comprensible. Pero recuerda: el fondo aún necesita un custodio para almacenar el Bitcoin subyacente, y el custodio también tiene el riesgo de ser atacado por hackers. Según la información que he encontrado, actualmente no ha habido robos en custodios de ETF; además, la cobertura de seguros no es completa, ya que un documento de un fondo estadounidense establece que ni el fondo ni el emisor aseguran el Bitcoin subyacente.

Mi método actual de almacenamiento de activos

En este momento, la mayor parte de mi Bitcoin sigue almacenada en intercambios centralizados, principalmente por conveniencia, soporte de auditoría y facilidad para la declaración de impuestos al final del año fiscal. En caso de que me ocurra algo, mi esposa, que también es fideicomisaria, puede asumir el control de los activos sin problemas.

Cada uno de los métodos de custodia mencionados anteriormente tiene la posibilidad de fallar. No existe una respuesta estándar absolutamente correcta, solo los riesgos que estás dispuesto a asumir y las medidas de control correspondientes.