El ecosistema cripto volvió a presenciar una demostración de cómo el eslabón más débil en la seguridad de la infraestructura financiera sigue siendo el factor humano y la cadena de suministro de software.
SignalPlus, una destacada plataforma de infraestructura de negociación enfocada en derivados y opciones para operadores profesionales e institucionales, confirmó haber sido víctima de un ciberataque el pasado miércoles, 4 de noviembre.
A pesar de que el impacto financiero directo fue contenido por debajo de los 82.000 dólares y la empresa prometió el reembolso total a los afectados, la naturaleza del ataque expuso vulnerabilidades críticas en la gestión de claves API y encendió alarmas en las principales bolsas globales de activos digitales, incluyendo Binance y Deribit.
El incidente de SignalPlus no se originó en un fallo de código dentro de sus contratos inteligentes ni en la explotación directa de la interfaz del usuario, esta vez la brecha comenzó con una maniobra de ingeniería social altamente dirigida (spear-phishing).
Un grupo de atacantes logró comprometer la cuenta de Telegram de un contacto perteneciente a un proveedor de tecnología externo de SignalPlus y suplantando la identidad de este profesional de confianza, el ciberdelincuente se puso en contacto con un ingeniero de la firma y le envió una invitación falsa a una reunión a través de Microsoft Teams.
La interacción sirvió para infectar el equipo informático del desarrollador, donde el atacante permaneció inactivo durante un periodo de latencia, evaluando la red y esperando el momento oportuno.
En las primeras horas de la madrugada del 4 de noviembre, el atacante activó su acceso y utilizó las credenciales del equipo del ingeniero para penetrar en la infraestructura interna de SignalPlus, por lo que, una vez dentro, apuntó a las cuentas de usuario que carecían de restricciones estrictas de conexión.
El ataque afectó de forma directa a un grupo reducido de cuentas cuya configuración permitía el uso de claves API de bolsa sin una lista blanca de direcciones IP (IP Whitelisting). Esta herramienta de protección limita la ejecución de comandos vía API exclusivamente a direcciones IP previamente autorizadas.
Sin esta barrera obligatoria de IP Whitelisting, cualquier atacante que obtenga las claves o el acceso interno puede firmar transacciones o gestionar órdenes desde cualquier ubicación en Internet.
TL;DR: In the early hours of Nov 4, SignalPlus was targeted in an attack that began with a compromised third-party Telegram account, affecting a small number of accounts without IP whitelisting. We detected and contained the intrusion quickly. As a precaution, we immediately worked with our CEX partners to revoke all SignalPlus-linked API keys and temporarily paused our terminal services. Total losses are under US$82k, and all affected users will be reimbursed in full. We expect to bring services fully back online over the next few days. Updates and user instructions will be shared through our official channels.
— SignalPlus (@SignalPlus_Web3) November 5, 2026
SignalPlus asumió públicamente la responsabilidad de esta omisión técnica en su comunicado oficial, reconociendo que no haber hecho obligatorio el uso de la lista blanca de IP para la vinculación de claves API de los exchanges constituyó un fallo estructural en sus políticas de seguridad.
Al detectar la anomalía, el equipo de SignalPlus inició un protocolo de contención que incluyó la puesta en mantenimiento temporal de toda su terminal y la comunicación inmediata con las plataformas de intercambio de criptomonedas integradas.
La respuesta de la industria fue drástica. Exchanges de derivados de primer nivel como Binance y Deribit actuaron de forma preventiva revocando la totalidad de las claves API conectadas a la infraestructura de SignalPlus desde sus propios servidores.
Following a potential security issue reported by third-party platform SignalPlus, we have proactively removed all API keys linked to SignalPlus as an immediate precautionary measure. Binance’s own systems are unaffected. User funds remain safe. If you used SignalPlus, please log into your Binance account directly to review your positions and open orders. We recommend waiting until SignalPlus confirms full resolution before rebinding any API keys, and always enabling IP whitelisting. We also encourage all third-party platforms integrated with Binance to review their security controls, monitor for unusual activity and contact us immediately if they detect any concern
— Binance (@binance) November 5, 2026
Binance confirmó que sus sistemas propios no se vieron comprometidos y que los fondos de sus clientes permanecían seguros, instando a los operadores a gestionar sus posiciones y órdenes abiertas directamente en su plataforma nativa mientras durara la suspensión.
If you use SignalPlus for any other exchange platform, it’s time to revoke all your API keys. It is generally recommend that you do not store your API keys with any 3rd party platform. 🙏 (Deribit also/first reported this.)
— CZ 🔶 BNB (@cz_binance) November 5, 2026
El propio Changpeng Zhao, alias CZ, informó en su cuenta: “Si utilizas SignalPlus en cualquier otra plataforma de intercambio, es hora de revocar todas tus claves API. Se recomienda generalmente que no almacenes tus claves API con ninguna plataforma de terceros. 🙏 (Deribit también/primero informó sobre esto.)”
We have proactively revoked all Deribit customer API keys connected to SignalPlus as a precaution, after SignalPlus informed us they were experiencing a potential security concern. Deribit systems and data were not affected. If you were using SignalPlus to trade on Deribit, all trading, monitoring, and automation has stopped as a result. You can check open orders, positions, and recent account activity directly on Deribit. As always, only share your API keys with products you trust. When connecting, enable IP allowlisting for stronger security. If you intend to reconnect to SignalPlus, wait for official communication from their team before proceeding.
— Deribit (@DeribitOfficial) November 5, 2026
Por su parte, Deribit notificó que la desconexión pausaba por completo los servicios de automatización, gestión y monitoreo a través de la terminal de SignalPlus y señaló: “Como siempre, solo comparte tus claves API con productos en los que confíes. Al conectar, habilita la lista blanca de IP para una mayor seguridad. Si tienes la intención de reconectarte a SignalPlus, espera la comunicación oficial de su equipo antes de proceder”.
El ciberataque a SignalPlus ocurre a pocos días de que Binance revelara los detalles de un ataque a gran escala en el que infiltrados disfrazados de reclutadores lograron comprometer la computadora de un ingeniero a través de una tarea de programación maliciosa, permitiéndoles acceder a credenciales de despliegue y a la infraestructura de firma de sus carteras.
🚨🚨🚨Following a potential security issue reported by third-party platform SignalPlus, we have proactively removed all API keys linked to SignalPlus as an immediate precautionary measure. Binance’s own systems are unaffected. If you used SignalPlus, please log into your Binance account directly to review your positions and open orders. We recommend waiting until SignalPlus confirms full resolution before rebinding any API keys, and always enabling IP whitelisting. We also encourage all third-party platforms integrated with Binance to review their security controls, monitor for unusual activity and contact us immediately if they detect any concern.
— Yi He (@heyibinance) November 5, 2026
Yi He, cofundadora de Binance, instó “a todas las plataformas de terceros integradas con Binance a revisar sus controles de seguridad, monitorear cualquier actividad inusual y contactarnos de inmediato si detectan alguna preocupación”.
Según la ejecutiva, la amenaza se extiende por toda la industria cripto y responde a patrones coordinados, señalando que la bolsa ha detectado y bloqueado más de medio centenar de ciberamenazas asociadas a grupos patrocinados por el estado norcoreano a lo largo de 2026, utilizando tácticas recurrentes como entrevistas de trabajo falsas, software de desarrollo contaminado y cuentas corporativas suplantadas.
SignalPlus Announcement on Security Incident Response and User Protection
In the early hours of November 4, the SignalPlus team detected anomalous activity and identified that our systems were the target of a cyberattack. The team acted swiftly to contain the incident and…
— SignalPlus (@SignalPlus_Web3) November 5, 2026
SignalPlus anunció que el proceso de restauración del servicio se ejecutará de forma gradual tras completar auditorías integrales de seguridad, aplicar los parches correspondientes y reforzar los controles de acceso en los dispositivos de desarrollo. Además, la compañía ya inició el proceso de reembolso individualizado para resarcir al 100% las pérdidas sufridas por las cuentas vulneradas.
El caso deja una lección más para el sector FinTech y Web3, sobre la necesidad de evaluar cualquier contacto externo desde los equipos o estaciones de trabajo donde se controlan los accesos a las API, las listas blancas o la movilización (e incluso monitoreo) de Hot y Cold Wallets.
Toda la industria cripto, Web3 e incluso el sector financiero tradicional (TradFi), debe mitigar riesgos aislando del contacto externo a los equipos encargados de mover y monitorear el dinero en sus plataformas.
Básicamente, esto demuestra que donde la conectividad multiplataforma vía API es la norma, la seguridad de una firma es tan sólida como el eslabón más débil de su cadena de proveedores y la disciplina de sus políticas de acceso interno.