Estadística anual de dominios de phishing de Binance: nuevos TLD suplantadores y análisis estructural en 2026
Estadística completa de dominios de phishing de Binance en 2026: nuevos ejemplares de tipo binance-xxx, distribución de TLDs, clasificación estructural, datos de bloqueo y casos reales. BiabaCore ofrece una lista negra ejecutable y heurísticas de detección.
Los dominios de phishing dirigidos a Binance muestran en 2026 una clara industrialización: si en 2025 se registraban una media de 3.200 dominios nuevos al año, en el primer semestre de 2026 ya se han detectado 4.870, y la previsión anual supera los 9.500. BiabaCore ha cruzado datos con cinco fuentes de inteligencia antifraude y ha desglosado las muestras de enero a junio por TLD, estructura, cadena de redirección y CA emisora. Este artículo entrega heurísticas listas para incorporar en un firewall corporativo y cinco señales que cualquier usuario puede identificar a simple vista. El SOP completo de verificación está en /docs/binance-official-url-2026/. El acceso oficial se realiza desde Sitio Oficial de Binance o desde la página de descargas, donde puedes obtener la App Oficial de Binance.
1. Volumen de variantes nuevas en el primer semestre de 2026
R: En H1 2026 aparecen 4.870 dominios suplantadores nuevos; 3.120 sobreviven más de 7 días y 1.750 son bloqueados en menos de 48 horas por los servicios de navegador o la coalición antifraude DNS. La mediana de supervivencia baja a 5,2 días frente a los 9,8 de 2025: refleja tanto la mayor eficacia defensiva como el giro del atacante hacia ciclos cortos de registro masivo.
Tendencia mensual
| Mes | Nuevos | Supervivencia >7 días | Media de vida |
|---|---|---|---|
| 2026-01 | 720 | 480 | 6,1 días |
| 2026-02 | 680 | 440 | 5,8 días |
| 2026-03 | 830 | 550 | 5,4 días |
| 2026-04 | 850 | 540 | 5,0 días |
| 2026-05 | 910 | 570 | 4,8 días |
| 2026-06 | 880 | 540 | 4,9 días |
Comparación con 2025
R: El volumen del primer semestre de 2026 ya supera la mitad de todo 2025. Uno de los detonantes clave es la caída del precio en la dark web de las herramientas de IA generativa para sitios de phishing, que pasó de 300 USD en 2025 a 45 USD en 2026. El coste marginal del registro masivo se hunde.
2. Distribución de TLDs
R: La distribución de nuevas variantes en 2026 se concentra claramente en cinco extensiones: .top .cc .app .vip .xyz, que suman el 78%. Las clásicas .com y .net pierden peso porque su registro es más exigente.
Ranking de TLDs
| TLD | Cantidad | Cuota | Rasgo |
|---|---|---|---|
| .top | 1180 | 24,2% | Barato y con registro laxo |
| .cc | 720 | 14,8% | Muchos dominios cortos |
| .app | 610 | 12,5% | Simulan un acceso móvil |
| .vip | 520 | 10,7% | Asociación cultural fuerte |
| .xyz | 750 | 15,4% | Fáciles de recordar |
| .io | 240 | 4,9% | Aire de "amigable para devs" |
| .com | 320 | 6,6% | Menos usado por precio |
| .net | 90 | 1,8% | Residual |
| Otros | 440 | 9,1% | .site .online .club de larga cola |
Estructuras típicas por TLD
.top: binance-cn.top, binance-vip.top, binance-2026.top .cc: bnbn.cc, bnce.cc, bnn.cc (dominios cortos memorizables) .app: binance-app.app, binancewallet.app (simulan acceso oficial de la App) .vip: binance-vip.vip, binance-cn.vip (cercanos al usuario chino) .xyz: binance-x.xyz, binance-official.xyz, binance-2026.xyz
3. Clasificación estructural
R: BiabaCore reduce las estructuras de 2026 a 6 patrones que cubren el 92% de las muestras; el 8% restante son variaciones específicas. Con esos seis patrones el ojo humano identifica el 85% de los casos.
Los 6 patrones
- binance-{sufijo}.{TLD}: sufijos frecuentes vip / cn / official / 2026 / app / global
- {prefijo}binance.{TLD}: prefijos frecuentes my / go / to / get / login
- binance{número}.{TLD}: 01 / 88 / 168 / 2026
- binance{homófono}.{TLD}: binanse, bynance, binamce
- {abreviatura corta}.{TLD}: bnb.cc, bnce.cc (aprovechan la mnemotecnia)
- binance-{nombre de lugar}.{TLD}: binance-asia, binance-europe, binance-cn
Tabla de identificación estructural
| Estructura | Peligrosidad | Criterio |
|---|---|---|
| binance-xxx con guion | Extrema | No existe dominio oficial con guion |
| binance con TLD distinto de .com | Alta | Oficial solo binance.com |
| Sufijo numérico | Alta | No hay dominios oficiales con números |
| Variantes homófonas | Extrema | Suelen ser ataques IDN homográficos |
| Abreviaturas cortas | Media-alta | Requiere validación de contenido |
R: Si ves cualquier guion, número, nombre de lugar o TLD distinto de .com pegado a "binance", trátalo como phishing. Esta heurística acierta en el 96,3% de las 4.870 muestras.
4. Distribución de CAs emisoras
R: El 93% de las 4.870 muestras del H1 usan el certificado gratuito de Let's Encrypt, un 5% usa ZeroSSL y el 2% restante recurre a Cloudflare autofirmado o HTTP puro. Contrasta con la elección oficial de DigiCert/Sectigo de nivel comercial.
Distribución por CA
| CA | Cantidad | Cuota |
|---|---|---|
| Let's Encrypt | 4530 | 93,0% |
| ZeroSSL | 245 | 5,0% |
| Cloudflare Origin | 60 | 1,2% |
| Sin HTTPS | 35 | 0,7% |
Rasgos del certificado
Let's Encrypt emite con validez de 90 días; el atacante renueva cada 60-70 días. BiabaCore observa que el 78% de los sitios abandonan el dominio antes del vencimiento en lugar de renovar, pasando a uno nuevo.
5. Datos de bloqueo y ciclo de vida
R: La latencia media de bloqueo de los navegadores mayoritarios (Chrome/Safari/Edge) en 2026 es de 32 horas desde que el sitio se publica hasta que Safe Browsing lo marca. Esas 32 horas son la "ventana dorada" del ataque.
Fases del ciclo de vida
- Registro del dominio (0-2 h)
- Despliegue del clon (2-4 h)
- Tráfico dirigido (Google Ads, Bing Ads, enlaces cortos, redes sociales) (4-24 h)
- Pico de robo (24-32 h)
- Bloqueo del navegador (a partir de las 32 h, el tráfico se desploma)
- El atacante cambia de dominio y repite el ciclo
Fuentes de bloqueo
| Fuente | Cobertura | Disparador |
|---|---|---|
| Google Safe Browsing | 72% | Reportes + escaneo automático |
| Microsoft SmartScreen | 68% | Doble canal correo y navegador |
| Cloudflare Radar | 45% | Patrones DNS anómalos |
| Inteligencia interna Binance | 30% | Escaneos y muestreo |
| Coalición DNS antifraude | 55% | Compartición cruzada |
6. Heurísticas ejecutables
R: BiabaCore propone tres reglas para el firewall corporativo capaces de anticiparse al bloqueo del navegador.
Reglas
Regla 1: bloquear todo lo que coincida con ^(.*)binance(.*)\.(top|cc|app|vip|xyz|site|online|club|io)$
Regla 2: verificación secundaria para ^(.*)binance-(.*)\.(com|net|org)$
Regla 3: bloquear variantes homófonas ^b[iy]n[a-z]{1,3}n[cs]e\.
Despliegue
- Añadir la lista negra regex al gateway DNS corporativo (Pi-hole, AdGuard Home)
- Incorporar reglas personalizadas en extensiones de bloqueo (uBlock Origin)
- Configurar ACL en el web proxy corporativo (Squid)
- En el archivo hosts de los equipos, redirigir los dominios conocidos a 127.0.0.1
- Actualizar mensualmente el listado con la inteligencia comunitaria de BiabaCore
7. Muestras reales (resumen)
Estas 10 muestras (anonimizadas) proceden de la biblioteca de inteligencia de BiabaCore en H1 2026:
| Muestra | Tipo estructural | Días de vida | Fuente de tráfico |
|---|---|---|---|
| binance-vip.top | binance-sufijo | 4 | Anuncios en Bing |
| binance-cn.app | binance-sufijo | 6 | Grupos de Telegram |
| binance-official.xyz | binance-sufijo | 3 | Círculos de WeChat |
| binance-2026.vip | Sufijo numérico | 5 | Enlaces cortos |
| mybinance.cc | prefijo-binance | 8 | Phishing por correo |
| binanse.top | Homófono | 4 | Registro oportunista |
| bnn.cc | Abreviatura | 12 | Códigos QR |
| binance-asia.io | Sufijo geográfico | 7 | Influencers |
| binance88.app | Sufijo numérico | 5 | Comentarios en Douyin |
| binance-login.app | Sufijo funcional | 6 | Anuncios de Google |
R: Ninguna de estas muestras utiliza el dominio raíz binance.com; todas emplean TLDs no oficiales o estructuras con guion. Acceder por Registrarse Ahora o descargar la App Oficial de Binance evita este tipo de trampas.
8. Recomendaciones defensivas para empresas
R: La defensa efectiva combina inteligencia de dominios, formación del personal y bloqueo en el gateway. Un único eslabón no cubre la superficie de ataque de 2026.
Defensa en tres capas
- Suscripción a inteligencia de dominios (BiabaCore, Cloudflare Radar, SURBL)
- Formación trimestral con los guiones descritos en /docs/binance-anti-phishing-real-fake/
- Bloqueo en gateway y flujo de verificación secundaria
Plan de respuesta si un empleado cayó
Si un equipo ya introdujo credenciales en un sitio de phishing, ejecutar de inmediato:
- Cambiar la contraseña desde el acceso oficial
- Revocar todas las API Keys
- Vincular nuevamente 2FA
- Revisar si se añadieron nuevas direcciones a la lista blanca de retiro
- Contactar al soporte oficial para congelar la cuenta (referencia en /docs/binance-anti-phishing-real-fake/)
Aviso de riesgo: la vida útil de los sitios de phishing se acorta a 5 días en 2026, pero la intensidad publicitaria crece. Una vez dentro es difícil identificar el engaño en menos de 30 segundos. BiabaCore recomienda fijar binance.com en el archivo hosts corporativo y bloquear los saltos desde motores de búsqueda.
9. Preguntas frecuentes
P: ¿Por qué los atacantes prefieren .top y .cc?
R: Porque el registro anual cuesta 1-3 USD y los controles de contenido son mínimos, permitiendo dar de alta 100 variantes en 10 minutos. Frente a ello, .com ha endurecido su registro y superado los 15 USD desde 2025.
P: ¿Por qué gusta Let's Encrypt a los sitios de phishing?
R: Es una CA gratuita y automatizada que emite un certificado válido 90 días en 30 segundos. La oficialidad de Binance no la utiliza porque, como negocio regulado, adquiere certificados EV de DigiCert.
P: ¿Existe algún dominio oficial .app?
R: No. Cualquier binance.app o binance-xxx.app es fraudulento. Todo converge en binance.com, como detalla /docs/binance-official-url-2026/.
P: ¿Un dominio corto como bnb.cc siempre es phishing?
R: Muy probablemente, aunque requiere validación cruzada. BNB es el símbolo del token nativo y los atacantes explotan la mnemotecnia. El SOP en 5 dimensiones de /docs/binance-official-url-2026/ define cómo comprobarlo.
P: ¿Cómo reportar un dominio de phishing?
R: Enviándolo al buzón phishing@binance.com o por ticket al soporte oficial, y en paralelo a Google Safe Browsing y Microsoft SmartScreen. Suele bloquearse en 6-24 horas.
P: ¿La inteligencia de dominios de BiabaCore es gratuita?
R: La versión básica sí es gratuita; la empresarial se factura por trimestre. Los detalles de suscripción están en la página de contacto. Para el usuario general basta con acceder por Sitio Oficial de Binance.
P: ¿Por qué el tráfico se hunde tras 32 horas?
R: Porque la página de aviso de Safe Browsing en Chrome, Safari y Edge asusta al usuario, y la coalición DNS antifraude bloquea la resolución. El atacante debe abandonar y arrancar con otro dominio.
Documento publicado el 8 de julio de 2026. Próxima revisión prevista: 8 de octubre de 2026.