El 29 de octubre, en unos 20 minutos, 6.300 millones de dólares salieron de las carteras de Binance. Este es el mayor robo en la historia de las criptomonedas, más de cuatro veces el tamaño del hackeo de Bybit de febrero de 2025.
Según el propio relato del exchange, el punto de entrada fue la computadora de un ingeniero: fue comprometido tras una entrevista de trabajo falsa.
Dos días después, Binance anunció que había restaurado el 98% de los activos con sus propios fondos; un día después de eso, se reanudaron los retiros.
Recuerda ese último hecho. Es el más importante, y el menos discutido.
Para el hombre con un martillo, todo parece un clavo
Mt. Gox (2014), QuadrigaCX (2019), FTX (2022), Bybit (2025), Binance (2026): aquí están solo los pocos más notorios. Los problemas difieren, pero la respuesta es siempre la misma: autocustodia. Después de todo, "no son tus claves, no son tus monedas".
Esta premisa es técnicamente correcta. Si no posees las claves privadas, no controlas los activos: todo lo que tienes es un derecho de crédito contra el poseedor.
Pero la conclusión que la gente suele extraer de esto no es "la autocustodia es necesariamente más segura".
El cementerio de los derrotados es silencioso, a menos que los derrotados sean lo suficientemente grandes
Cuando un exchange es atacado, el mundo entero lo ve. Miles de millones de dólares en exposición, un comunicado oficial, cobertura internacional de pared a pared.
Pero cuando un individuo lo pierde todo, casi nadie se entera nunca. Incluso si la pérdida ocurre on-chain y, estrictamente hablando, es pública, ¿cuántas personas comunes irán a hurgar en investigaciones de blockchain? El público solo ve las noticias.
Muchas de estas víctimas ni siquiera presentan una denuncia policial, por vergüenza o por incredulidad.
Del lado del investigador, la escena siempre es familiar: la víctima aparece con un hash de transacción, esperando que alguien pueda "congelar esos bitcoins".
A menos que todas las condiciones se alineen por casualidad (la víctima denuncia a tiempo con materiales completos, se topa con un funcionario público competente y los fondos finalmente fluyen hacia algún exchange o un token congelable), el resultado suele ser muy malo.
Los ataques a grandes exchanges no son los más frecuentes. Son solo el tipo que todos pueden ver.
Un menú curado de riesgos de la autocustodia
Entregar voluntariamente tu frase semilla. El 10 de enero de 2026, un inversor leyó en voz alta la frase semilla de su cartera de hardware a un estafador que se hacía pasar por soporte de Trezor. Perdió 1.459 BTC y 2,05 millones de LTC, por un valor superior a 282 millones de dólares. El dispositivo funcionó perfectamente; fue su dueño quien falló.
Filtración de la frase semilla. Una foto en tu teléfono, una nota en la nube, un correo electrónico a ti mismo. Nadie te pidió esa cadena de palabras: simplemente se filtraron por sí solas.
Phishing de firma. Firmas un mensaje fuera de la cadena que autoriza a un tercero a transferir tus tokens, para que el atacante pueda moverlos cuando quiera. Como un cheque en blanco firmado dejado en el cajón de un extraño. Solo en enero de 2026, tales pérdidas alcanzaron los 6,3 millones de dólares.
Irónicamente, el robo de Binance también se llevó a cabo mediante firmas. El sistema del exchange fue engañado para firmar 50 autorizaciones a la vez, y solo una de ellas bastó para entregar al atacante una cartera con 2.200 millones de dólares en pérdidas, en una sola transacción.
Ataques con llave inglesa. El nombre proviene de la llave inglesa. Ninguna criptografía puede resistir amenazas físicas contra ti o tu familia. En el primer semestre de 2026, CertiK contabilizó 52 incidentes de este tipo por un total de 124 millones de dólares; solo Francia tuvo 33.
Envenenamiento de direcciones. Los estafadores plantan en tu historial de transacciones una dirección casi idéntica a una legítima. En tu siguiente transferencia, copias la equivocada. Un solo caso en enero de este año resultó en 12,25 millones de dólares en pérdidas.
Fallo del dispositivo. El 29 de julio, los activos de un grupo de usuarios de ColdCard que nunca se habían conectado a internet fueron vaciados, debido a un fallo de aleatoriedad en el proceso de generación de claves. Las pérdidas superaron los mil bitcoins.
Nota esto: en cada uno de los escenarios anteriores, la víctima confió en algo. Una línea de soporte, la nube, un sitio web, su propio juicio, su historial de transacciones, el firmware. Y en cada escenario, también confiaron en su propia capacidad.
¿Autocustodia o exchange? Un falso dilema
Cualquier forma de custodia conlleva riesgo. Quienes dejan sus activos en un exchange confían en su gobernanza y su solvencia; quienes ejercen la autocustodia confían en sí mismos, en sus dispositivos, en su software y en todos los que saben que poseen bitcoin. El problema es: la gente reconoce lo primero pero ignora lo segundo.
No existe una opción que no requiera confianza. Solo existe la confianza que se reconoce y la confianza que se ignora. Y el riesgo más caro es el que no puedes ver.
Nadie metería toda su riqueza debajo del colchón, ni la pondría toda en un solo banco.
La lógica debería ser la misma para los criptoactivos: poner una parte en un exchange sólido (o tres), una parte en una autocustodia adecuada y una parte en ETF—digamos 30%, 40% y 30%. Las proporciones exactas dependen de tus conocimientos, tu situación y tus objetivos. Esta responsabilidad no se puede externalizar. Son malas noticias, pero mejor saberlo ahora que después.
Pasado mañana
Asumir la responsabilidad puede reducir el riesgo, pero no puede eliminarlo. Así que no preguntes solo "qué opción es más segura para mí", pregunta también "qué me pasa después de un ataque".
En el modo de autocustodia, no hay nadie a quien puedas acudir. Los 282 millones de dólares de enero de este año casi de inmediato comenzaron a convertirse en Monero. El congelamiento solo es posible cuando los fondos llegan a un emisor de stablecoins o a un exchange. La recuperación total es la excepción.
En el modo de exchange, todavía tienes una contraparte. Bybit restauró los activos de los clientes en tres días; Bitget cubrió los 388 millones de dólares robados en septiembre con su fondo de protección.
Binance absorbió el 100% de las pérdidas y ya ha restaurado el 98%, lo cual puede verificarse en su prueba de reservas.
Por supuesto, una contraparte solo vale algo si es solvente. Y puede que no devuelva exactamente lo que originalmente tenías.
Los acreedores de Mt. Gox esperaron diez años y recuperaron solo alrededor del 15% del bitcoin que "poseían". Sin embargo, gracias a la apreciación durante ese período, el valor de esa pequeña fracción es varias veces su saldo total de 2014.
Los acreedores de FTX recibieron efectivo, no los criptoactivos de sus cuentas: alrededor del 120% del valor en el momento del colapso de noviembre de 2022, cuando el bitcoin estaba cerca de los 16.000 dólares. Eso es más que el valor en ese momento; pero mucho menos que el valor actual.
Cómo elegir el exchange de criptomonedas más seguro
Precisamente por eso importan las tres resoluciones emitidas por el Banco Central de Brasil (BCB) en 2025—la n.º 519, la n.º 520 y la n.º 521.
Para los inversores, lo que más importa no es si un exchange está regulado por el banco central, sino qué requisitos debe cumplir: activos de los clientes segregados de los activos propios de la empresa, mantenidos en billeteras separadas, prueba de reservas proporcionada y auditada de forma independiente, y prohibición de utilizarlos para el negocio propio de la empresa.
Conclusión
"No son tus claves, no son tus monedas" trata sobre el control, no sobre la seguridad.
Quienes sacan toda su riqueza de los exchanges no han dejado de confiar. Simplemente han transferido esa confianza, casi siempre a sí mismos, sin preguntarse nunca: ¿merezco esa confianza?
La custodia no consiste en elegir en quién no confiar, sino en elegir conscientemente en quién y en qué confiar.
