El FBI atribuye oficialmente a piratas informáticos respaldados por el estado norcoreano el récord de robo de criptomonedas cometido contra la plataforma Binance. La agencia pide a la industria de las criptomonedas que la ayude a impedir el lavado de los fondos sustraídos.
- El FBI atribuye oficialmente a Corea del Norte el mayor robo de criptomonedas contra Binance.
- Binance reconoce que el ataque fue más complejo que el compromiso de un solo ordenador y repuso cerca del 95 % de lo robado.
- Elliptic sospecha que el blanqueo está automatizado y podría prolongarse durante meses.
- El FBI pide a la industria rechazar las transacciones vinculadas a más de 600 direcciones.
El ataque tuvo lugar el 29 de octubre. Los piratas vaciaron carteras calientes de Binance, carteras digitales conectadas a internet, en varias blockchains, y transfirieron la mayor parte de los fondos en poco menos de 20 minutos. Binance estima el impacto en aproximadamente 6.300 millones de dólares, lo que lo convertiría en el mayor robo de criptomonedas jamás registrado.
En las horas siguientes, las empresas de análisis de blockchain TRM Labs y Chainalysis vincularon el ataque al grupo norcoreano TraderTraitor. Binance había indicado inicialmente que la intrusión podría haber comenzado con el ordenador portátil comprometido de un ingeniero DevOps, y se había comprometido a cubrir la totalidad de las pérdidas.
Una atribución formalizada por el FBI
El FBI publicó su alerta el 31 de octubre, dos días después del robo. «El FBI, junto con los socios del USSS y el IRS-CI, ha observado que actores de TraderTraitor están convirtiendo los activos robados principalmente en Ethereum (ETH). Se prevé que estos activos sean luego lavados convirtiéndolos a través de servicios DeFi y exchanges instantáneos, con miras a las siguientes etapas de blanqueo», indica la agencia.
La alerta enumera 608 direcciones de Ethereum, 19 direcciones de Bitcoin y una dirección de Solana que actualmente poseen, o han poseído, el producto del robo. Junto con el Servicio Secreto y el IRS-CI, el FBI solicita a los operadores de nodos THORChain y nodos RPC, a los exchanges instantáneos, a los servicios DeFi y a las empresas de análisis de blockchain que rechacen las transacciones vinculadas a estas direcciones. La agencia ya había atribuido al mismo grupo el robo de 1.500 millones de dólares sufrido por Bybit en febrero de 2025.
Binance menciona un ataque más amplio que un solo ordenador
Binance ha precisado desde entonces sus hallazgos iniciales. En un comunicado, el codirector general Richard Teng afirma: «Nuestra investigación inicial sugería que el incidente de seguridad podía implicar un ordenador portátil comprometido, pero nuestra investigación posterior reveló puntos de compromiso adicionales». Describe un ataque complejo, que «no fue llevado a cabo por una sola persona», e indica que el atacante utilizó una funcionalidad de delegación de Ethereum, la EIP-7702, que «no pasó por nuestros controles de aprobación habituales». Binance aún no ha detallado estos puntos de compromiso adicionales y promete un análisis técnico post-mortem una vez verificados los hechos. Según Richard Teng, el atacante también desplegó un mecanismo de autodestrucción que borró sus herramientas y sus huellas, lo que complica la investigación. Los retiros se reanudaron por etapas a partir del 1 de noviembre, comenzando por la red Bitcoin. El domingo a media mañana, el exchange indicó haber procesado aproximadamente 4.600 millones de dólares en retiros y 1.000 millones de dólares en depósitos. Afirma haber reemplazado alrededor del 95 % del monto robado con sus propios fondos y está comprando el resto de los tokens, menos líquidos, en el mercado y de forma extrabursátil.
Un blanqueo que parece automatizado
La empresa Elliptic cifra el robo en 6.430 millones de dólares repartidos en 11 blockchains, de los cuales 2.850 millones de dólares han sido congelados o incautados en cadena. Según sus últimos datos, el atacante controla aún unos 3.250 millones de dólares en activos que ningún emisor puede congelar, distribuidos en más de 800 direcciones, incluyendo aproximadamente 584.000 ETH, 18.327 BTC y 233 millones de XRP. Elliptic destaca que el blanqueo «no duerme», a diferencia de los esquemas de trabajo humano observados durante el robo contra Bybit.
La principal cartera que distribuía los fondos en Tron continuó realizando pagos cada hora durante más de un día. Cuando un puente entre cadenas rechazó los depósitos, el sistema redirigió el dinero hacia el mismo destino a través de carteras recién creadas. A finales de octubre, unos 196 millones de dólares habían transitado desde esta cartera hacia una cuarentena… hacia unos 200 carteras más, siendo THORChain la principal vía de salida, con aproximadamente 31 millones de dólares. Elliptic no puede establecer si la automatización se basa en agentes de IA o en scripts clásicos, y espera un blanqueo extendido durante varios meses, como tras el robo contra Bybit. Chainalysis señala por su parte esquemas de blanqueo que indican automatización, en particular miles de transacciones en poco tiempo y muchas direcciones recientes cuya primera transferencia fue exactamente de 1 TRX.
