Más allá de los hackeos a exchanges: la puerta de entrada a tus criptos puede estar en tu dispositivo

RisikoMonitor, una empresa con sede en Viena que ofrece monitoreo de riesgo cibernético a compañías, presentó «Crypto Platforms 2026 – IT Security Evaluation». El informe, publicado el 6 de noviembre de 2026, examina desde fuera la superficie de ataque de 78 plataformas cripto, entre exchanges, prestamistas y carteras, con datos a octubre de 2026. BTC-ECHO lo publicó ese mismo día, con acceso al estudio.

La cifra central es 4.041.255 registros de acceso de clientes comprometidos, repartidos en 71 de las 78 plataformas. Están muy concentrados: según el estudio, solo Binance suma 1.094.759 y Coinbase 803.130. La firma calcula que equivalen a 0,39 % de los 280 millones de usuarios registrados de Binance y a 0,73 % de los 110 millones de Coinbase, con cifras de usuarios que el propio documento describe como documentadas y con solapamientos entre plataformas. Las seis plataformas que no mostraron exposición no tienen un modelo clásico de cuentas: son protocolos descentralizados, carteras de hardware, una cartera no custodial y un servicio prácticamente inactivo, según el documento de trabajo.

RisikoMonitor atribuye estos accesos a «infostealers», un tipo de malware que se instala en el teléfono o el computador del usuario y copia contraseñas y datos de las aplicaciones. El estudio sostiene que, en un dispositivo que ya tiene la sesión abierta, el programa puede leer esa sesión y reutilizarla, de modo que la verificación en dos pasos no vuelve a pedirse. Por eso afirma que la fortaleza de la contraseña no protege frente a esta vía y que las plataformas deberían vincular las sesiones al dispositivo y detectar usos anómalos.

Hay que leer ese mecanismo como la explicación de la firma, no como algo que el estudio haya comprobado caso por caso. El propio informe aclara que la medición es pasiva: no hubo escaneos, intentos de conexión ni de inicio de sesión, y las credenciales se procesaron solo de forma agregada. No se probó, por tanto, que los accesos listados sigan activos ni que alguien los haya usado para robar fondos.

El documento de trabajo de la firma, WP 2026-14, establece sus límites con claridad. Son registros de acceso, no personas distintas: el estudio dice que no se elimina la repetición de una misma persona en varias plataformas. Es, según la propia firma, un límite inferior porque proviene de una sola base y solo recoge registros de infostealers, sin sumar filtraciones de otro tipo. Tampoco es dinero robado ni una cifra de cuentas que hoy estén en riesgo.

Hay además dos vacíos que conviene dejar explícitos. Los documentos que revisamos no precisan en qué período se recopilaron los registros ni cómo se depuró la base más allá de lo señalado, de modo que no es posible saber cuántos son recientes. Y los datos de origen son de terceros y no públicos: para esta cobertura no pudimos repetir el cálculo ni verificarlo de forma independiente. La firma afirma que sus cifras son reproducibles, pero el procedimiento no está detallado en los documentos revisados. El estudio añade que su preparación y análisis se apoyaron en herramientas de inteligencia artificial.

Para respaldar la cifra, RisikoMonitor la compara con una segunda fuente de infostealers. En las 31 plataformas donde ambas devuelven un dato, el orden del ranking es casi idéntico, con una correlación de Spearman de 0,99. Pero los niveles no coinciden: la fuente principal cuenta en la mediana unas tres veces más que la segunda. Esta última, además, oculta por política de su proveedor las cifras de 43 plataformas, en su mayoría grandes, que concentran 90,4 % de la exposición, según el informe. La comparación respalda, entonces, qué plataformas aparecen más expuestas, pero no confirma el total de 4,04 millones.

Binance: el hackeo y los accesos de clientes son vías distintas

El estudio llega ocho días después del robo de unos USD $6.300 millones a Binance el 29 de octubre, y lo usa como punto de partida.

Según el exchange, el acceso se logró a través de una laptop comprometida de un ingeniero y de una campaña que, de acuerdo con la compañía, comenzó con falsas entrevistas de trabajo. Es decir, una vía interna, distinta de los accesos de clientes que mide RisikoMonitor. Los documentos revisados no aportan pruebas de que los más de un millón de registros asociados a Binance tengan relación con ese robo.

Binance declaró el 12 de noviembre que completó la cobertura de las pérdidas, aunque cubrir los activos no equivale a haberlos recuperado de los atacantes, como ya señaló DiarioBitcoin. Para el estudio, el episodio ilustra que incluso la mayor plataforma tenía antes del robo más accesos de clientes comprometidos que cualquier otra de las analizadas.

RisikoMonitor va más allá del recuento y plantea un riesgo sistémico. Con el valor medio por propietario de cripto, estima que 4 millones de cuentas corresponderían a entre USD $4.000 millones y $21.000 millones en tenencias, y sostiene que un actor que controlara una parte de ese bloque podría provocar ventas forzadas y mover precios. La propia firma indica que se trata de una estimación suya, ponderada hacia el minorista, y no de una medición. El escenario depende de que esos accesos sigan siendo utilizables, algo que el estudio no comprobó. Quien lo cite debe presentarlo como una hipótesis de la empresa.

El informe incluye también un ranking de seguridad de las 78 plataformas con pesos definidos por la propia firma. Ninguna supera 60 puntos de 100, pero esa cifra responde en parte al método: el puntaje de cualquier plataforma con un incidente documentado queda limitado a 60, y según el estudio 72 de las 78 tienen al menos uno desde 2011. Con ese criterio, el documento señala como los más castigados a los grandes exchanges custodiales y a las plataformas colapsadas.

El estudio registra además 11.945 dominios de terceros que imitan marcas de las plataformas, algunos usados para suplantación, y afirma que ninguna plataforma reaccionó ante 24 dominios parecidos que la propia firma registró desde octubre de 2024. Según la misma fuente, 9 de 45 portadas activas analizadas no aplican ninguna de las seis cabeceras básicas de seguridad web, entre ellas la de Binance. Son hallazgos de la firma, medidos desde fuera y de forma pasiva.

Entre sus recomendaciones para las plataformas figuran vincular las sesiones al dispositivo, vigilar y dar de baja dominios falsos y detectar usos anómalos de sesión. Para los usuarios, el informe señala que la higiene del dispositivo pesa más que la fortaleza de la contraseña y que la autocustodia reduce la exposición a ataques de credenciales. DiarioBitcoin ya había contado un caso de malware para Windows que usa inteligencia artificial para perfilar a sus víctimas, otra muestra de los riesgos de robo de credenciales en el dispositivo.

El fundador y director ejecutivo de la firma, Manuel Löw-Beer, resume la tesis del informe: el mayor riesgo de la blockchain no es la cadena, sino las plataformas que se apoyan en ella. Fuente: risikomonitor.com GmbH, «Crypto Platforms 2026, IT Security Evaluation». Según la web de RisikoMonitor, el estudio completo y el documento de trabajo se entregan tras registrar datos de contacto y una revisión manual de la empresa.