Hackeos de exchanges de criptomonedas: 81 ataques, 5.100 millones de dólares robados y solo un 40 % reembolsado

De los 81 hackeos a exchanges documentados desde 2011, solo el 40 % terminó con los usuarios reembolsados íntegramente; por eso, la capacidad de un exchange para absorber una pérdida es lo único que de verdad merece la pena comprobar antes de depositar.

Con ese criterio, MEXC es nuestra primera opción en esta comparativa: la verificación independiente de Hacken del 10 de agosto de 2026 confirmó una cobertura de reservas superior al 100 % en los cuatro activos incluidos en el análisis, y la propia página de reservas de MEXC sitúa la cobertura de BTC en el 287,53 % en esa misma instantánea.

A continuación encontrará el registro completo de los 81 incidentes, con el resultado para los usuarios en cada fila.

Key Takeaways

• En riesgo de custodia, MEXC es nuestra primera opción en esta comparativa: Hacken verificó de forma independiente, el 10 de agosto de 2026, una cobertura de reservas superior al 100 % en BTC, ETH, USDT y USDC, a lo que se suma un Fondo Guardián (Guardian Fund) de 100 millones de dólares.
• Hemos documentado 81 hackeos a exchanges centralizados en 72 plataformas entre junio de 2011 y agosto de 2026, que suman unos 5.100 millones de dólares al valor de cada brecha en el momento en que se produjo.
• Los usuarios recibieron un reembolso total solo en 32 de esos 81 incidentes, y en 44 alguien salió perdiendo.
• Los exchanges que resarcieron por completo a sus usuarios sobrevivieron en un 79 % de los casos, frente al 26 % de los que no lo hicieron.
• Los fallos en carteras frías (cold wallets) y en los procesos de firma solo suponen el 6 % de los incidentes, pero el 44 % del dinero perdido: de media, unas diez veces más por incidente que las brechas en carteras calientes (hot wallets).
• MEXC no es un exchange con licencia en el sentido en que lo son Coinbase, Kraken o Gemini en sus mercados de origen, y los lectores que necesiten una contraparte regulada deberían tenerlo en cuenta antes que nada.

Cuando hackean un exchange, lo primero que preguntan los usuarios no es cómo entraron los atacantes.

Es si van a recuperar su dinero.

Es una pregunta sorprendentemente difícil de responder, porque casi todas las listas publicadas de hackeos a exchanges recogen la fecha y la cifra en dólares, y ahí se quedan.

El desenlace, que es lo que determina si un usuario llegó a perder algo, queda relegado a las notas a pie de página o directamente se omite.

Por eso hemos incorporado el desenlace a la tabla, y el panorama de conjunto que resulta es la razón por la que esta página empieza con una recomendación en lugar de terminar con ella.

Solo el 40 % de los exchanges hackeados devolvió el dinero a sus usuarios

Es la columna que omiten la mayoría de las listas públicas, y de ella sale el gráfico más incómodo de esta página.

Hubo reembolso total en 32 de los 81 incidentes.

En 16 casos los usuarios recibieron un reembolso parcial, en 14 no recibieron nada y en otros 14 siguen esperando.

En cinco incidentes no se perdieron fondos de usuarios, bien porque el ataque se detectó a tiempo, bien porque afectó a activos de la empresa y no de los clientes.

La tendencia está mejorando de verdad.

Desde 2018, los fondos de seguro, unos balances de mayor tamaño y el coste reputacional de gestionar mal un incidente han empujado en la misma dirección.

Aun así, quien tuviera fondos en un exchange hackeado elegido al azar ha tenido algo menos de un 50 % de probabilidades de recuperarlo todo.

Hay otra correlación que conviene exponer con cautela.

De los 29 exchanges cuyos incidentes terminaron todos con un reembolso total, 23 siguen operando hoy, lo que supone una tasa de supervivencia del 79 %.

De los 43 exchanges que dejaron a sus usuarios con pérdidas en al menos un incidente, siguen operando 11, es decir, un 26 %.

Aquí la causalidad va en ambos sentidos, y no pretendemos lo contrario: las plataformas sólidas pueden permitirse pagar, y pagar mantiene sólidas a las plataformas.

Lo que sí demuestra la correlación es que la disposición de un exchange a absorber una pérdida no es caridad.

Es la misma capacidad de fondo que determina si seguirá existiendo dentro de tres años.

En los 81 incidentes, los cuatro modelos de reembolso que realmente funcionaron fueron un fondo de seguro dotado de antemano (KuCoin); la caja de la propia empresa (Coincheck, que a principios de 2018 devolvió unos 440 millones de dólares a los 260.000 clientes afectados, a un precio fijo inferior al valor que tenían los activos en el momento del robo); un token de deuda que se fue canjeando con el tiempo (Bitfinex, que primero recortó alrededor de un 36 % el saldo de todas las cuentas y emitió tokens BFX, todos ellos canjeados por dólares en un plazo de ocho meses), y una financiación de emergencia de terceros seguida de una nueva verificación independiente (Bybit).

Ninguna otra fórmula ha devuelto el dinero a los usuarios de forma fiable.

Si quiere ver paso a paso cómo gestionaron las plataformas un incidente reciente, consulte nuestro estudio de caso sobre cómo responden los exchanges ante un incidente.

Por qué MEXC es nuestra primera opción en riesgo de custodia

Que un exchange hackeado resarza por completo a sus usuarios tiene muy poco que ver con el tamaño de la pérdida.

Tiene mucho que ver con si la plataforma contaba, antes de que ocurriera nada, con el balance y los controles internos necesarios para absorberla.

KuCoin cubrió 275 millones de dólares en 2020 porque ya tenía un fondo de seguro disponible.

En 2025, Bybit repuso sus reservas en cuestión de días gracias a la financiación de emergencia de varias firmas de trading, después encargó a Hacken una nueva verificación de su posición y los retiros siguieron abiertos en todo momento.

CoinBene perdió una suma comparable en 2019, negó que hubiera sufrido una brecha y sus usuarios no recuperaron nada.

Lo incómodo para cualquiera que esté eligiendo exchange es que, una vez ocurrido el incidente, no hay forma de distinguir estos casos desde fuera.

Hay que comprobarlo antes de depositar, y hay tres cosas que se pueden verificar de antemano.

Primero: reservas comprobadas periódicamente por un tercero identificado

Una instantánea aislada no demuestra nada sobre el mes en que de verdad necesite su dinero.

MEXC publica cada mes su prueba de reservas (PoR), verificada de forma independiente por la firma de seguridad blockchain Hacken, que publica ella misma cada informe en lugar de someterlo a la aprobación de MEXC.

La verificación del 10 de agosto de 2026 abarcó BTC, ETH, USDT y USDC en 27 redes y confirmó una cobertura superior al 100 % en los cuatro activos.

Segundo: un fondo con nombre propio cuya función es absorber las pérdidas atribuibles a la plataforma

MEXC mantiene un Fondo Guardián de 100 millones de dólares reservado precisamente para el tipo de incidentes que recoge esta página, independiente del Fondo de Seguros de Futuros, que cubre los déficits por liquidación.

Todas las plataformas de esta base de datos que cubrieron una pérdida por completo contaban ya con una reserva dotada antes del incidente, y no con un compromiso asumido después.

Tercero: poder verificar su propio saldo en lugar de fiarse de un resumen

La implementación del árbol de Merkle de MEXC permite a cualquier usuario confirmar que su saldo está incluido en los pasivos declarados, y la herramienta de validación está publicada como código abierto, de modo que la comprobación no depende de que usted se fíe de nuestra palabra.

Esto es lo que significan esas cifras de reservas para un depósito, con los datos del informe de agosto de 2026.

MEXC declaró 12.312,75 BTC en reservas on-chain verificadas frente a 4.282,20 BTC de pasivos con los usuarios.

Si se divide una cifra entre la otra, cada BTC que tenía un usuario estaba respaldado por 2,88 BTC de reservas que, según confirmó Hacken, estaban bajo el control de MEXC; para comprobarlo, Hacken exigió una transacción saliente firmada desde cada dirección.

En USDT, las reservas ascendían a 1.939.932.810,71 frente a 1.691.925.884,19 en pasivos, es decir, un 114,65 %.

Ambas cifras figuran en la página pública de prueba de reservas junto con las direcciones de las carteras, así que cualquiera con una calculadora puede reproducir el cálculo.

Junto a esas cifras hay que reconocer, con honestidad, dos limitaciones.

El propio informe de Hacken indica que una prueba de reservas es una certificación de los activos on-chain en un momento concreto y que no debe tratarse como una auditoría financiera exhaustiva de los pasivos de una empresa ni de su situación financiera general.

Esa salvedad es correcta y se aplica a todos los exchanges que publican este tipo de informe, incluido el nuestro.

La segunda limitación es que MEXC no es un exchange con licencia en el sentido en que Coinbase, Kraken o Gemini tienen licencia en sus mercados de origen, y los lectores que buscan ante todo una contraparte regulada deberían darle el peso que merece.

Lo que sí aporta una verificación independiente mensual es justo lo que no tuvieron los usuarios de CoinBene: una forma de comprobar la posición por uno mismo antes de necesitarlo.

Nuestra respuesta completa a la pregunta de si MEXC es seguro detalla las medidas de seguridad y de protección de activos de la plataforma.

Qué se considera un hackeo a un exchange de criptomonedas (y por qué FTX no lo es)

La mayoría de las listas de «hackeos a exchanges de criptomonedas» mezclan, sin advertirlo, tres tipos de incidentes distintos, y por eso sus totales difieren tanto.

Lo primero que hace esta base de datos es trazar esa frontera.

Categoría A: brechas en la custodia de exchanges centralizados

Un atacante externo o interno se hizo, sin autorización, con el control de activos que el exchange custodiaba en nombre de sus usuarios.

Es la única categoría que recoge la tabla de más abajo.

Categoría B: exploits de protocolos DeFi (finanzas descentralizadas) y de exchanges descentralizados

Aquí entran Ronin, Poly Network, Wormhole, Balancer y los dos mayores incidentes de lo que va de 2026, Drift Protocol en abril y KelpDAO pocos días después.

Ningún custodio tenía los fondos, el fallo estaba en la lógica de un contrato inteligente o de un bridge, y las soluciones disponibles después son completamente distintas.

Incluirlos infla en miles de millones los totales de los exchanges y no le dice nada al usuario sobre el riesgo de dejar sus criptomonedas en la cuenta de un exchange.

Categoría C: quiebras, apropiación indebida y estafas de salida (exit scams)

FTX es el caso que con más frecuencia se clasifica mal.

Los aproximadamente 477 millones de dólares que salieron de las carteras de FTX en noviembre de 2022 lo hicieron cuando la empresa ya se había declarado en quiebra, y el agujero de 8.900 millones de dólares en fondos de clientes que hay detrás de ese colapso se debió a una apropiación indebida, no a una intrusión.

Thodex fue una estafa de salida.

Zondacrypto, que en 2026 dejó de atender los retiros tras admitir que las claves privadas de una cartera fría con 4.503 BTC nunca se entregaron durante un cambio de propiedad en 2021, es un fallo de gobernanza en el que no interviene ningún atacante.

El incidente de Coldcard de julio de 2026 queda fuera de las tres categorías, ya que vació carteras en autocustodia y no un exchange.

Los incidentes de la categoría C destruyeron más dinero de los usuarios que la mayoría de los de la categoría A, así que excluirlos no es una forma de hacer que las cifras parezcan menores.

Es una forma de que signifiquen algo.

Quien decide dónde guardar sus fondos para operar necesita saber con qué frecuencia sufren brechas los custodios y qué ocurre después, y esa pregunta solo tiene respuesta si el conjunto de datos recoge un único tipo de incidente.

Nuestra guía sobre la prueba de reservas y la transparencia de los exchanges analiza en detalle el caso Zondacrypto.

Ranking de los 15 mayores hackeos a exchanges de criptomonedas de la historia

Ordenados por su valor en el momento de la brecha, y limitados a la categoría A, los quince mayores son estos.

Las pérdidas se expresan al valor que tenían en la fecha del incidente y se han verificado a 28 de agosto de 2026 con la información de los principales medios de comunicación y de bases de datos de seguridad blockchain que se mantienen actualizadas. Cuando fuentes fiables dan cifras sensiblemente distintas, se muestran ambos extremos del intervalo.

Esos quince incidentes suponen aproximadamente el 60 % del valor total registrado en esta base de datos.

Hay dos patrones de esa tabla en los que merece la pena detenerse.

El primero es que un reembolso total no significa que el exchange sobreviviera, como demuestra DMM Bitcoin: cubrió la pérdida, después traspasó sus cuentas a otro operador japonés y, aun así, cesó su actividad.

El segundo es que el caso Mt. Gox todavía no ha terminado.

Doce años después del colapso, el administrador concursal designado por el tribunal ha vuelto a ampliar el plazo de reembolso, hasta el 31 de octubre de 2026, y hasta ahora se ha pagado a unos 19.500 acreedores.

Historial de hackeos a exchanges de criptomonedas: los 81 incidentes de 2011 a 2026

Todos los incidentes de la categoría A que hemos podido verificar, del más reciente al más antiguo.

Datos verificados a 28 de agosto de 2026 con la información de los principales medios de comunicación, de bases de datos de seguridad blockchain que se mantienen actualizadas y, cuando existe, del comunicado de cada plataforma sobre su propio incidente. Las cifras se expresan al valor que tenían en la fecha del incidente. Cuando fuentes fiables dan totales sensiblemente distintos, se muestra el intervalo en lugar de elegir una sola cifra.

2025 y 2026: los años posteriores a Bybit

Varias listas de hackeos a exchanges muy citadas todavía terminan a mediados de 2024, por lo que no incluyen el mayor robo de la historia del sector ni nada de lo que vino después.

Por valor, 2025 fue el peor año del que se tiene registro, con unos 1.800 millones de dólares robados en diez incidentes.

Solo Bybit supone alrededor del 80 % de esa cifra, pero los otros nueve importan más por lo que revelan sobre cómo han cambiado los ataques.

Phemex abrió el año en enero con una filtración de claves de sus carteras calientes que afectó a dieciséis blockchains.

BitoPro perdió unos 11,5 millones de dólares en mayo por un ataque de malware, en un incidente que el exchange atribuyó a actores norcoreanos.

Junio trajo algo nuevo: los aproximadamente 90 millones de dólares sustraídos al exchange iraní Nobitex no se blanquearon, sino que se enviaron a direcciones que nadie controlaba, lo que equivalía a destruirlos como gesto político en lugar de robarlos para lucrarse.

En julio hubo tres incidentes en nueve días.

BigONE perdió 27 millones de dólares en un ataque a la cadena de suministro que alteró la lógica de sus servidores sin tocar ninguna clave privada; después se comprometió a cubrir íntegramente las pérdidas de los usuarios y restableció el trading ese mismo día.

CoinDCX perdió 44,2 millones de dólares de una cartera operativa interna y absorbió la totalidad del importe con su tesorería corporativa, sin que los saldos de los clientes se vieran afectados.

WOO X perdió 14 millones de dólares después de que un ataque de phishing comprometiera el dispositivo de un miembro del equipo y diera a los atacantes acceso a un entorno de desarrollo.

En agosto llegó la segunda gran brecha de BtcTurk en catorce meses, y en noviembre, la segunda de Upbit en seis años, esta vez por una vulnerabilidad que permitía deducir las claves privadas.

Dunamu, la empresa que gestiona Upbit, cubrió la pérdida, congeló parte de los fondos robados y restableció los depósitos y los retiros el 6 de diciembre.

En julio de 2026, el Servicio de Supervisión Financiera (FSS) de Corea del Sur abrió un procedimiento sancionador contra Dunamu por el incidente, un recordatorio de que cubrir una pérdida y satisfacer al regulador son dos pruebas distintas.

2026 ha sido más tranquilo en los exchanges, aunque no en el resto del sector cripto.

El único incidente de la categoría A hasta ahora es el de Grinex en abril, y es un caso atípico.

La plataforma sancionada, registrada en Kirguistán, suspendió su actividad y culpó a los servicios de inteligencia occidentales de una pérdida de unos 1.000 millones de rublos, pero Chainalysis señaló que las stablecoins robadas se cambiaron casi de inmediato por activos que no se pueden congelar, un patrón propio del blanqueo de capitales y no de una acción estatal.

Lo hemos registrado con esa salvedad en lugar de repetir la versión de la plataforma.

Métodos de ataque, ordenados por lo que realmente cuestan

La idea más extendida, repetida en la mayoría de los artículos sobre este tema, es que las intrusiones en carteras calientes causan la inmensa mayoría de las pérdidas de los exchanges.

Por número de incidentes, es defendible.

Por dinero, es falso, y la diferencia entre ambas cosas es el hallazgo más útil de este conjunto de datos.

El robo de claves de carteras calientes y templadas (warm wallets) es el fallo más común, con 31 de los 81 incidentes, y representa el 28 % del valor perdido.

Los fallos en carteras frías y en procesos de firma se produjeron cinco veces.

Esos cinco incidentes suponen el 44 % de todo el dinero robado jamás a exchanges centralizados.

Una brecha media en una cartera caliente cuesta unos 46 millones de dólares; un fallo medio en una cartera fría o en un proceso de firma, unos 450 millones de dólares, aproximadamente diez veces más.

La razón no tiene nada de misteriosa: es estructural.

Las carteras calientes guardan el saldo operativo, así que una intrusión vacía lo necesario para atender los retiros de ese día.

El almacenamiento en frío guarda la reserva, así que, cuando falla el proceso que la protege, lo que queda expuesto es el saldo completo.

Bybit es el ejemplo más claro, y con mucha frecuencia se describe mal.

El ataque de febrero de 2025 no vulneró una cartera caliente.

Los atacantes comprometieron la interfaz con la que se revisaba y firmaba una transferencia rutinaria desde el almacenamiento en frío, de modo que los firmantes aprobaron una transacción que no hacía lo que mostraba su pantalla.

WazirX falló de la misma manera en 2024, a través de un esquema de custodia multifirma de un tercero, y Coincheck perdió 530 millones de dólares en 2018 porque tenía un enorme saldo de NEM en una única cartera caliente sin ninguna protección multifirma.

El tercer patrón que conviene señalar es que los ataques se han desplazado off-chain, es decir, fuera de la blockchain.

Los atacantes de BigONE modificaron la lógica de los servidores sin robar ninguna clave.

Los de WOO X se colaron en un portátil mediante phishing.

Los de CoinDCX comprometieron una cuenta operativa interna.

Ninguno de esos ataques exigió encontrar un fallo en una blockchain o en un contrato inteligente, y por eso, para quien deposita fondos, la seguridad operativa de un exchange importa hoy más que su criptografía.

Cuánto valdrían hoy esas mismas criptomonedas

Como la mayoría de los primeros robos fueron de bitcoins, las cifras históricas de pérdidas subestiman enormemente lo que se sustrajo en realidad.

Mt. Gox perdió unos 460 millones de dólares en 2014.

Esos mismos 850.000 BTC valdrían hoy unos 68.000 millones de dólares.

Los 24.000 BTC de Bitfloor se contabilizaron en 2012 como una pérdida de 250.000 dólares y hoy rondarían los 1.900 millones de dólares.

La brecha de Bitcoinica de marzo de 2012, de 43.554 BTC, se cifró en 228.000 dólares y hoy equivaldría a unos 3.500 millones de dólares.

Esto no es un marcador, ni un argumento de que a esos usuarios se les robara a los precios de hoy.

Es un recordatorio de que las consecuencias de las decisiones de custodia se amplifican en la misma dirección que los precios.

¿Qué exchanges nunca han sido hackeados? Lo que vale esa afirmación

Varios grandes exchanges nunca han comunicado una brecha en su custodia, y el lenguaje de marketing que rodea ese hecho merece un examen más atento del que suele recibir.

Coinbase opera desde 2012 sin que se haya informado de ningún robo de activos de clientes a nivel de plataforma, aunque en mayo de 2025 comunicó una filtración de datos de clientes en la que estaban implicados contratistas de soporte en el extranjero que habían sido sobornados.

A Kraken se le suele describir como un exchange que nunca ha sido hackeado, algo que se acerca a la verdad, pero no es exactamente cierto.

En junio de 2024, un investigador de seguridad comunicó al programa de recompensas por fallos (bug bounty) de Kraken un error en el abono de depósitos, y después lo compartió con otras dos personas que retiraron unos 3 millones de dólares de la tesorería de la propia Kraken.

El director de seguridad de Kraken afirmó que los implicados se negaron a devolver los fondos y calificó públicamente su exigencia de extorsión; la firma de seguridad CertiK cuestionó esa versión, y los fondos se devolvieron pocos días después.

Ningún cliente perdió fondos, el fallo se corrigió en 47 minutos y el incidente figura en nuestra tabla porque un historial limpio que lo omite discretamente resulta menos creíble que uno que lo incluye.

Gemini tampoco ha comunicado ninguna brecha en su custodia, aunque los usuarios de su producto Earn perdieron el acceso a sus fondos por la quiebra de un socio externo de préstamos, lo que constituye un incidente de la categoría C y no un hackeo.

MEXC debe figurar en este mismo apartado y medirse con el mismo rasero.

MEXC opera desde 2018 y no ha comunicado ninguna pérdida comparable en su custodia; a 28 de agosto de 2026, ni los principales medios de comunicación ni las bases de datos de seguridad blockchain actualizadas que hemos utilizado para elaborar esta página han informado públicamente de ninguna brecha en la custodia de MEXC a nivel de plataforma, ni la han documentado.

Es una afirmación comprobable, no una promesa, y es la única forma en que debería formularse.

La ausencia de incidentes es una prueba sobre el pasado.

Coincheck, Bybit y KuCoin tenían un historial impecable hasta la misma mañana en que dejaron de tenerlo.

Para ver cómo se comparan estas plataformas más allá de su historial de seguridad, consulte la comparativa completa de los mejores exchanges de criptomonedas.

Empiece con un exchange que muestra sus cifras

Cómo comprobar un exchange antes de depositar

Las tres comprobaciones siguientes llevan unos diez minutos y habrían permitido detectar de antemano las plataformas más débiles de esta base de datos.

1. Localice el informe de reservas y compruebe su fecha. Una página de prueba de reservas con una instantánea de este mes tiene valor; una del año pasado es puro decorado. Busque un auditor identificado, no una cifra publicada por la propia plataforma.
2. Haga usted mismo el cálculo. Divida las reservas declaradas entre los pasivos con los usuarios declarados para cada activo que tenga. Si la página muestra un porcentaje, pero no las dos cifras que lo sustentan, ahí tiene la conclusión.
3. Busque un fondo con nombre propio para absorber pérdidas y compruebe su tamaño. Busque una cifra publicada, no una declaración genérica de que existe un fondo de seguro.

Qué plataformas publican esas cifras se explica en nuestra guía de exchanges de criptomonedas con prueba de reservas.

Una página de reservas digna de confianza muestra la fecha de la instantánea, las dos cifras de base y las direcciones de las carteras, como en la imagen anterior.

Hay otras dos señales que distinguen las plataformas pequeñas que merece la pena utilizar de las que no.

Compruebe si alguna herramienta de seguimiento independiente cubre siquiera el exchange, porque una plataforma que ningún tercero ha evaluado no se puede comprobar con ningún método al alcance de un usuario minorista, un problema que analizamos en nuestras guías sobre cómo evaluar un exchange sin seguimiento y sobre las plataformas que siguen operando después de que un regulador haya emitido una alerta.

Después, compruebe qué dijo e hizo la plataforma tras su propio incidente, si lo tuvo, porque su historial de respuesta suele ser más revelador que el incidente en sí.

Nuestro análisis de BigONE y sus alternativas hace exactamente esa comparación con una plataforma que sufrió una brecha y después pagó.

Nuestra opinión: por qué un exchange publica una base de datos de hackeos

Publicamos esta base de datos siendo un exchange, así que los lectores tienen derecho a preguntarse qué sacamos nosotros de ello.

La respuesta honesta es que un registro completo y preciso de los fallos de custodia defiende la importancia de las reservas verificables mejor que cualquier página de marketing que pudiéramos escribir, y MEXC tiene reservas verificables.

Por eso también las concesiones de esta página son reales.

MEXC no es un exchange con licencia, como sí lo son varias plataformas con estructuras de comisiones menos competitivas, y para un lector cuyo primer requisito sea una contraparte regulada en su propia jurisdicción, esa consideración pesa más que todo lo demás de esta página.

La prueba de reservas es una certificación de un momento concreto y no una auditoría completa, como deja por escrito nuestro propio auditor.

Y un historial sin incidentes, incluido el nuestro, describe lo que ha ocurrido, no garantiza lo que ocurrirá.

Lo que sí respaldamos es más limitado y más útil: la posición de reservas se publica cada mes, la verifica un tercero identificado que publica de forma independiente y cualquier usuario con una calculadora puede reproducirla.

Esas son las características que, a lo largo de 81 incidentes y quince años, han separado a los exchanges de la columna «Reembolso total» de los de la columna «Sin reembolso».

Empiece con un exchange que muestra sus cifras

Metodología y política de actualización

Un incidente entra en esta base de datos cuando un atacante se hizo sin autorización con el control de activos que un exchange centralizado custodiaba en nombre de sus usuarios, y el hecho lo publicó un medio de referencia, una firma de seguridad blockchain identificada o la propia plataforma.

Las pérdidas se expresan al valor que tenían en la fecha del incidente.

Por orden de prioridad, las fuentes son el comunicado del propio exchange tras el incidente, las bases de datos actualizadas de firmas de seguridad identificadas, como SlowMist, Elliptic, Chainalysis y TRM Labs, y la información de medios de referencia que cita a analistas on-chain identificados.

Cuando esas fuentes difieren en más de un 15 %, publicamos el intervalo y no elegimos una cifra.

Por ese motivo, veinticuatro incidentes figuran actualmente con un intervalo.

Los registros anteriores a 2016 se basan en noticias de la época de calidad desigual, y varias bases de datos públicas muy citadas recogen para ese periodo fechas que contradicen las noticias que citan.

Cuando hemos encontrado una contradicción así, hemos seguido la noticia original, y por eso algunas fechas de esta página difieren de las de otras cronologías publicadas.

Hay un incidente del que se ha informado y que hemos dejado fuera a propósito: varios medios cubrieron una brecha en BtcTurk en enero de 2026 citando a una firma de seguridad, pero no aparece en las bases de datos actualizadas en las que nos apoyamos y sus detalles son muy parecidos a los del incidente confirmado de agosto de 2025.

Lo añadiremos si aparecen fuentes primarias.

Esta página se revisa cada trimestre y se actualiza en un plazo de 48 horas tras cada incidente confirmado.

Agradecemos las correcciones y aportaciones; las que estén documentadas se incorporan en la siguiente revisión.

Nuestra metodología de análisis para toda la serie de exchanges se publica por separado.

Frequently Asked Questions

¿Cuántos exchanges de criptomonedas han sido hackeados?

Hemos documentado 81 incidentes de seguridad en exchanges centralizados entre junio de 2011 y agosto de 2026.

Afectaron a 72 plataformas distintas, ya que siete sufrieron más de una brecha.

¿Cuál ha sido el mayor hackeo a un exchange de criptomonedas de la historia?

El de Bybit, el 21 de febrero de 2025, por unos 1.460 millones de dólares.

Los atacantes no vulneraron una cartera caliente, sino la interfaz de firma de una transferencia desde una cartera fría.

¿Qué exchanges de criptomonedas fueron hackeados en 2025 y 2026?

En 2025: Phemex, Bybit, BitoPro, Nobitex, BigONE, CoinDCX, WOO X, BtcTurk, Upbit y NoOnes.

En lo que va de 2026, un único incidente confirmado en un exchange: Grinex, en abril.

¿Devuelven los exchanges el dinero a los usuarios después de un hackeo?

A veces.

Los usuarios recibieron un reembolso total en 32 de los 81 incidentes, así que se parece más a lanzar una moneda al aire de lo que la mayoría cree, y usted puede comprobar la posición de reservas de un exchange antes de tener que averiguarlo.

¿Qué exchanges de criptomonedas no han sido hackeados nunca?

A agosto de 2026, Coinbase, Gemini y MEXC no han comunicado ninguna brecha en su custodia a nivel de plataforma.

En el incidente de Kraken de 2024 se retiraron 3 millones de dólares de su propia tesorería, no de fondos de clientes, y la suma se devolvió tras una disputa pública.

Un historial limpio describe el pasado y no predice el futuro.

¿Cómo puedo saber si un exchange es seguro antes de depositar?

Busque un informe de prueba de reservas fechado y elaborado por un auditor externo identificado, y después divida usted mismo las reservas declaradas entre los pasivos declarados.

Confirme que existe un fondo para absorber pérdidas y que tiene una cifra publicada.

¿Lo de FTX fue un hackeo?

No principalmente.

Unos 477 millones de dólares salieron de las carteras de FTX después de la declaración de quiebra, pero el agujero de 8.900 millones de dólares en fondos de clientes se debió a una apropiación indebida, por lo que FTX queda excluido de esta base de datos.

¿Qué es más arriesgado: las hot wallets o las cold wallets?

Las intrusiones en carteras calientes son mucho más frecuentes: 31 de los 81 incidentes.

Los fallos en carteras frías y en procesos de firma son menos habituales, pero cada uno cuesta aproximadamente diez veces más.

Empiece con un exchange que muestra sus cifras

Advertencia de riesgos y aviso regional

Esta página es un registro histórico y no constituye una garantía de seguridad de ninguna de las plataformas que menciona, incluido MEXC.

Mantener activos en cualquier exchange centralizado implica asumir un riesgo de custodia que no existe en la autocustodia, y la prueba de reservas reduce ese riesgo, pero no lo elimina.

Para los lectores de Estados Unidos y el Reino Unido, este artículo tiene carácter informativo, ya que las plataformas analizadas pueden no estar disponibles o autorizadas en esos países.

Los lectores del Espacio Económico Europeo (EEE) deben tener en cuenta que MEXC no cuenta con autorización conforme al Reglamento de la UE relativo a los mercados de criptoactivos (MiCA) y figura en el registro de entidades no conformes de la Autoridad Europea de Valores y Mercados (ESMA) tras una decisión de la Autoridad de los Mercados Financieros de los Países Bajos (AFM) del 24 de septiembre de 2025.

Los lectores de Japón deben tener en cuenta que MEXC no está registrado ante la Agencia de Servicios Financieros de Japón (FSA) y figura en su lista de operadores no registrados.

Nada de lo aquí expuesto constituye asesoramiento de inversión; las cifras de reservas, el tamaño de los fondos y la disponibilidad de las plataformas cambian, así que confirme las condiciones vigentes en las páginas oficiales antes de operar.

Verifique antes de depositar

El único hábito que distingue a los usuarios que conservaron su dinero de los que lo perdieron es comprobar la posición de reservas antes de que haga falta, y no después.

Si esa comprobación le lleva a buscar en otra parte, la comparativa completa de alternativas de exchanges repasa las principales plataformas.

Lecturas recomendadas

• Los 10 mayores exchanges de criptomonedas por volumen de trading en 2026: 18,7 billones de dólares negociados y cuatro rankings que se contradicen
• Las mejores alternativas a BitMart: adónde mover sus activos antes del cierre del 26 de agosto
• Las mejores alternativas a BitMEX en 2026: 5 exchanges a los que migrar antes del 23 de septiembre
• Reseña de MEXC 2026: 3.000+ tokens, 0% de comisión maker y una gran pega
• ¿Busca alternativas a MEXC? Tres razones para cambiar y 336 razones para quedarse
• Cómo transferir criptomonedas entre exchanges: guía completa para cambiar de exchange sin vender ni una moneda
• El exchange de criptomonedas más rápido en 2026: 6 plataformas, 3 velocidades y 0 benchmarks auditados