La noche en que Binance suspendió los retiros, ¿a dónde fue la liquidez?

En este evento, parte de las transacciones se trasladaron a lugares como OKX y Hyperliquid, y la diferencia de precios generada por el intercambio de monedas por parte de los hackers proporcionó ganancias a los arbitrajistas y constructores de bloques.

Escrito por: BigTime

Puntos clave

• Binance suspendió los retiros durante aproximadamente 56 horas, durante las cuales las operaciones de spot y futuros continuaron normalmente. Los usuarios aún podían comprar y vender, pero los fondos y el inventario en sus cuentas no podían ser retirados a otros lugares.
• Una semana después del incidente, la participación de Binance en el volumen de transacciones de los diez principales intercambios pasó de aproximadamente 48% a aproximadamente 42%, mientras que OKX aumentó de aproximadamente 11% a aproximadamente 14%. Al mismo tiempo, los hackers, ansiosos por intercambiar monedas, incurrieron en pérdidas de ejecución de aproximadamente 119 millones de dólares, y los traders y arbitrajistas obtuvieron aproximadamente 60 millones de dólares después de deducir costos.
• Después de que se reanudaron los retiros, aproximadamente el 10% de los fondos fluyeron hacia otros intercambios centralizados, y la entrada neta diaria de Hyperliquid fue menos del 10% de la salida neta de Binance. Al evaluar estos cambios, los creadores de mercado también deben considerar el riesgo contraparte asociado con los saldos que permanecen en los intercambios.

En la noche del 29 de octubre de 2026 (UTC), la billetera caliente de Binance fue hackeada, y Binance estimó inicialmente que el impacto fue de aproximadamente 6.3 mil millones de dólares. En los dos días siguientes, circuló en el mercado la idea de que Binance había suspendido los retiros y que la liquidez se estaba trasladando a Hyperliquid y otros intercambios. Los cambios en la participación de las transacciones respaldaron parte de esta afirmación, pero el flujo de fondos no mostró una transferencia de la misma magnitud. Ambos aspectos deben ser considerados por separado, ya que los precios y las diferencias de precios tienen causas distintas.

I. 56 horas de suspensión de retiros

Los siguientes tiempos son todos en UTC

Tabla 1｜Puntos clave del evento de Binance. Fuente: ver la sección de fuentes en la tabla, todos son informes públicos, y algunos momentos pueden variar entre minutos y decenas de minutos según los informes.

Desde la suspensión de los retiros hasta la primera fase de reanudación, pasaron aproximadamente 56 horas. Las estimaciones del tamaño del robo varían: Chainalysis estima aproximadamente 5.912 mil millones de dólares al precio de mercado en el momento del robo, mientras que TRM estima aproximadamente 6.36 mil millones de dólares. TRM atribuyó el evento a la organización de hackers norcoreanos TraderTraitor con una "alta confianza", y el FBI también llegó a la misma conclusión; Binance indicó que la investigación aún no ha atribuido la responsabilidad a ninguna persona. Como referencia, en febrero de 2025, Bybit fue hackeado por aproximadamente 1.46 mil millones de dólares, que hasta entonces era el récord de la industria.

Durante el período de suspensión de retiros, las operaciones de spot y futuros de Binance continuaron normalmente, mientras que los retiros y algunos productos como Alpha estaban restringidos.

Los usuarios aún podían comprar y vender en Binance, y los creadores de mercado podían seguir cotizando, pero ambas partes no podían mover su inventario a otros intercambios a través de retiros.

II. Cambios en transacciones, posiciones y precios

Según CoinDesk, el 30 de octubre, el BTC cayó un 3.1% en 24 horas, alcanzando un mínimo de aproximadamente 76,400 dólares; el ETH cayó aproximadamente un 4%, llegando a caer a aproximadamente 2,170 dólares; el BNB cayó un 6.2%. El volumen de transacciones de derivados aumentó un 74%, alcanzando 346.1 mil millones de dólares. Durante el mismo período, se liquidaron aproximadamente 1.57 mil millones de dólares en toda la red, principalmente en posiciones largas. Según datos de CoinGlass, aproximadamente la mitad de estas liquidaciones ocurrieron en Binance, lo que también confirma que las operaciones de futuros en Binance seguían funcionando durante la suspensión de retiros.

Los datos de Kaiko (Bloomberg) muestran que la participación de Binance en las transacciones de spot de los diez principales intercambios cayó del aproximadamente 51% a mediados de agosto al aproximadamente 48% antes del incidente, y luego cayó aún más al aproximadamente 42% en los siete días posteriores al incidente. Durante el mismo período, OKX aumentó de aproximadamente 11% a aproximadamente 14%, y Coinbase de aproximadamente 9% a 9.6%.

Hyperliquid fue la plataforma más discutida esa noche. CoinDesk informó que los contratos no liquidados de HYPE aumentaron un 28%, y el volumen de transacciones creció casi 8 veces. Sin embargo, el mismo día, Trade.xyz anunció que había recibido inversión de Intercontinental Exchange (ICE), un anuncio que se hizo antes del robo de Binance. Los datos actuales no pueden distinguir el impacto de estos dos eventos en el aumento de HYPE, por lo que no se puede atribuir todo el aumento a la fuga de fondos de Binance.

Estos datos muestran la transferencia de actividad comercial, pero no son suficientes para demostrar que los fondos también se trasladaron simultáneamente. Para realizar un pedido en OKX durante la suspensión de retiros de Binance, se requería que ya hubiera margen y stock en la cuenta. La participación de Binance cayó aproximadamente 6 puntos porcentuales en una semana. Nuestro juicio es que los fondos que las principales instituciones habían mantenido en varios intercambios anteriormente facilitaron esta ajuste.

III. Diferencias de precios generadas por el intercambio de monedas de los hackers y ganancias de arbitraje

Los hackers, ansiosos por intercambiar monedas, incurrieron en costos superiores al precio de mercado en las transacciones en cadena, lo que también dejó espacio para los arbitrajistas.

Las stablecoins podrían ser congeladas por el emisor, lo que llevó a los hackers a apresurarse a intercambiar USDT por ETH. Según un análisis de TRM, los hackers intercambiaron aproximadamente 325 millones de USDT por aproximadamente 122,300 ETH, con un precio promedio implícito de aproximadamente 2,657 dólares, mientras que el precio de mercado en ese momento era de aproximadamente 2,300 a 2,350 dólares. La liquidez en cadena es limitada, y este tipo de operación de intercambio apresurada y sin considerar el precio incurrió en un claro sobreprecio.

Bitquery estima que la pérdida de ejecución de los hackers en relación con el precio de mercado fue de aproximadamente 119 millones de dólares, de los cuales aproximadamente la mitad fue obtenida por traders y bots de arbitraje, neteando aproximadamente 60 millones de dólares después de deducir costos. Según Bloomberg, los constructores de bloques y validadores de Ethereum también obtuvieron aproximadamente 29.5 millones de dólares. Los datos de DefiLlama muestran que Titan Builder tuvo ingresos de aproximadamente 22.83 millones de dólares en 24 horas, ocupando el primer lugar entre todos los protocolos.

TRX también mostró diferencias de precios. James Aitchison de Caerus Global Management dijo a Bloomberg que los hackers compraron TRX en SunSwap a aproximadamente 36.7 centavos, mientras que el precio en otros lugares era de aproximadamente 33 centavos, y esta diferencia de precios se cerró aproximadamente 10 horas después. También se observaron desviaciones de precios entre intercambios centralizados. Según ChainCatcher, Alex Thorn, director de investigación de Galaxy, señaló que el precio de Bitcoin en Coinbase se descontó en relación al precio de Binance en USDT, alcanzando el mayor descuento del año.

Normalmente, los arbitrajistas pueden comprar en lugares donde el precio es bajo y vender en lugares donde el precio es alto, y luego ajustar los activos a través de retiros y cerrar posiciones, lo que hace que las diferencias de precios se reduzcan gradualmente. Después de que Binance suspendió los retiros, este canal de ajuste se bloqueó, dificultando a los arbitrajistas mover su inventario y haciendo que las diferencias de precios entre diferentes lugares fueran más difíciles de eliminar.

IV. Flujo de fondos después de la reanudación de los retiros

Después de que se reanudaron los retiros, los fondos comenzaron a salir de las cuentas de Binance.

Tabla 2｜Flujo de fondos después de la reanudación de los retiros. Fuente: ver la sección de fuentes en la tabla; las ventanas de estadísticas de diferentes plataformas son diferentes, por lo que no se pueden sumar directamente

Según estas estadísticas, los fondos que fluyeron hacia otros intercambios centralizados y hacia intercambios en cadena no son suficientes para corresponder a la mayor parte del volumen de retiros de Binance. Tendemos a creer que más fondos se retiraron de los intercambios y permanecieron en las billeteras de los usuarios. Sin embargo, las ventanas de estadísticas de cada plataforma son diferentes, por lo que esto sigue siendo una inferencia sobre el destino de los fondos.

Geoff Kendrick de Standard Chartered cree que este evento podría acelerar la transición hacia intercambios descentralizados (ChainCatcher). Este juicio a medio y largo plazo aún no se ha reflejado en los datos de fondos de la semana del incidente. Según datos de The Block, el volumen de transacciones de spot en DEX en octubre fue aproximadamente el 23% del de CEX; en términos de este volumen, los intercambios en cadena aún desempeñan principalmente un papel complementario.

V. Exposición de los creadores de mercado y comparación con FTX y Bybit

La noche del incidente, Wintermute y GSR revelaron rápidamente su exposición. El CEO de Wintermute, Evgeny Gaevoy, indicó que la exposición de la empresa en Binance era inferior al 20% de su patrimonio neto, y que las operaciones no se verían afectadas; el CEO de GSR, Xin Song, indicó que la exposición de GSR era inferior al 5% de su patrimonio neto. Las revelaciones de ambas empresas muestran que han limitado la proporción de activos que permanecen en un solo intercambio.

FTX experimentó aproximadamente 6 mil millones de dólares en retiros netos en 72 horas y suspendió las transferencias fuera de fiat el 8 de noviembre de 2022, lo que luego se confirmó que había un déficit en los activos de los usuarios. Binance, al suspender los retiros debido al robo de su billetera caliente, continuó con las operaciones normalmente, y las pérdidas fueron asumidas por los fondos de la empresa, habiendo compensado aproximadamente el 95% hasta el 1 de noviembre. La existencia de un déficit en los activos y la capacidad de compensar las pérdidas son factores importantes para entender las diferencias en la reacción del mercado ante las dos suspensiones de retiros.

Bybit no suspendió los retiros después de ser hackeado por aproximadamente 1.46 mil millones de dólares en 2025. Según su cronología publicada, más de 350,000 solicitudes de retiro fueron procesadas en un 99.994% en menos de 10 horas. Un informe de Kaiko publicado por Bybit muestra que su profundidad de mercado de Bitcoin del 1% se recuperó a los niveles previos al incidente en 30 días. La suspensión de retiros de Binance para garantizar la seguridad de los activos también limitó la redistribución del inventario, dificultando la convergencia de las diferencias de precios; Bybit, al mantener el canal de retiros abierto, tuvo que soportar la presión de una corrida continua de retiros.

Las instituciones también pueden gestionar la exposición de sus activos y límites de negociación a través de liquidaciones extrabursátiles. Ceffu lanzó Binance Mirror en enero de 2023, permitiendo a las instituciones mantener activos en una billetera fría aislada y luego reflejarlos 1:1 en cuentas de Binance para operaciones; MirrorX, por su parte, realiza liquidaciones automáticas extrabursátiles en T+1. Los informes públicos aún no han aclarado si estos arreglos se vieron afectados por este evento, ni cómo se liquidaron los clientes durante la suspensión de retiros, lo que aún debe ser revelado por Binance o Ceffu.

VI. Cinco preguntas para evaluar la exposición de los intercambios

Tabla 3｜Lista de verificación para la verificación de la exposición de los intercambios. Fuente: Investigación y organización de BigTime

En este evento, parte de las transacciones se trasladaron a lugares como OKX y Hyperliquid, y la diferencia de precios generada por el intercambio de monedas por parte de los hackers proporcionó ganancias a los arbitrajistas y constructores de bloques. Al mismo tiempo, los fondos en las cuentas de Binance fueron difíciles de retirar antes de la reanudación de los retiros; los datos posteriores a la reanudación apoyan más la inferencia de que los fondos se retiraron de los intercambios y regresaron a las billeteras de los usuarios. Además de comparar intercambios, los creadores de mercado también deben verificar: una vez que se interrumpen los retiros, ¿cuánto tiempo puede mantenerse el inventario existente y si los fondos en otros lugares son suficientes para completar la cobertura? Para una visión general del panorama del sector de creadores de mercado, consulte "Mapa de la industria de creadores de mercado de criptomonedas: GSR y sus competidores"; para la transparencia de los términos entre creadores de mercado y proyectos, consulte "La transparencia de los contratos de creadores de mercado detrás de la entrada de creadores de mercado".