Hay una pregunta que dejó el mayor hackeo de la historia del sector y no es precisamente tecnológica. Binance perdió alrededor de u$s6.300 millones el 29 de octubre, reservó más de u$s6.340 millones de fondos propios para restituirlos y afirma haber devuelto cerca del 95%. Lo hizo porque decidió hacerlo.
Ahora, si el mismo ataque hubiera ocurrido en un banco, la obligación de devolver no sería una decisión comercial sino una consecuencia legal, con un régimen completamente distinto de plazos, coberturas y topes.
Jorge Monastersky, abogado y doctor en Ciencias Jurídicas y Sociales, plantea el punto con claridad en su análisis para iProUP: "Una entidad que custodia fondos ajenos no queda liberada por el solo hecho de haber sido atacada por delincuentes".
El andamiaje legal que lo sustenta combina varias normas. En una relación bancaria de consumo operan el artículo 42 de la Constitución Nacional, la Ley 24.240 de Defensa del Consumidor y las Obligaciones Contractuales del Código Civil y Comercial, con los artículos 5 y 40 de la Ley de Consumo como referencias según la naturaleza del servicio y del daño.
La pieza clave es cómo se trata al hacker en términos jurídicos. El hecho de un tercero solo libera cuando reúne los caracteres del caso fortuito, previstos en el artículo 1731 del Código Civil y Comercial. Y aun así puede no eximir cuando constituye una contingencia propia del riesgo de la actividad, según el artículo 1733, inciso e.
La conclusión de Monastersky sobre ese punto es la frase que más importa de todo el análisis. "Para quien custodia fondos ajenos, un ataque informático difícilmente pueda considerarse, sin más, un suceso imprevisible". El experto aclara que "la responsabilidad exige siempre examinar las circunstancias concretas".
Hay además una norma específica para los depósitos que cambia por completo la ecuación. El artículo 1390 del Código Civil y Comercial dispone que el banco adquiere la propiedad de las sumas depositadas y se obliga a restituirlas. Dicho en criollo, la plata del plazo fijo deja de ser del ahorrista y pasa a ser del banco, que queda como deudor. Por eso, como precisó el especialista, "una pérdida sufrida por el banco no extingue por sí misma el crédito del depositante".
No es lo mismo un engaño dirigido al usuario, por ejemplo cuando entrega sus credenciales, que la vulneración de los servidores, los controles de autorización o la infraestructura de custodia de la entidad. En el segundo caso, el foco se traslada a la arquitectura de seguridad, las alertas, la segregación de funciones y la respuesta ante el incidente. Y aun en el primero, para el especialista "la conducta del usuario no exonera sin analizar los deberes propios del proveedor".
El sistema de seguro de garantía de los depósitos cubre en Argentina hasta $50.000.000 por persona, un monto que rige desde el 1 de abril de 2026 conforme a la Comunicación A 8407 del Banco Central, del 5 de marzo de ese año. El límite se aplica al conjunto de las cuentas y depósitos de cada titular, y en las cuentas conjuntas se reparte entre los cotitulares.
La cobertura alcanza a los depósitos en pesos y en moneda extranjera e incluye capital, intereses, ajustes por CER en los depósitos UVA y por ICC en los UVI, y diferencias de cambio, devengados hasta la fecha en que se revoca la autorización de la entidad o se la suspende.
Pero tiene exclusiones concretas que vale conocer. Quedan afuera:
Esa última lista merece incluso más atención. Si alguien buscó la tasa más alta del mercado, puede haber quedado fuera de la garantía justamente por eso.
Monastersky suma el resto del arsenal disponible y su límite. Explica que frente a una pérdida que afecte el capital de la entidad y al riesgo adicional de desconfianza y retiros masivos existen las exigencias de capital y liquidez del Banco Central y mecanismos de asistencia ante problemas transitorios, y que en situaciones extremas entran en juego los procedimientos legales aplicables y el sistema de garantía de depósitos.
Su advertencia final sobre eso es que "ninguno de esos instrumentos permite afirmar que cualquier pérdida quedará íntegramente cubierta".
El contraste con el caso real es nítido. Binance no tiene seguro de depósitos, ni prestamista de última instancia, ni un regulador que le garantice liquidez. Lo que tuvo fue un balance grande y la decisión de usarlo. Un banco argentino tiene las tres primeras cosas y, al mismo tiempo, un supervisor que puede suspenderlo o revocarle la autorización, algo que a Binance nadie puede hacerle.
Si hay un aspecto donde el régimen argentino es claramente más exigente que el del exchange, es el de la comunicación del incidente.
La Comunicación A 8280 del Banco Central, vigente desde julio de 2025, regula la respuesta, la recuperación y la notificación de ciberincidentes. Alcanza a las entidades financieras, a los proveedores de servicios de pago registrados ante el BCRA y a las infraestructuras del mercado financiero supervisadas por el organismo, y actualiza la anterior Comunicación A 7266.
Para los incidentes clasificados como críticos, la entidad debe informar al Banco Central dentro de la primera hora. Y dentro de los cinco días hábiles siguientes debe presentar un informe final con la causa raíz, el impacto y las medidas de remediación.
Monastersky pone un matiz importante para que no se confunda con transparencia pública. "Eso no equivale a una obligación de emitir partes públicos minuto a minuto", advierte, y precisa que la información a los clientes y, si corresponde, al mercado, se examina bajo sus propios regímenes.
La comparación con lo ocurrido es elocuente. Durante la noche del 29 de octubre circularon cifras de u$s1.800, u$s2.270, u$s2.540, u$s2.800, u$s3.300, u$s5.700 y hasta u$s6.000 millones, mientras Binance comunicaba por su cuenta de X que investigaba un posible problema de seguridad. Nadie podía exigirle un reporte formal en una hora, porque ninguna autoridad tiene ese poder sobre la plataforma.
Binance reanudó los retiros el 1 de noviembre y lo que pasó después quedó registrado. En menos de 12 horas procesó u$s4.649 millones en retiros contra u$s1.010 millones en depósitos, lo que dejó una salida neta de unos u$s3.640 millones. Esa cifra equivale a cerca del 2,1% de los u$s171.000 millones en activos bajo gestión que la compañía reportó en su última prueba de reservas.
El desglose que relevó el analista Darkfost, de CryptoQuant, muestra qué sacó la gente. 19.569 BTC, unos u$s1.500 millones, 154.147 ETH, cerca de u$s360 millones, alrededor de u$s1.960 millones en USDT y u$s557 millones en USDC. El propio analista observó que el ritmo de las operaciones "parece haber vuelto a la normalidad" y que el compromiso de la compañía "parece haber sido cumplido".
La empresa afirmó que, tras un pico inicial, "los volúmenes de retirada han disminuido y se están estabilizando", y sostuvo haber repuesto cerca del 95% de los activos afectados con recursos propios y compras en el mercado y por canales extrabursátiles. Ese porcentaje mide activos reincorporados a las reservas y no fondos recuperados del atacante, y el 5% pendiente corresponde a tokens de menor liquidez.
Lo que ese número dice es que Binance absorbió una salida de u$s3.640 millones en una jornada y siguió operando. Un banco enfrentado a una salida proporcionalmente equivalente tendría a su favor la asistencia del Banco Central y la garantía de depósitos, pero también tendría encima un supervisor con facultades para intervenir. El exchange tuvo más libertad y menos red.
En cuanto a la responsabilidad penal, Monastersky detalla las figuras que podrían aplicarse en una investigación argentina:
Pero cada una de esas figuras exige prueba. El especialista es categórico en dos puntos que desarman las conclusiones apresuradas.
Sobre el lavado, señala que "mover criptomonedas entre billeteras, por sí solo, no basta para afirmar que se cometió lavado". Y sobre la trazabilidad, que es la gran promesa de la blockchain, advierte que "una dirección digital no identifica por sí misma a una persona".
Esa dirección debe vincularse con registros de acceso, dispositivos, instrucciones, documentación y, cuando corresponda, cooperación internacional. Su síntesis es una frase que debería estar en cualquier cobertura del tema. "Seguir los fondos no es lo mismo que probar quién los controló", sentencia, y agrega que "tampoco una ruta de transferencias asegura que los activos puedan inmovilizarse o recuperarse".
El abogado marca además un límite que protege a los directivos. "Una vulnerabilidad informática, una pérdida millonaria o incluso un incumplimiento regulatorio no convierten automáticamente a los administradores en autores de un delito", sostiene, aunque aclaró que tampoco debe descartarse de antemano la intervención de empleados, terceros con acceso privilegiado o estructuras organizadas.
El caso real ilustra exactamente esa tensión. TRM Labs atribuyó el ataque con alta confianza a TraderTraitor, una unidad de hackers patrocinada por el Estado norcoreano, el mismo grupo que el FBI señaló por el robo de u$s1.500 millones a Bybit en febrero de 2025. Alec Zebrick, senior manager de Chainalysis, informó que los fondos vinculados al ataque seguían siendo lavados a través de miles de direcciones y depósitos. Y Monastersky recuerda el límite de todo eso. "Una atribución de investigadores no equivale a una condena penal".
El aspecto más urgente, según su análisis, es el tiempo. La investigación exige preservar de inmediato registros de autenticación, bitácoras de acceso, autorizaciones, dispositivos comprometidos, comunicaciones internas, hashes, direcciones de billeteras y transacciones, con una cadena de custodia documentada. Porque, como advirtió, cuando la investigación penal comienza el patrimonio ya puede estar en movimiento.
Esta es la respuesta corta a la pregunta que más se hizo el usuario argentino en los últimos días.
"No tienen el mismo régimen jurídico", explica Monastersky. La Ley 27.739 incorporó a los proveedores de servicios de activos virtuales a un marco de registro ante la Comisión Nacional de Valores y al sistema de prevención del lavado de activos. El régimen de PSAV del Capítulo III del Título XIV de las Normas CNV, que se había regulado mediante la Resolución General 1058/2025, fue sustituido por la Resolución General 1172/2026, vigente desde el 16 de octubre de 2026.
Las obligaciones de seguridad y custodia deben determinarse según el texto vigente, la actividad efectivamente desarrollada y la jurisdicción aplicable. Y la conclusión práctica es que "el usuario de una plataforma cripto no cuenta, por ese solo vínculo, con una garantía equivalente a la de los depósitos bancarios".
Para Iván Bolé, analista financiero con foco en criptomonedas, la capacidad técnica para atacar cualquier sistema ya existe. "Ya no queda ninguna vaca sagrada, ya está, se terminaron", plantea. "O sea, ya si Binance fue superado, pobrecito el sistema financiero internacional", agrega, para enseguida introducir el giro que sostiene toda su tesis. "Pero es porque no les interesa".
El razonamiento del analista separa el mundo cripto del bancario por sus consecuencias políticas. "Como esto corre por otros rieles, esto no toca a un estado nacional, no provoca real geopolítica", analiza. "En cambio, si vos se lo hacés a los bancos, vos producís un hecho de geopolítica", sostiene.
Y sobre la hipótesis de un ataque a la banca local, es tajante. "Si vos le pegás a los bancos argentinos, le podrías pegar a todos. ¿Por qué solo Argentina? No lo van a hacer, no van a ir por este lado", afirma.
Su conclusión, entonces, es que la banca tradicional no está más segura por ser técnicamente más robusta, sino porque atacarla tendría un costo político que atacar un exchange no tiene. Es una hipótesis del analista y no un hecho verificado, pero explica mejor que cualquier otra cosa por qué el mayor robo de la historia del sector financiero ocurrió donde ocurrió.