El ataque cibernético sufrido por Binance el 29 de octubre de 2026, con un impacto estimado en aproximadamente US$ 6.300 millones, reavivó una discusión jurídica fundamental en el mercado de criptoactivos: ¿hasta dónde llega la responsabilidad de las plataformas por la seguridad y la disponibilidad de los recursos de sus clientes?
Según los comunicados divulgados por la exchange, el incidente involucró movimientos no autorizados de activos digitales, lo que llevó a la suspensión temporal de los retiros y a la adopción de medidas de contención de emergencia. La empresa informó que logró congelar aproximadamente US$ 3.000 millones y asumió públicamente el compromiso de cubrir las pérdidas derivadas del ataque, utilizando su fondo de protección SAFU y recursos propios.
Aunque la investigación técnica todavía está en curso, el episodio permite examinar cuestiones que van más allá del caso específico de Binance, especialmente en el contexto de la reciente regulación de los prestadores de servicios de activos virtuales en Brasil.
La principal distinción jurídica está entre los riesgos propios de la inversión en criptomonedas y los riesgos derivados de fallas en la prestación de los servicios de intermediación y custodia. Son situaciones distintas, con consecuencias igualmente diferentes para el inversor.
1. ¿El ataque de terceros excluye la responsabilidad de la plataforma?
La existencia de un ataque hacker no significa, por sí sola, que la exchange quede exenta de responsabilidad por los perjuicios que eventualmente sufran sus clientes.
En las relaciones sujetas al Código de Defensa del Consumidor, el artículo 14 establece la responsabilidad objetiva del proveedor por los daños derivados de defectos en la prestación del servicio, con independencia de la prueba de culpa.
La propia norma considera defectuoso el servicio que no ofrece la seguridad que el consumidor legítimamente puede esperar, teniendo en cuenta sus características y los riesgos involucrados.
En el mercado de criptoactivos, este análisis cobra especial relevancia porque el inversor que utiliza una plataforma custodiante transfiere al prestador una parte esencial del control operativo sobre sus activos.
La responsabilidad por la guarda, por los mecanismos de autenticación, por el control de accesos y por la autorización de los movimientos integra, por lo tanto, el análisis de la regularidad del servicio contratado.
Sin embargo, demostrar que ocurrió una intrusión resulta insuficiente por sí solo. La responsabilización exige identificar el defecto del servicio, el daño y el nexo causal, observadas las hipótesis legales de exclusión de responsabilidad.
En este contexto, merece atención la distinción entre el llamado caso fortuito interno, relacionado con los riesgos inherentes a la actividad empresarial, y el caso fortuito externo, efectivamente ajeno a la prestación del servicio.
La Súmula 479 del Superior Tribunal de Justicia reconoce la responsabilidad objetiva de las instituciones financieras por los daños derivados de fraudes de terceros relacionados con el riesgo de sus operaciones. Aunque el enunciado no se aplica automáticamente a todos los prestadores de servicios de criptoactivos, ofrece un parámetro jurídico relevante para la discusión sobre seguridad y responsabilidad.
Así, la sofisticación del ataque, la eventual participación de organizaciones criminales internacionales o la utilización de mecanismos tecnológicos avanzados no eliminan, por sí solas, la necesidad de examinar si los controles de seguridad exigibles fueron adecuadamente observados.
2. ¿Qué exige la legislación brasileña a las exchanges?
La discusión adquiere nuevos contornos con la consolidación del marco regulatorio brasileño de los criptoactivos.
La Ley n.º 14.478/2022 estableció directrices para la prestación de servicios de activos virtuales, incluidas la seguridad de la información, la protección de los consumidores, la transparencia, la gobernanza y la solidez operativa.
Posteriormente, la Resolución BCB n.º 520/2025, vigente desde febrero de 2026, pasó a regular aspectos fundamentales de la actuación de los prestadores de servicios de activos virtuales en el país.
Entre las exigencias regulatorias se destacan los mecanismos de separación entre el patrimonio del prestador y los recursos pertenecientes a los clientes, la adopción de procedimientos de seguridad y el monitoreo continuo de riesgos e incidentes.
Los artículos 28 a 30 de la resolución tratan de la separación patrimonial, mientras que otras disposiciones establecen deberes relacionados con la custodia, la protección de los instrumentos de control de los activos virtuales y la entrega de información a los usuarios.
La separación patrimonial es particularmente importante en situaciones de ataques cibernéticos, dificultades financieras o eventual insolvencia del prestador.
La finalidad es establecer mecanismos que permitan identificar y proteger los recursos pertenecientes a los clientes, distinguiéndolos de aquellos utilizados por la empresa en sus propias operaciones.
Esto no significa que la separación elimine todos los riesgos tecnológicos ni que constituya una garantía absoluta de restitución. Su efectividad depende de la estructura operativa y del cumplimiento de las exigencias aplicables.
En el caso de Binance existe, además, una particularidad relevante: la reciente reorganización de las actividades brasileñas, con la prestación de servicios de activos virtuales por BBrasil Sociedade Prestadora de Serviços de Ativos Virtuais Ltda. y la utilización de una estructura específica para las operaciones en reales.
Para los inversores brasileños, resulta importante identificar qué entidad presta efectivamente el servicio contratado, quién asume la custodia de los activos y qué obligaciones derivan de esa relación jurídica.
3. Binance prometió resarcir a los clientes. ¿Eso cierra la cuestión?
Binance declaró que pretende cubrir íntegramente las pérdidas relacionadas con el ataque, utilizando el fondo SAFU (Secure Asset Fund for Users) y recursos propios.
La manifestación es relevante y podrá integrar el análisis de las obligaciones asumidas por la plataforma, incluso desde la perspectiva de la información suministrada a los consumidores.
Sin embargo, existen diferencias importantes entre el anuncio de cobertura, la efectiva disponibilidad de los activos y la restitución de eventuales perjuicios individuales.
El SAFU es un mecanismo privado de protección mantenido por la plataforma, distinto de una garantía estatal y del Fondo Garantizador de Créditos brasileño.
Además, el congelamiento de activos identificados en la blockchain no representa, necesariamente, su recuperación definitiva ni su disponibilidad inmediata para la restitución.
Desde el punto de vista jurídico, deben examinarse el alcance de la cobertura anunciada, los procedimientos para el eventual resarcimiento, los plazos aplicables y la situación concreta de cada usuario.
También será necesario verificar si hubo solamente una interrupción operativa temporal o si determinados inversores sufrieron efectivamente pérdidas patrimoniales.
El compromiso público de reparación constituye un elemento relevante, pero no sustituye el análisis del cumplimiento efectivo de las obligaciones del prestador.
4. Retiros bloqueados y perjuicios financieros: ¿cuándo puede existir derecho a indemnización?
Una de las principales preocupaciones de los usuarios está relacionada con la indisponibilidad temporal de sus recursos.
La suspensión de emergencia de los retiros puede constituir una medida legítima de contención de un incidente cibernético. Su adopción, por sí sola, no significa necesariamente un incumplimiento contractual indemnizable.
La evaluación jurídica cambia, sin embargo, cuando la restricción se prolonga injustificadamente, no viene acompañada de información adecuada u ocasiona perjuicios concretos relacionados con la prestación del servicio.
Es posible distinguir diferentes situaciones.
Activos desviados u operaciones no autorizadas. Cuando hay movimientos realizados sin autorización del titular, corresponde investigar los mecanismos de autenticación, las fallas de seguridad y los registros de las transacciones. La identificación de una deficiencia en el servicio podrá fundamentar un pedido de restitución y de reparación de los daños.
Imposibilidad de mover activos durante el bloqueo. Si la indisponibilidad impide ejecutar operaciones y produce un perjuicio demostrable, será necesario examinar las condiciones contractuales, la justificación de la restricción y el nexo causal entre la conducta de la plataforma y la pérdida.
Liquidaciones y posiciones apalancadas. Los inversores que utilizan derivados o estrategias que dependen de una gestión continua del margen pueden enfrentar consecuencias específicas cuando se interrumpen los sistemas. La eventual responsabilidad dependerá de que se demuestre que el perjuicio fue provocado por la falla operativa, más allá de la mera oscilación del mercado.
Desvalorización general de las criptomonedas. La caída de los precios de Bitcoin, Ethereum u otros activos como consecuencia de las noticias sobre el ataque no configura, por sí sola, un daño indemnizable frente a la exchange. La volatilidad integra los riesgos del mercado, y será necesario demostrar un fundamento jurídico específico para una eventual reparación.
En todos estos escenarios, la investigación debe distinguir las pérdidas efectivamente realizadas, los valores posteriormente recuperados y las expectativas de ganancia que no se concretaron.
Del mismo modo, la indemnización por daño moral no deriva automáticamente de la existencia de un perjuicio financiero ni de la suspensión temporal de las operaciones.
5. ¿Qué puede hacer el inversor para proteger sus derechos?
Con independencia de la evolución de las investigaciones, algunas medidas pueden ser importantes para preservar la seguridad de la cuenta y los elementos necesarios para evaluar una eventual responsabilidad.
- Documentar la posición patrimonial. Guardar extractos, saldos, historial de operaciones, comprobantes de depósitos y retiros, posiciones abiertas y registros de las órdenes, preferentemente con fecha y hora.
- Registrar las eventuales restricciones. Conservar comprobantes de intentos de retiro, mensajes de error, cancelaciones, liquidaciones y comunicaciones recibidas de la plataforma.
- Formalizar las solicitudes de aclaración. Si existe un caso individual, solicitar por los canales oficiales información sobre la situación de los activos, la naturaleza de la restricción, los procedimientos de liberación y la eventual cobertura de pérdidas, guardando los respectivos números de protocolo.
- Reforzar la seguridad de la cuenta. Revisar dispositivos autorizados, contraseñas, autenticación multifactor y permisos concedidos a aplicaciones externas. Es especialmente importante desconfiar de contactos que prometan recuperar valores a cambio de pagos anticipados o de la entrega de credenciales.
- Preservar los registros de las transacciones. En las operaciones realizadas en blockchain, los identificadores de las transacciones (transaction hashes), las direcciones y las redes utilizadas pueden ser relevantes para reconstruir los movimientos y demostrar el origen o el destino de los recursos.
- Buscar una evaluación jurídica ante un perjuicio concreto. Si persiste una retención injustificada, un movimiento no autorizado o una pérdida patrimonial asociada a la prestación del servicio, pueden examinarse las medidas administrativas y judiciales adecuadas.
Según las circunstancias, la actuación jurídica podrá involucrar la solicitud formal de documentos, la producción anticipada de pruebas, la exhibición judicial de registros y, cuando concurran los requisitos legales, medidas de urgencia destinadas a proteger los derechos del inversor.
Para los usuarios brasileños, el artículo 22, inciso II, del Código Procesal Civil también reconoce la competencia de la autoridad judicial nacional para determinadas demandas derivadas de relaciones de consumo cuando el consumidor tiene domicilio o residencia en Brasil.
La aplicación de esa regla, así como la identificación de la empresa responsable y la efectividad de una eventual decisión, deberá considerar la estructura contractual y los elementos concretos de la operación.
6. Seguridad tecnológica y responsabilidad jurídica caminan juntas
El episodio de Binance pone en evidencia un aspecto central de la evolución del mercado de activos digitales: la seguridad de las inversiones depende de mucho más que la tecnología blockchain.
Las estructuras de custodia, los sistemas de autorización de transacciones, los controles internos y la capacidad financiera de los prestadores siguen siendo determinantes para la protección del patrimonio de los usuarios.
La autocustodia, frecuentemente presentada como alternativa a mantener recursos en exchanges, reduce la dependencia de intermediarios, pero transfiere al propio titular la responsabilidad por la guarda de las claves privadas y por otros riesgos operativos.
Por lo tanto, no existe una solución única para todos los inversores. La elección entre custodia propia y servicios intermediados debe considerar las características técnicas, la capacidad de gestión de riesgos y las garantías contractuales disponibles.
Desde la perspectiva jurídica, el principal avance de la regulación brasileña consiste en establecer deberes más claros para quien ofrece servicios de intermediación y custodia de activos virtuales.
El inversor asume los riesgos económicos propios de los activos que decide negociar, pero eso no significa asumir indistintamente las consecuencias de eventuales fallas de seguridad, custodia o ejecución atribuibles al prestador contratado.
En el caso de Binance, la extensión de los daños, las causas del incidente y la efectividad de las medidas de resarcimiento todavía dependen de la conclusión de las investigaciones y de sus desdoblamientos.
Para los inversores que enfrenten dificultades de acceso a sus recursos o pérdidas relacionadas con el episodio, el análisis individualizado de los contratos, de los movimientos y de las medidas adoptadas por la plataforma será fundamental para determinar los derechos involucrados y los caminos jurídicamente disponibles.
Taborda Lima & Advogados Associados actúa en el análisis de cuestiones contractuales, regulatorias y de responsabilidad civil relacionadas con el mercado financiero y los activos digitales, incluidas situaciones de dificultades de rescate, fallas en la prestación de servicios y recuperación de valores.
Referencias jurídicas e institucionales
- Ley n.º 14.478/2022: Marco Legal de los Criptoactivos, especialmente el art. 4.º.
- Resolución BCB n.º 520/2025: separación patrimonial, seguridad, custodia y deberes de información de los prestadores de servicios de activos virtuales.
- Código de Defensa del Consumidor: arts. 6.º, 14 y 30.
- Código Civil: arts. 389, 393, 402, 403 y 927.
- Código Procesal Civil: arts. 22, 300, 381 y 396 a 400.
- STJ, Súmula 479.
- Binance, comunicado oficial de seguridad del 30/10/2026.
- Binance, cambios en la estructura operativa brasileña.
Información sobre el incidente actualizada al 30 de octubre de 2026, sujeta a cambios conforme avancen las investigaciones.