El FBI atribuyó al grupo TraderTraitor de Corea del Norte el robo, ocurrido el 29 de octubre, de activos virtuales por valor de 6.300 millones de dólares de Binance, pero los investigadores aún examinan cómo entraron los atacantes y qué se puede recuperar.
Qué saben los investigadores sobre el ataque
Binance afirma que los atacantes drenaron activos de su infraestructura de billeteras calientes, no de las cuentas individuales de miles de clientes, y que repondrá el faltante. En un primer momento, Binance dijo que un portátil de un empleado comprometido podría haber abierto el acceso a un servicio interno utilizado para solicitar retiros. Más tarde informó de otros puntos de acceso vulnerados y afirmó que no había indicios de que se hubieran expuesto las claves privadas de las billeteras. La empresa no ha publicado un informe técnico completo.
TRM Labs afirma que, en Ethereum, el atacante utilizó una función de billetera para hacer que la billetera caliente de Binance transfiriera activos bajo el control del atacante. En otras redes, las transferencias parecían transacciones firmadas mediante el procedimiento habitual. Según TRM, sus hallazgos apuntan a una vulneración de la infraestructura de firma de transacciones del exchange. De ser así, los atacantes podrían haber encontrado la forma de hacer que el sistema aprobara transferencias que parecían válidas, en lugar de robar una clave maestra.
Qué respalda la atribución a Corea del Norte
La atribución pública del FBI se produjo después de que varias empresas de análisis de cadenas de bloques llegaran a sus propias conclusiones, pero el organismo no ha publicado una explicación completa de las pruebas. TRM afirma que su evaluación se basa en información dentro y fuera de la cadena y en similitudes con robos anteriores vinculados a Corea del Norte. Chainalysis señala que los fondos robados a Binance se mezclaron con fondos procedentes de otro robo que atribuyó a Corea del Norte. El FBI afirma que los investigadores observaron cómo los atacantes convertían los activos robados principalmente en Ethereum y publica direcciones de billeteras que vincula con TraderTraitor. Se trata de hallazgos de una investigación, no de una sentencia judicial pública que identifique a los autores individuales.
En febrero de 2025, el FBI responsabilizó a TraderTraitor del robo de unos 1.500 millones de dólares al exchange de criptomonedas Bybit. Más tarde, Chainalysis calculó que los hackers norcoreanos robaron criptomonedas por valor de 2.020 millones de dólares solo durante 2025. Funcionarios del Departamento del Tesoro de Estados Unidos afirman que el robo y el blanqueo de fondos mediante ciberataques vinculados al Estado ayudan a Pionyang a financiar programas armamentísticos, mientras las sanciones limitan su acceso a las vías de financiación convencionales. Las pruebas públicas no permiten determinar a dónde iría a parar, en última instancia, cada dólar robado a Binance.
Por qué puede ser difícil recuperar los fondos
El blanqueo busca dificultar el rastreo y la congelación de las criptomonedas robadas, así como su conversión en dinero utilizable. Las cadenas de bloques registran públicamente las transferencias, pero las direcciones de las billeteras no identifican automáticamente a sus propietarios. El FBI prevé que los fondos pasen por servicios de finanzas descentralizadas e intercambio instantáneo, y ha pedido a exchanges, operadores de nodos y otras empresas del sector de las criptomonedas que bloqueen las transacciones vinculadas a las direcciones señaladas.
Los emisores de monedas estables pueden congelar los tokens vinculados a direcciones señaladas, pero Bitcoin y Ethereum no tienen un emisor central con el mismo nivel de control. Binance afirmó que se habían congelado activos por unos 3.000 millones de dólares; el recuento inicial de TRM fue de aproximadamente 2.700 millones y calculó que cantidades considerables de bitcoin y ether seguían fuera del alcance de cualquier emisor. Una congelación no devuelve el dinero: aún hacen falta medidas legales y operativas para transferir el control.
El plan de Binance para sus clientes
Binance afirmó que había repuesto el 90 % del importe afectado con su fondo de emergencia de protección de usuarios, una parte de su fondo de seguro de futuros y dinero de la empresa. Según indicó, el 10 % restante corresponde a tokens menos líquidos que todavía está buscando. La empresa se ha comprometido a asumir el impacto financiero en lugar de trasladarlo a los usuarios.
Binance programó una primera fase de retiros para el 1 de noviembre, entre las 06:00 y las 09:00 UTC, y dijo que reabriría otras redes después de realizar controles de seguridad. Afirmó que esperaba publicar una prueba criptográfica completa de reservas antes del 3 de noviembre y prometió ofrecer un informe más detallado una vez concluida la investigación. Las próximas pruebas serán si Binance puede restablecer el acceso de forma segura y si los investigadores y sus socios del sector pueden convertir el rastro de transacciones en fondos que se devuelvan.