Escrito por: immrape
Recopilado por: AididiaoJP, Foresight News
Este artículo describe patrones estadísticos en el comportamiento de cuentas públicas. Las afiliaciones a "bandos" mencionadas en el texto se basan en señales de afinidad ecológica visibles en el contenido público y los patrones de interacción de las cuentas; son inferencias y no constituyen una acusación de que ninguna institución o individuo haya contratado o dirigido a otros. "Coordinación" aquí es un concepto de las ciencias del comportamiento, no una conclusión legal de colusión. Este artículo no retransmite contenido que contenga insultos o ataques personales; cualquier institución o individuo nombrado o involucrado en el texto puede responder a los datos y las inferencias.
Hallazgos clave
- Escala: En aproximadamente 78 horas desde el incidente, 1.083 cuentas de la muestra publicaron 11.700 tuits hostiles dirigidos a Binance, sumando aproximadamente 20,93 millones de impresiones. De estos, el 79,6% no fueron publicaciones independientes sino respuestas adjuntas a publicaciones de otros; otros 3.354 fueron verificados uno por uno como información falsa y clasificados en 15 tipos de rumores.
- Ritmo: El contenido hostil no fue un desahogo emocional que decayó naturalmente tras el incidente. Cambió de tema al compás de cada una de las acciones públicas de Binance: tras prometerse una compensación, el tema pasó a "insiders"; tras divulgarse la escala del impacto y la investigación preliminar, pasó a "insolvencia" y "operación amateur"; tras anunciarse el calendario de retiros, pasó a "movilización para una corrida bancaria"; tras reanudarse los retiros, pasó a "las salidas están exageradas" y "desviar tráfico a competidores".
- Coordinación: Entre las 641 cuentas más activas, 452 tenían relaciones de coordinación observables con otras cuentas, sumando 1.186 vínculos por pares. 444 cuentas formaron una red conectada, agrupándose automáticamente en 11 grupos, con claras diferencias en lenguaje, temas y estilo de coordinación—presentando varios "bandos" relativamente independientes.
- Dormancia–activación: 964 cuentas (89%) casi nunca mencionaban a Binance en circunstancias normales, promediando no más de 0,2 publicaciones por día, sin embargo fueron activadas colectivamente durante el incidente, con una frecuencia de publicación 24,6 veces la línea base. De estas, 116 también habían aparecido en dos controversias previas relacionadas con Binance.
- Propósito: La información falsa se concentró en tres categorías: negar la autenticidad del incidente (montaje/insiders), negar la solvencia (insolvente/segundo FTX) y negar la disponibilidad de retiros (temor a abrir retiros/colapso en cuanto abran). Las tres apuntan al mismo resultado conductual: instar a los usuarios a retirar sus monedas en el momento en que más necesitan mantener la calma.
- El otro lado: Los datos también muestran que el alcance fue impulsado principalmente por unas pocas cuentas principales: las cuentas con más de 50.000 seguidores publicaron solo el 6,2% de los tuits negativos pero representaron el 68,0% de las impresiones; las 134 cuentas con las puntuaciones más altas bajo las reglas de trolls juntas representaron solo el 0,6% de las impresiones. Centrarse solo en las cuentas pequeñas subestimaría esta operación, y tratar a todos los críticos como trolls sería igualmente erróneo.
CZ y He Yi han dicho muchas veces que Binance ha sufrido ataques reputacionales organizados. La reacción habitual de la industria es burlarse—todo exchange que se mete en problemas parece decir esto. El punto de partida de este artículo no es defender a nadie, sino responder una pregunta que los datos pueden poner a prueba: después de que Binance fuera hackeado, ¿fueron esas voces en X que lo denigraban, lo cuestionaban o incluso lo insultaban un desahogo natural del sentimiento minorista, o había alguien organizándolas, dividiendo el trabajo y dirigiéndolas? La respuesta de la revisión es: junto a un incidente de seguridad real, efectivamente había una operación de narrativa en redes sociales observable corriendo en paralelo, con ritmo y división del trabajo. Su objetivo no era solo Binance, sino también cada usuario ordinario que abrió X en esos días queriendo saber si sus activos estaban seguros.
I. El incidente: qué hizo Binance en 78 horas
En la madrugada del 30 de octubre de 2026, una hot wallet de Binance fue atacada, involucrando aproximadamente 6.300 millones de dólares en activos, el mayor incidente de seguridad en la historia de la industria cripto medido en dólares estadounidenses. La siguiente tabla enumera los principales hitos de respuesta pública en las 78 horas siguientes, todos en UTC+8, y ha sido verificada uno por uno contra las marcas de tiempo incrustadas en los ID de los tuits.
Cronología principal de la respuesta de Binance (UTC+8)
La línea de tiempo en sí no es complicada: confirmar, detener la hemorragia, respaldar, reponer, verificar, recuperar. La respuesta a una crisis de cualquier institución financiera consiste en este conjunto estándar de acciones. Pero cuando la discusión contemporánea sobre Binance en X se superpone a esta línea de tiempo, el panorama cambia por completo.
Volumen de ataques contra las medidas de respuesta de Binance (por hora). Las líneas discontinuas marcan los eventos hito de Binance; las barras muestran el número de tuits maliciosos por hora, con la información falsa mostrada en rojo.
Eventos clave del lado atacante (imagen superior; el tamaño del punto representa las impresiones) y medidas de respuesta de Binance (imagen inferior), presentados segmento por segmento. La imagen superior se centra en las primeras 20 horas tras el incidente; la imagen inferior cubre el tiempo restante.
II. Método: Cómo definir "ataque" y cómo excluir la crítica
Primero, dejemos claro qué no estudia este artículo. Tras el incidente, un gran número de usuarios expresó su preocupación en las redes sociales, preguntó por el progreso, criticó la velocidad de respuesta y describió sus experiencias de retiros bloqueados. Esto es normal, incluso saludable. Cuando una plataforma que custodia los activos de cientos de millones de usuarios sufre un accidente, el pánico y el cuestionamiento son completamente razonables.
El análisis excluye deliberadamente cuatro tipos de contenido: el pánico y la preocupación normales por los fondos en la etapa temprana del incidente; las preguntas de seguimiento razonables, como cuándo se publicará la prueba de reservas y por qué aún no se han abierto los retiros de cierto token, sin conclusiones maliciosas; los reportes fácticos y los datos en cadena; y la insatisfacción genuina de usuarios reales.
Los datos de este artículo fueron recopilados por el autor en los tres días posteriores al incidente. Con la ayuda de herramientas de IA, se realizó un escaneo por lotes de las cuentas que participaron en discusiones relacionadas con Binance en X durante el incidente. Siempre que se cumpliera al menos una de las siguientes condiciones verificables, la cuenta se incluía en la muestra: publicar repetidamente información falsa verificable como falsa; insultar, amenazar o atacar personalmente a individuos; publicar de forma concentrada y repetida contenido hostil homogéneo bajo múltiples publicaciones no relacionadas; y mostrar una coordinación estable con otras cuentas de la muestra. Para cada cuenta de la muestra, se conservó la base de inclusión y el enlace original, lo que resultó en una muestra final de 1.083 cuentas.
Sobre esta base, se recopilaron todas las publicaciones originales y respuestas relacionadas con Binance publicadas por estas cuentas durante el incidente (desde las 05:00 del 30 de octubre hasta las 20:00 del 2 de noviembre). Tras excluir los retuits puros, se obtuvieron 11.700 tuits de 1.083 cuentas, que totalizaron 20,93 millones de impresiones. De estos, 3.354 fueron juzgados uno por uno como falsos y clasificados en 15 tipos de rumores.
En cuanto a la coordinación, se calcularon seis señales observables para cada par de cuentas: si aparecían en la sección de comentarios de la misma publicación; si se mencionaban con @ o se respondían entre sí; si se seguían mutuamente; si había seguimiento unidireccional; si interactuaban con la misma tercera cuenta en una ventana corta; y si publicaban contenido casi idéntico. Una sola señal puede ser coincidencia, pero cuando múltiples señales se acumulan repetidamente para el mismo par de cuentas, la coincidencia se vuelve difícil de explicar. La sección de la red de coordinación se centra en las 641 cuentas más activas durante el incidente, con una ventana de observación desde las 20:00 del 30 de octubre hasta las 20:00 del 2 de noviembre.
Cabe señalar: este artículo solo puede observar el comportamiento público y no puede ni pretende determinar la identidad real ni las fuentes de financiamiento de ninguna cuenta.
III. Ritmo: los ataques siguen las respuestas, no las emociones
Si el ruido negativo en las redes sociales fuera simplemente usuarios desahogándose, debería ser una curva relativamente simple: un pico agudo tras el incidente y luego un descenso lento a medida que la información se aclara. Pero los datos muestran que los temas del contenido hostil cambiaban constantemente, y cada cambio seguía de cerca una acción pública de Binance, a veces incluso adelantándose a ella.
Número de publicaciones por hora de cuentas hostiles el primer día (línea continua) y la proporción de desinformación (línea discontinua)
Las primeras horas: domina el pánico, las teorías conspirativas están dispersas
Tras el incidente en las primeras horas del 30 de octubre, la discusión en la plataforma estalló, con un tono principal de pánico y curiosidad: ¿sigue ahí el dinero, quién lo hizo y qué magnitud tiene? Entre las cuentas de la muestra, las afirmaciones de "montaje propio" y "filtración interna" aparecieron en la hora siguiente a que se conociera la noticia, pero la mayoría eran preguntas dispersas y tentativas, con una formulación típica como "¿Podría ser esto un filtrador interno?". En esta etapa, la desinformación representó alrededor del 30% de la producción de la muestra, y el resto fue mayoritariamente expresión emocional e información reenviada.
Solo hubo unos pocos nodos identificables en la etapa temprana: a las 05:06, una cuenta retransmitió que "Tether congeló 971 millones, Binance aún no ha emitido un comunicado"—el punto de ataque no era el monto, sino el silencio; a las 05:13, una publicación que decía "No se puede retirar dinero, se acabó" recibió 181 comentarios, la mayor cantidad entre las publicaciones negativas. Esto se parecía más a una alarma en un vacío informativo que a una narrativa sistemática.
Tras la promesa de compensación: las teorías conspirativas toman el escenario
A las 08:13, Binance anunció que asumiría todas las pérdidas. Según el sentido común, esto debería haber hecho respirar tranquilos a la mayoría de los usuarios ansiosos. Pero en los datos, la narrativa de "montaje propio / filtración interna / cómplice" entró precisamente en su fase más densa después de este nodo, alcanzando 9,3 publicaciones por hora en la posterior etapa de "estimación de pérdidas e investigación preliminar", el máximo para esta narrativa en todo su ciclo.
El punto de inflexión fue alrededor de las 10 de la mañana de ese día. A las 10:11, una cuenta en chino publicó que "Binance envió 50 autorizaciones 7702 el día 14, una entró en vigor, muy probablemente con cooperación interna", lo que recibió 342.000 impresiones, convirtiéndose en la publicación más difundida y más engañosa de esta etapa, 14 minutos antes de que Binance revelara la ruta del ataque a las 10:25. La lógica de esta narrativa merece ser desglosada por separado: si Binance está dispuesto a compensar, entonces el dinero era originalmente suyo; si el hacker no tomó BNB, entonces fue un filtrador interno; si la congelación llegó tan rápido, entonces hubo preparación previa. Cada hecho que debería haber demostrado una respuesta eficaz fue reinterpretado como evidencia de un delito. Esta es una narrativa infalsable—cualquier refutación puede encajarse en el marco de "reacción exagerada".
Tras la publicación de la escala del impacto y la investigación preliminar: "a punto de colapsar" y "operación amateur"
A las 10:25, Binance reveló una escala de impacto de aproximadamente 6.300 millones de USD y la investigación preliminar. Después de eso, las narrativas de "huida", "colapso", "insolvencia" y "el próximo FTX" se expandieron rápidamente, alcanzando un promedio de 6,9 publicaciones por hora en la posterior etapa de "comienza la recapitalización" (desde las 11:00 del 30 de octubre hasta las 14:30 del 31 de octubre). Esta narrativa totalizó 465 publicaciones, de 219 cuentas, con alrededor de 3,17 millones de impresiones, convirtiéndose en la narrativa individual con mayor exposición en este evento.
Vale la pena señalar la relación entre esta narrativa y la suspensión de retiros. Suspender los retiros antes de que se investigue completamente un incidente de seguridad es una práctica estándar para evitar la propagación de pérdidas; restaurar apresuradamente los retiros antes de que la ruta del ataque esté completamente bloqueada podría invitar a un segundo ataque. Pero en la narrativa del ataque, la suspensión de retiros se interpretó uniformemente como "no hay dinero" o "tienen miedo de abrir", y se utilizó como palanca para exigir que Binance "abra los retiros de inmediato".
La investigación preliminar mencionó que "el portátil de un ingeniero de DevOps podría haber sido comprometido". Solo tres minutos después, a las 10:28, aparecieron refutaciones: "¿Puede un solo portátil drenar 6.300 millones?". La narrativa de "tecnología débil" y "operación amateur" alcanzó 4,2 publicaciones por hora en esta etapa, de dos a cuatro veces la de otras etapas. Algunos contenidos de alta exposición reprocesaron las conclusiones de la investigación—convirtiendo "podría involucrar" en una conclusión definitiva, o extrapolando afirmaciones no verificadas como "más de una billetera fue comprometida" y "también se perdió BTC", con publicaciones individuales que superaron las 100.000 impresiones.
En la noche del 1 de noviembre, un rumor comenzó a circular en comunidades de habla china e inglesa: un ingeniero de operaciones de Binance tuvo un enredo amoroso con una espía norcoreana y dejó su portátil a un lado el día del incidente. El autor buscó en X publicaciones relacionadas desde el 30 de octubre: la versión más temprana rastreable apareció a las 21:22 del 1 de noviembre, publicada por una cuenta de agregación de noticias en inglés con unos 7.000 seguidores en forma de flash informativo en mayúsculas, afirmando que la información provenía del detective on-chain ZachXBT. La publicación recibió unas 634.000 visualizaciones, 4.458 me gusta, 258 republicaciones y 367 respuestas. Unas 1,5 horas después, un KOL en inglés con unos 700.000 seguidores la republicó bajo el título «El hackeo de Binance podría involucrar a un insider», con unas 63.000 visualizaciones. La versión en chino apareció alrededor de las 21:49, seguida de una gran cantidad de versiones traducidas con una redacción casi idéntica, la mayoría comenzando con «Nuevas acusaciones no confirmadas afirman...»
Alrededor de la 1 a. m. del 2 de noviembre, He Yi respondió públicamente: «Esta historia es más dramática, pero no es cierta, y ZachXBT tampoco lo dijo». El flash informativo en inglés que republicó la negación recibió unas 69.000 visualizaciones. Pero tras la negación, la difusión en la comunidad china no se detuvo. En la mañana del 2 de noviembre, una cuenta china con unos 96.000 seguidores siguió publicando, comenzando con «El mayor robo financiero de la historia, el eslabón más absurdo puede que no sea el código, sino un romance», con unas 12.000 visualizaciones y 42 respuestas; otra cuenta con unos 90.000 seguidores publicó bajo el título «El drama de espionaje de una espía norcoreana que 'sedujo' a un ingeniero de Binance», con unas 7.600 visualizaciones; una cuenta central del Clúster 1 de la red coordinada también publicó a las 08:43 afirmando «Se rumorea que un ingeniero de DevOps se enamoró de una espía norcoreana», con unas 3.000 visualizaciones, añadiendo solo al final la negación de He Yi. Algunos usuarios chinos también notaron la anomalía, publicando que «Últimamente no dejo de ver publicaciones idénticas... todo contenido de relleno generado por IA, publicado repetidamente con cambios».
Para ser justos: la cuenta originaria de este rumor no está dentro de la muestra. Según los criterios de la muestra, el contenido relacionado fue de unas 68 publicaciones con unas 230.000 impresiones, y las cuentas de la muestra participaron de forma limitada. Se incluye aquí porque reforzó la narrativa de «tecnología débil»—la primera le dio a la segunda una cáscara narrativa más difundible.
Tras el anuncio de la línea de tiempo: el período de espera fue reescrito como «retraso»
A las 23:23 del 30 de octubre, He Yi publicó un video dando una línea de tiempo de recuperación de 42 horas; a las 12:48 del 1 de noviembre, Binance anunció la hora de restauración de retiros de la primera fase. En un entorno informativo normal, este era el momento en que los usuarios más deberían haber respirado aliviados. El lado atacante empujó dos líneas al mismo tiempo.
Una línea reescribió la espera como retraso y retrató la garantía como fraude. Una de las principales fuentes de la narrativa inglesa de «montaje propio» publicó a las 12:26 del 31 de octubre que «Binance fingió un hackeo de miles de millones de dólares para evadir responsabilidades con los clientes», recibiendo 279.000 impresiones; la narrativa del «insider» también ganó una nueva lectura: anunciar la hora de retiro era meramente una «táctica dilatoria» para «hacer más conveniente la transferencia de activos». La otra línea llamaba a «correr en cuanto se abra la puerta»: ya a las 22:38 del 30 de octubre, una cuenta que había tenido 36 interacciones de respuesta con otra cuenta atacante en tres días publicó en mayúsculas, «En el momento en que Binance restaure los retiros, transfiere tus fondos de inmediato»—casi 40 horas antes de que los retiros se reanudaran realmente; a las 20:22 del 31 de octubre, otra cuenta escribió, «Supongamos que Binance abre los retiros... pronto volverá a cerrarlos, desencadenando un círculo vicioso y una corrida bancaria, ¡y colapsará directamente!». No declaraba hechos, sino que tendía rieles emocionales de antemano para que los lectores se deslizaran automáticamente por ellos cuando se abrieran los retiros.
Cuando se reanudaron los retiros: la movilización por la corrida bancaria alcanzó su punto máximo
El contenido de movilización—«vete ya», «retira en el primer minuto que puedas», «corrida bancaria»—se disparó a 11,2 publicaciones por hora en la etapa de «restauración por fases» (de las 14:00 a las 16:12 del 1 de noviembre), más de cuatro veces el promedio de las cuatro etapas anteriores, y también la mayor intensidad de una sola etapa entre todas las narrativas de este evento. Dos narrativas cooperaron aquí: una creó la urgencia de «debes irte de inmediato», y la otra explicó «por qué las declaraciones oficiales no son creíbles».
Rotación de narrativas: número de tuits hostiles por hora en cada etapa. Cada fila representa un tipo de narrativa; cuanto más oscuro el color, más cerca está esa narrativa de su pico en esa etapa, y diferentes narrativas alcanzan su pico en etapas diferentes.
Tras la reanudación de los retiros: exagerar las salidas y desviar el tráfico hacia los competidores
Tras la reanudación de los retiros, el foco del contenido hostil se desplazó a los datos de salida. A las 02:02 del 2 de noviembre, CZ reveló que las salidas netas en las 12 horas posteriores a la restauración de los retiros fueron del 2,1%. Solo seis minutos después, a las 02:08, una cuenta anglófona de alta frecuencia publicó que "Binance está experimentando hoy su mayor salida neta de la historia, -4.250 millones de USD", y luego publicó una versión en chino: "En las últimas 12 horas... la salida neta alcanzó un récord de 4.360 millones de USD", acompañada de la analogía "FTX tardó menos de 48 horas en pasar de la normalidad al colapso", y a las 07:19 añadió que "ha superado la salida neta previa al colapso de FTX", con una sola publicación que recibió 193.000 impresiones; a las 12:23 de ese día, la cifra se actualizó a "6.100 millones de USD", junto con la afirmación de que "531 de 552 tokens todavía no se pueden retirar".
Los dos conjuntos de datos no necesariamente entran en conflicto numérico; una salida absoluta de varios miles de millones de USD y una cuota del 2,1% pueden estar hablando de lo mismo. La diferencia radica en el encuadre: el primero elimina el denominador, injerta la analogía con FTX y empaqueta un pico de retiros ordinario como la víspera de un colapso.
En la misma etapa, aumentó el contenido que desviaba tráfico hacia los competidores: mientras se discutía el hackeo, se aconsejaba a los usuarios "primero transferir a tal o cual exchange para evitar el riesgo", o se les decía que "entre todos los exchanges, solo tal o cual nunca ha sido hackeado". Dicho contenido no era abundante en cantidad (31 publicaciones), pero las publicaciones individuales tenían una alta eficiencia de difusión, sumando casi 200.000 impresiones. Una muestra típica: el 1 de noviembre a las 14:37, 17 minutos después de que se reanudaran los retiros de BTC, un KOL chino publicó "Un amigo A9 dijo que nunca volverá a poner monedas en Binance, ni siquiera con una tasa anualizada superior al 6%... Corea del Norte abrió la caja de Pandora de Binance", lo que recibió 108.000 impresiones; el mensaje central era "sin respaldo soberano, es más seguro poner los fondos en otro lugar". Una redacción similar también apareció en la comunidad anglófona, como "Si Binance cae, ¿se convertirá Hyperliquid en el exchange líder de la industria?".
Rumores de compensación: crear una sensación de "trato diferente"
En la noche del 1 de noviembre, comenzaron a aparecer una serie de afirmaciones falsas sobre una "compensación de 150 USD por retiro", con la frase plantilla "Retiros suspendidos, compensación gratuita de 150 USD, consulta el centro de recompensas". De las 35 publicaciones relacionadas, 27 se concentraron en las seis horas comprendidas entre las 19:00 del 1 de noviembre y la 01:00 del 2 de noviembre, con 9 en la sola hora de las 20:00; cinco cuentas publicaron una redacción idéntica, una de las cuales tenía solo dos seguidores. A las 21:11, Binance respondió bajo la publicación original: "Esta es información falsa; la captura de pantalla ha sido alterada digitalmente".
Un anuncio falso de "compensación de 150 USD por retiro": cinco cuentas publicaron contenido idéntico en seis horas, incluidos enlaces de phishing que dirigían a los usuarios a un "centro de recompensas".
En cuanto a afirmaciones como "recompensas en efectivo por no retirar" o "exclusivo para usuarios de regiones específicas", estas aparecieron solo de forma esporádica en la muestra y aún no habían alcanzado una escala medible, por lo que este artículo no extrae conclusiones cuantitativas sobre ellas. Sin embargo, la estructura de tales afirmaciones es coherente con las narrativas anteriores: no atacan directamente a la plataforma, sino que crean una sensación de que los usuarios reciben un "trato diferente", al tiempo que fomentan aún más los retiros. Binance ha declarado claramente que nunca ha ofrecido recompensas a usuarios de ninguna región con la condición de no retirar.
Varias corrientes subterráneas presentes a lo largo de todo el asunto
- Politización: afirmaciones como "el paraguas protector de Binance es Trump" y "pagaron dinero de protección" sumaron 377 publicaciones, alcanzando su punto máximo durante la etapa de recuperación.
- Sacar a relucir viejas cuentas pendientes: vincular este incidente con la grave volatilidad del mercado en 2025, afirmando que el hackeo fue para "blanquear cuentas antiguas"—280 publicaciones, 690.000 impresiones, concentradas mayoritariamente en las dos primeras etapas tras el incidente.
- Manipulación del mercado: "mercado alcista artificial", "el mercado cayó porque Binance vendió", "reescribieron el K-line"—253 publicaciones de 148 cuentas. El 1 de noviembre a las 13:32, una cuenta ya preguntaba: "Si Binance sobrevive a esta racha, ¿impulsará proactivamente un mercado alcista artificial?"
- Narrativas preestablecidas: antes de que Binance tomara cualquier medida, las cuentas afirmaron de antemano que "definitivamente lanzará productos de alto rendimiento a continuación" y que "definitivamente bombeará y listará monedas", y etiquetaron previamente estas acciones como "prueba de insolvencia". El 2 de noviembre a las 20:25, Binance lanzó un programa de recompensas para usuarios con hasta un 10% de rendimiento anualizado—una medida estándar de la industria tras una crisis—que cayó exactamente dentro del marco interpretativo preestablecido. Actuara Binance o no, su posición ya era desfavorable.
IV. Clasificación de rumores: qué afirmaciones se difundieron más lejos
Las 3.354 publicaciones juzgadas como falsas se agruparon en 15 categorías según la afirmación central. Ordenadas por impresiones acumuladas, los principales tipos son los siguientes.
Impresiones acumuladas, número de publicaciones y número de cuentas para los distintos tipos de información falsa
]
Principales tipos de rumores
Varios detalles merecen atención. Primero, la categoría de "prueba técnica falsa" no era grande en cantidad, pero las publicaciones individuales se difundieron más lejos—con un promedio de aproximadamente 6.800 impresiones por publicación, casi cuatro veces más que la categoría de "autoescenificación". Este tipo de contenido solía aparecer como publicaciones largas, citando terminología real (autorización 7702, multifirma, numeración de monederos calientes) y extrayendo conclusiones erróneas bajo la apariencia de detalle técnico; por ejemplo, "BTC usa ECDSA, Solana usa Ed25519, un portátil no puede firmar diez cadenas en 20 minutos". Para lectores sin formación técnica, resulta más persuasivo que las acusaciones puramente emocionales.
Segundo, la "información falsa que suplanta a Binance" tuvo solo 5 publicaciones pero recibió casi 300.000 impresiones. Este tipo de contenido falsificaba planes oficiales de compensación o anuncios de listado de monedas, a menudo acompañados de enlaces de phishing, y puede ser el más directamente perjudicial para los usuarios de todos los tipos.
Tercero, estas narrativas se contradicen entre sí. El mismo lote de cuentas decía tanto que "Binance lo escenificó ella misma" (lo que significa que el dinero no se perdió realmente) como que "Binance es insolvente" (lo que significa que el dinero se perdió realmente y no puede compensarse); decían tanto que "Binance no se atreve a abrir los retiros" como, una vez abiertos los retiros, que "abrir los retiros es para transferir activos". En una discusión fáctica, estas afirmaciones no pueden sostenerse todas al mismo tiempo; en una narrativa destinada a crear incertidumbre, no necesitan ser coherentes entre sí—cada una solo necesita cumplir su propia tarea en un momento diferente.
V. Coordinación: una red, varios bandos
Si estos contenidos provinieran de individuos no relacionados, las relaciones entre las cuentas deberían ser escasas y aleatorias. Los datos muestran otra estructura. Entre las 641 cuentas más activas, 452 tenían una relación de coordinación con al menos otra cuenta, totalizando 1.186 vínculos de coordinación por pares. Desglosados por tipo de señal: 651 menciones mutuas @ o respuestas; 466 apariciones simultáneas en la misma sección de comentarios; 267 interacciones con la misma tercera cuenta en una ventana corta; 224 seguimientos unidireccionales; 143 seguimientos mutuos; 67 contenidos casi idénticos. De estos vínculos, 608 portaban dos o más señales al mismo tiempo.
Las 444 cuentas formaron una red conectada—partiendo de cualquier cuenta, se podía llegar a las otras 443 a lo largo de las relaciones de coordinación.
La red de coordinación de cuentas atacantes (el componente conectado más grande). Cuanto más grande es el punto, más enlaces de coordinación tiene la cuenta; los marcadores de color representan diferentes ámbitos de coordinación.
Los pares de cuentas más estrechamente vinculados ilustran mejor qué significa "coordinación": el par con mayor peso se @mencionó o respondió mutuamente 36 veces en tres días; otro par apareció junto en cinco secciones de comentarios idénticas, interactuó cinco veces y publicó contenido casi idéntico ocho veces; y otras dos cuentas tuvieron dos registros de "contenido 100% idéntico". Los nodos centrales de la red son igualmente reveladores: la cuenta más conectada estaba vinculada a 63 cuentas, publicó 29 tuits hostiles y recibió 741.000 impresiones; otra cuenta publicó solo 7 veces en tres días y, sin embargo, recibió 742.000 impresiones y estaba vinculada a 41 cuentas. En contraste, dos "cuentas spam" publicaron cada una más de 120 veces, recibieron cada una menos de mil impresiones, pero fueron los puntos de conexión más densos en las secciones de comentarios. Las primeras marcaban el tono, las segundas aportaban el volumen; esta división del trabajo es en sí misma un rastro de organización.
Detalles de la red: el nodo central más conectado (centro) y sus 63 cuentas asociadas. Las líneas rojas indican conexiones coordinadas con el nodo central; las líneas grises indican conexiones entre las cuentas asociadas.
Ejecutar detección de comunidades no supervisada en esta red (el algoritmo solo examina la estructura relacional y no hace referencia a ninguna etiqueta manual) produce 11 clústeres. Los cinco principales difieren notablemente en tamaño, idioma y estilo de coordinación.
Los cinco clústeres coordinados principales
El clúster 3 merece especial atención. 66 cuentas publicaron 1.135 publicaciones en tres días, un promedio de 17 por persona, pero las impresiones totales fueron solo de unas 170.000, menos de 2.600 por persona. Estas cuentas casi nunca publican de forma independiente; en cambio, aparecen en lotes en las secciones de comentarios de las mismas publicaciones, con mayor frecuencia bajo publicaciones de ejecutivos de Binance y cuentas centrales. Su labor no es hacer que más personas vean un determinado punto de vista, sino hacer que quienes ven la publicación sientan que "todos piensan así".
Detalles de la red: Clúster 3 (el clúster de hilos de comentarios). Las conexiones entre miembros se manifiestan principalmente como "aparecer juntos en el mismo hilo de comentarios".
Dos tácticas en las secciones de comentarios
La primera es "enjambrar para generar impulso". Cuando una cuenta publica contenido hostil, el mismo lote de cuentas inunda la sección de comentarios en un breve intervalo, haciendo eco, complementando y amplificando las acusaciones. Para un usuario común que abre casualmente la publicación, lo que ve no es el punto de vista de una persona, sino una pantalla llena de voces unánimes. En múltiples publicaciones hostiles de altas impresiones revisadas en la muestra, las cuentas de la muestra representaron del 25% al 47% de los comentarios, y estos comentarios representaron del 22% al 44% de las impresiones de la publicación; bajo una publicación de una cuenta pequeña, 11 de los 12 comentaristas pertenecían a la muestra.
El segundo es "asedio y despeje del campo". Cuando un usuario publica en defensa de Binance, o simplemente expone información oficial de manera objetiva, el mismo lote de cuentas entra en la sección de comentarios y ataca al autor con etiquetas como "lamebotas", "perro de Binance", "cuánto te pagaron" y "esquirole pagado", sin abordar el contenido. Durante el incidente, 133 cuentas de la muestra publicaron 234 publicaciones de este tipo, el 79% de las cuales eran respuestas bajo publicaciones de otros. La lógica se asemeja al mecanismo de aislamiento del acoso escolar: en lugar de atacar directamente al objetivo, hace que todo aquel que se acerque al objetivo pague un precio. Un usuario común publica una sola línea, "Creo que Binance puede manejar esto", y recibe decenas de ataques personales a cambio; la próxima vez lo más probable es que elija el silencio. Este es el efecto enfriador: lo que suprime no es un punto de vista, sino la voluntad de expresarse.
Ataques a individuos
Durante el incidente, 421 publicaciones fueron principalmente ataques personales contra el fundador y cofundador de Binance, provenientes de 103 cuentas. Una porción considerable se dirigió al embarazo de He Yi, utilizando un lenguaje extremadamente insultante, con publicaciones individuales que superaron las 100.000 impresiones, algunas escalando a maldiciones contra el niño por nacer. Este artículo no reproduce estos contenidos. Cabe decir que dicho contenido no tiene relación con el incidente de seguridad; su existencia demuestra solo una cosa: para algunos participantes, el propósito nunca fue discutir el incidente, sino atacar a personas.
Bandos
Basándose en señales de afinidad ecosistémica visibles en el contenido público de las cuentas (por ejemplo, promoción concentrada a largo plazo de una determinada plataforma, interacción de alta frecuencia con empleados de esa plataforma, redirección continua de tráfico a competidores mientras se ataca a Binance), se asignaron etiquetas de bando a algunas cuentas. Debe enfatizarse una vez más: estas etiquetas describen tendencias en el contenido público, no una determinación de ninguna relación laboral.
Cuentas y vistas por etiqueta de bando (1.083 cuentas)
Dos hechos estructurales merecen atención. Primero, las impresiones per cápita más altas no pertenecen al grupo más numeroso: 69 cuentas que muestran características de afinidad ecosistémica de una determinada plataforma de derivados promediaron unas 39.000 impresiones cada una; 19 cuentas sospechosas de estar relacionadas con defensores de derechos promediaron unas 38.000; 107 cuentas que muestran características de afinidad ecosistémica de un determinado exchange promediaron unas 25.000; mientras que 874 cuentas sin etiqueta promediaron unas 17.000. Segundo, "sin etiqueta" no equivale a "individuo aislado". No tienen etiqueta porque no se observó en su contenido público una promoción clara de plataforma ni interacción directa con empleados de plataforma, y por cautela se mantuvieron como "independientes"; pero en la red de coordinación, muchas están en el mismo clúster que cuentas etiquetadas, compartiendo secciones de comentarios, objetivos de interacción y ritmos narrativos similares. La inferencia del autor es que algunas de ellas pueden ser contratadas por terceros y dedicarse profesionalmente a ataques de reputación, pero actualmente no hay evidencia directa.
Entre las 452 cuentas de la red de coordinación, el mismo estándar permite una mirada más cercana: 63 están etiquetadas con afinidad a OKX (incluidas 33 sospechosas de OKX), mayoritariamente en chino, publicando 343 tuits hostiles y 917.000 impresiones; 23 están etiquetadas con afinidad a HyperLiquid, representando solo el 5,1% del total pero acaparando el 14,3% de las impresiones, con la conectividad promedio más alta entre todos los bandos; 13 son sospechosas de ser defensoras de derechos, cuya retórica se centra principalmente en ataques personales y agravios antiguos; 4 cuentas presentan características de un grupo político chino en el extranjero (el "Nuevo Estado Federal de China" de Guo Wengui), interpretando el incidente como una conspiración política. Entre las 346 cuentas independientes, 189 (54,6%) están directamente conectadas con al menos una cuenta de bando; hay 240 vínculos entre cuentas independientes y cuentas con afinidad a OKX, muy por encima de los 42 vínculos dentro del bando OKX. Los datos apuntan a esto: varios grupos de cuentas con diferentes características de afinidad ecosistémica participaron densamente en ataques contra Binance dentro de la misma ventana, con colaboración cruzada entre ellos; pero los datos no pueden probar que OKX, HyperLiquid o cualquier institución conociera, organizara o financiara estas actividades. La industria sospechaba anteriormente que había cuentas relacionadas con Bitget involucradas; no se encontraron cuentas de bando correspondientes en estos datos.
Gráfico izquierdo: número de enlaces coordinados contabilizados por tipo de señal (un enlace puede portar múltiples señales); gráfico derecho: número de enlaces entre campamentos (la diagonal representa enlaces intracampamento).
Lo que cada campamento quiere es claramente diferente: algunos se centran en la "insolvencia" y la movilización para corridas bancarias mientras promocionan plataformas alternativas; algunos se centran en "desenterrar viejas cuentas", usando eventos para reavivar controversias anteriores; algunos se centran en narrativas politizadas. Curiosamente, una cuenta etiquetada como afiliada a OKX criticó públicamente a una cuenta de noticias de una plataforma de derivados el 31 de octubre por "aprovechar la oportunidad para robar usuarios... alimentarse de sangre y carne humana"—estos campamentos pueden no tener un centro de mando unificado, pero durante estas 78 horas, sus acciones se superpusieron en gran medida en el tiempo y se reforzaron mutuamente en efecto.
VI. Latencia y activación: cuentas que solo despiertan cuando atacan a Binance
Para comprobar si estas cuentas eran meramente "casualmente especialmente activas estos días", tras completar el muestreo el autor rastreó todas las publicaciones públicas previas de las 1.083 cuentas y comparó varias ventanas temporales: dos ventanas ordinarias de diez días sin grandes controversias de Binance (junio y agosto de 2026), y dos ventanas previas de controversias relacionadas con Binance (la controversia "Cathie Wood" de enero a febrero de 2026 y las acusaciones relacionadas con Irán en marzo de 2026).
Casi en silencio en tiempos normales. En ventanas ordinarias, estas cuentas juntas publicaron solo alrededor de 131 elementos relacionados con Binance por día; entre ellos, 964 (89%) promediaron no más de 0,2 elementos por día—la mayoría de las cuentas no mencionarían Binance ni una vez a la semana.
Activación colectiva durante el evento. Durante el evento, estas mismas cuentas publicaron un promedio de 3.228 elementos relacionados con Binance por día, 24,6 veces el nivel normal. Según la medida de red coordinada, entre 452 cuentas, 200 (44,2%) publicaron solo uno o dos tuits hostiles durante tres días, pero aún así tenían relaciones coordinadas verificables con otras cuentas—"baja frecuencia, alta conectividad".
También se habían activado durante controversias anteriores. Durante la controversia "Cathie Wood" de principios de 2026, estas mismas cuentas publicaron un promedio de 480 elementos relacionados con Binance por día, 3,7 veces el nivel normal; 382 cuentas publicaron durante esa ventana. Dentro de esa ventana de diez días, 72 publicaciones tuvieron cinco o más cuentas de la muestra apareciendo simultáneamente en sus secciones de comentarios, mientras que ventanas ordinarias de igual longitud tuvieron solo cuatro.
Algunas cuentas se repiten entre eventos. 116 cuentas publicaron contenido relacionado con Binance tanto en la ronda "Cathie Wood" como en la de Irán.
Para ser justos: en la ventana de acusaciones relacionadas con Irán de marzo, la intensidad general de publicación de estas cuentas (113 elementos por día en promedio) fue comparable a la línea base normal, sin una activación general obvia; sin embargo, 133 cuentas publicaron en esa ventana, y las apariciones simultáneas en secciones de comentarios aumentaron algo. Esto muestra que la "activación sincronizada entre eventos" no es una característica universal de toda la muestra sino que se concentra en un subconjunto.
Un ejemplo típico: una cuenta en inglés no publicó contenido relacionado con Binance en ninguna de las ventanas ordinarias; durante la controversia "Cathie Wood" promedió unos 6 elementos por día, con el tema "tal o cual moneda aún no se ha listado en Binance"; durante este evento promedió más de 17 elementos por día. No discute el mercado, no discute la industria, y solo aparece cuando Binance se convierte en tema.
VII. Por qué lucha: una operación de ingeniería social
El núcleo de la ingeniería social no es la tecnología sino explotar debilidades psicológicas para lograr control. Al unir los datos anteriores, surge el contorno de esta operación narrativa.
No crea eventos; parasita eventos. El incidente de seguridad es real, las preocupaciones de los usuarios son reales, y algunas críticas también son reales. Lo que hace la operación narrativa es injertar conclusiones sobre emociones reales: injertar "suspensión de retiros" sobre "sin dinero", injertar "asumir pérdidas" sobre "auto-montaje", injertar "pico de retiros" sobre "colapso de FTX".
Cambia de tema siguiendo las respuestas, a veces adelantándose. Cada vez que Binance anuncia nuevos avances y la vieja narrativa pierde fuerza, una nueva narrativa toma el relevo dentro de la misma ventana: la teoría del insider apareció 14 minutos antes de que se revelara la ruta del ataque; la pregunta del "único portátil" apareció 3 minutos después de la revelación; la "salida neta récord" apareció 6 minutos después del anuncio de la "salida neta del 2,1%"; las narrativas de competidores aparecieron 17 minutos después de que se reanudaran los retiros; la movilización de "correr en cuanto se abra la puerta" apareció casi 40 horas antes de que los retiros se reanudaran realmente.
Se mezcla entre usuarios reales. El 79,6% del contenido consiste en respuestas en lugar de publicaciones originales, muchas bajo publicaciones de usuarios reales. A los transeúntes les resulta difícil distinguir qué comentarios son preocupaciones de usuarios reales y cuáles son voces organizadas. Esta confusión es en sí misma uno de los objetivos: hace que cualquier respuesta parezca "represión de usuarios".
Tiene una clara división del trabajo. Las cuentas con menos de 300 seguidores publicaron el 44,1% de los tuits negativos pero generaron solo el 5,1% de las impresiones; las cuentas con más de 50.000 seguidores representaron solo el 6,2% del volumen de publicación pero acapararon el 68,0% de las impresiones. Las cuentas principales marcan el tono, mientras que las cuentas pequeñas aportan volumen en las secciones de comentarios, montan asedios y colocan anzuelos de phishing.
Proporción de publicaciones negativas y proporción de impresiones (por nivel de seguidores del autor): las cuentas pequeñas aportan "cantidad", las cuentas grandes aportan "alcance".
Suprime en lugar de debatir. Los ataques personales contra partidarios y los insultos contra fundadores no son discusión factual sino intentos de cambiar quién se atreve a hablar. Y todo esto apunta en última instancia a un resultado conductual: conseguir que el mayor número posible de usuarios mueva sus activos fuera en el menor tiempo posible. Esto es precisamente lo más peligroso tanto para la plataforma como para los propios usuarios durante un incidente de seguridad. Si realmente se formara una corrida bancaria, el daño no se limitaría a una sola empresa; golpearía a cada usuario ordinario que venda a precios bajos presa del pánico o pierda la ventana por la congestión.
Esta vez, la corrida bancaria no ocurrió. Doce horas después de que se reanudaran los retiros, el 98% de los usuarios eligió quedarse. Esto es ante todo un mérito del juicio de los usuarios: en el momento de mayor ruido informativo, la mayoría optó por esperar información oficial, verificar los datos on-chain y formar su propio criterio.
VIII. Limitaciones, contraevidencia y cuestiones por verificar
Primero, coordinación no equivale a contratación. Aparecer simultáneamente en secciones de comentarios o responderse mutuamente también puede ser usuarios genuinos con opiniones similares que se reúnen de forma natural; un comportamiento de cuentas altamente correlacionado no significa directamente pago o dirección. Segundo, las etiquetas de bando no equivalen a la dirección corporativa. Las etiquetas de afiliación a OKX, afiliación a HyperLiquid y presuntos defensores de derechos en este artículo son clasificaciones basadas en comportamiento público; no hay evidencia directa de que ninguna institución haya participado oficialmente, planificado o financiado el ataque. Tercero, este artículo se basa únicamente en datos públicos y no puede cubrir contenido de cuentas eliminadas o protegidas; la recuperación de ventanas históricas está limitada por el alcance de las palabras clave y puede subestimar el volumen real de publicación. Cuarto, la ventana de observación de la red coordinada comienza a las 20:00 del 30 de octubre; faltan los datos de relaciones de aproximadamente las primeras 15 horas tras el incidente, por lo que la coordinación del primer día puede estar subestimada.
Los propios datos también aportan hechos desfavorables a la narrativa del "ejército de trolls". Las 134 cuentas sospechosas de ser ejército de trolls con las puntuaciones más altas bajo reglas verificables representan el 9% de la muestra, y sus publicaciones hostiles juntas recibieron solo unas 18.000 impresiones, un 0,6%; el contenido identificado como plantillas puras de "publicación masiva de ejército de trolls" recibió solo 5.419 impresiones. Entre los tres tipos de rumores con más impresiones, las cuentas sospechosas de ejército de trolls representaron solo entre el 8,5% y el 27,8%. Las grandes narrativas son impulsadas principalmente por un pequeño número de cuentas principales; los ejércitos de trolls hacen más relleno y phishing. Además, los presuntos defensores de derechos tienen agravios genuinos, y su participación no es necesariamente producto de una organización; muchos usuarios hablan basándose en pérdidas reales y preocupaciones reales, y su crítica debe distinguirse estrictamente del comportamiento coordinado que se analiza en este artículo.
Argumentos principales y solidez de la evidencia
Las instituciones nombradas o involucradas en este artículo (incluidas OKX, HyperLiquid y Bitget) y las cuentas individuales relacionadas tienen derecho a responder y aclarar los datos e inferencias de este artículo; tras recibir respuestas o evidencia contraria, este artículo se actualizará en consecuencia.
IX. Conclusión: Cuando veas «Vete ya»
Volviendo a la pregunta del principio: ¿sufrió Binance un ataque reputacional organizado? Usando como muestra los tuits públicos de estas 78 horas, la respuesta de los datos es: existe una red de ataque considerable, altamente interconectada internamente, que cambia de marcha al ritmo de las respuestas de Binance; dentro de ella hay varios grupos con diferentes características de afinidad ecosistémica y diferentes objetivos, que puede que no reciban órdenes del mismo centro de mando, pero actúan por separado dentro de la misma ventana y se coordinan entre sí en las secciones de comentarios. El «alcance» de esta red proviene principalmente de un pequeño número de cuentas principales; su «densidad» proviene de una gran cantidad de cuentas pequeñas que normalmente están silenciosas, tienen pocos seguidores, pero están altamente conectadas.
Los datos también aconsejan prudencia. La coordinación es un hecho medible; la contratación y la instigación son conclusiones que requieren más evidencia. La crítica en sí no es un ataque, y la mayoría de quienes cuestionan son usuarios reales. Lo que realmente merece vigilancia es el tipo de voz que cambia de marcha exactamente en el pico del pánico, aparece en racimos exactamente donde se reúnen los partidarios, y tiene su conclusión escrita exactamente antes de que la otra parte siquiera hable.
Para los exchanges, la lección de este incidente es: en la comunicación de crisis, solo los compromisos y las cifras verificables pueden penetrar el ruido: respaldos, montos, plazos, prueba de reservas. Binance ha declarado que continuará divulgando información en forma verificable, publicará un informe técnico completo posterior al incidente una vez concluida la investigación, seguirá denunciando anuncios falsos de compensación, anuncios falsos de listado y enlaces de phishing publicados suplantando su identidad, y preservará evidencia y remitirá para evaluación legal el contenido que implique amenazas personales.
Para cada usuario común, quizá solo haya un consejo: durante una crisis, mira los anuncios de la plataforma y los datos on-chain. Cuando veas una pantalla llena de voces unánimes en la sección de comentarios, mira una vez más de qué hablan habitualmente estas cuentas; cuando veas cifras asombrosas, pregunta cuál es el denominador; cuando veas «vete ya, es demasiado tarde», pregunta quién desea más que tomes esta decisión en este preciso momento.
Apéndice: Metodología
Alcance de observación: del 30 de octubre de 2026, 05:00, al 2 de noviembre, 20:00 (UTC+8); las ventanas de comparación histórica (muestreo retrospectivo de publicaciones públicas anteriores de las cuentas) fueron del 27 de enero al 5 de febrero, del 10 al 14 de marzo, del 1 al 10 de junio y del 10 al 19 de agosto de 2026. Todas las horas se verificaron cruzadamente con las marcas de tiempo incrustadas en los ID de los tuits.
Muestra: recopilada por el autor dentro de los tres días posteriores al incidente, usando IA para escanear las cuentas que participaron en las discusiones en X; se incluyeron en la muestra 1.083 cuentas que cumplían los criterios, con aproximadamente 11.700 publicaciones recopiladas en total. Se excluyeron los retuits puros, conservando publicaciones originales, respuestas y citas. La sección de la red de coordinación se centró en las 641 cuentas más activas (ventana de observación del 30 de octubre, 20:00, al 2 de noviembre, 20:00).
Juicio de desinformación: la afirmación central de cada elemento se juzgó contra anuncios oficiales, datos on-chain e información autorizada de terceros, y se clasificó en una de 15 categorías; las declaraciones de opinión que no pueden confirmarse ni refutarse no se contaron como desinformación.
Clasificación de narrativas: basada en palabras clave y reglas semánticas, un contenido puede pertenecer a múltiples narrativas simultáneamente; la intensidad de cada fase se convirtió a publicaciones por hora según la duración de cada fase.
Coordinación: suma ponderada de seis tipos de señales entre dos cuentas; los clústeres se identificaron usando el algoritmo de modularidad de Louvain, sin usar ninguna etiqueta manual de bando.
Puntuación de sospecha de ejército de agua: se puntuó según reglas como menos de 50 seguidores, número de seguidos más de tres veces el número de seguidores, menos de 500 seguidores pero más de 2.000 publicaciones, registro reciente, publicar solo respuestas y publicar repetidamente texto idéntico; una puntuación total de 4 o más se consideró sospechosa.
