Chainalysis y TRM Labs vinculan el hackeo de 6.300 millones de dólares a Binance con TraderTraitor, de Corea del Norte
Las firmas de análisis blockchain Chainalysis y TRM Labs atribuyeron el hackeo de 6.300 millones de dólares a Binance al grupo TraderTraitor, de Corea del Norte. Binance ha reservado más de 6.340 millones de dólares para cubrir el incidente, y los emisores de stablecoins han congelado miles de millones en fondos robados.
Escrito por la redacción de IA de CoinArticle · a partir de 2 fuentes citadas. Cómo trabajamos
Información de: Bitcoin Magazine — esta noticia se basa, por ahora, en una única fuente.
Atribución y alcance
Chainalysis y TRM Labs han atribuido el hackeo a Binance a TraderTraitor, un grupo de hackers norcoreano. TRM Labs afirmó haber llegado a la atribución "con alta confianza" basándose en "inteligencia sólida dentro y fuera de la cadena", y situó el robo en unos 6.360 millones de dólares. Chainalysis lo cifró en unos 6.400 millones de dólares. Ambas firmas describen el episodio como el mayor robo de criptomonedas registrado, unas cuatro veces superior al hackeo de 1.500 millones de dólares a Bybit de febrero de 2025, que el FBI atribuyó al mismo grupo.
Chainalysis afirmó que su evidencia más sólida surgió cuando los investigadores observaron que los fondos robados de Binance se mezclaban en tiempo real con los ingresos del exploit de Bitget del mes pasado, que también se había vinculado a actores norcoreanos. Pangolin Intelligence, con sede en Singapur, dijo a CNN que había llegado a una conclusión similar. Corea del Norte ha negado con anterioridad las acusaciones de hackeo.
Cómo se desarrolló el ataque
Según TRM Labs, los fondos salieron de las carteras de Binance en 10 blockchains, la mayoría de ellos en unos 20 minutos a partir de las 16:05 hora del Este de Estados Unidos del jueves. Chainalysis indicó que la cartera operativa del atacante se financió a través del mezclador Tornado Cash, y TRM señaló que esa función y la preparación, iniciada mucho antes del robo, coincidían con ataques anteriores vinculados a Corea del Norte, incluido el hackeo a Bybit y el exploit de KelpDAO de abril.
En Ethereum, TRM afirmó que el atacante utilizó una delegación EIP-7702, una función introducida con la actualización Pectra que permite a una cartera ordinaria ejecutar código de contratos inteligentes, para convertir una cartera caliente de Binance en un barredor bajo su control. Preparó 50 autorizaciones pre-firmadas con antelación. Las carteras de las otras nueve cadenas enviaron fondos mediante transferencias firmadas ordinarias. TRM concluyó que esto apunta a un compromiso de la infraestructura de firma de las carteras calientes de Binance.
Binance declaró que su investigación comenzó con el portátil de un ingeniero comprometido, pero que desde entonces ha descubierto "puntos adicionales de brecha". Informes anteriores habían señalado que el exchange no había encontrado pruebas de una filtración de claves privadas; esa declaración debe leerse ahora junto con el nuevo hallazgo.
Blanqueo y congelaciones de stablecoins
Chainalysis afirmó que observa "patrones de blanqueo nunca vistos antes", con miles de transacciones en un periodo corto que sugieren el uso de automatización para hacer circular los fondos entre direcciones. TRM indicó que el atacante vendió USDT a creadores de mercado y pidió prestado ETH frente a USDT en el protocolo de préstamos Aave para adelantarse a las congelaciones de los emisores. TRM calcula que el atacante posee ahora más de 420.000 ETH y 18.270 BTC, unos 2.000 millones de dólares.
Los emisores de stablecoins actuaron para contener las consecuencias. El CEO de Tether, Paolo Ardoino, afirmó que la empresa congeló más de 1.567 millones de dólares en USDT. El CEO de Circle, Jeremy Allaire, dijo que Circle congeló más de 800 millones de dólares en USDC en coordinación con las fuerzas de seguridad. El CEO de First Digital, Vincent Chok, afirmó que se ha congelado el FDUSD robado. Binance indica que en total se han congelado en cadena unos 3.000 millones de dólares.
Binance afirma haber reservado más de 6.340 millones de dólares de fondos de la empresa para cubrir el incidente. Unos 5.000 millones de dólares de esa reserva están en los activos de tokens afectados, y el resto se está adquiriendo mediante canales de mercado y OTC. Los activos congelados y protegidos siguen pendientes de verificación, y el exchange prevé publicar una Prueba de Reservas actualizada.
Reacción del mercado
Bitcoin cayó hacia los 76.000 dólares el viernes por la mañana, antes de cotizar cerca de 77.400 dólares. Las liquidaciones totales del mercado alcanzaron los 1.500 millones de dólares, de los cuales 468 millones correspondieron a bitcoin y 358 millones a ether. Las posiciones largas soportaron la mayor parte de las pérdidas. La caída coincidió con un incidente separado en la plataforma de apuestas descentralizada Polymarket, que suspendió la negociación internacional después de que hackers vaciaran más de 2,6 millones de dólares de cuentas de usuarios.
Geoffrey Kendrick, de Standard Chartered, dijo a CoinDesk que la evolución negativa de los precios puede tener aún recorrido, y que se formará una nueva base una vez que los activos se descongelen y surjan más detalles. Sostuvo que el incidente podría acelerar un cambio hacia los exchanges descentralizados.
Fuerzas de seguridad y advertencias
Reuters, citando a una persona familiarizada con el asunto, informó de que Binance trabaja con el FBI y el Servicio Secreto de Estados Unidos. El exdirector ejecutivo Changpeng Zhao, que sigue siendo un accionista clave, escribió en X: "Parece un hackeo".
Chainalysis ha advertido de que estafadores se hacen pasar por la empresa, incluidos quienes ofrecen servicios de recuperación de fondos y de captación. Las víctimas deben tratar con cautela las ofertas de recuperación no solicitadas y recurrir a canales oficiales para obtener actualizaciones.
Por qué importa
Para los traders
Las liquidaciones en curso y las unos 2.000 millones de dólares en tenencias blanqueadas aún no del atacante hacen que la evolución de los precios a corto plazo sea frágil hasta que avancen las congelaciones y la verificación de activos.
Para los inversores
La atribución a un grupo vinculado a un Estado y una pérdida unas cuatro veces superior a la de Bybit reabren preguntas sobre la custodia de los exchanges, las reservas y la exposición a sanciones.
Para los desarrolladores
El abuso de la delegación EIP-7702 y las autorizaciones pre-firmadas demuestran que la infraestructura de firma de las carteras calientes y las funciones de cuentas inteligentes necesitan revisiones de permisos más estrictas.
Este artículo es solo informativo y no constituye asesoramiento financiero. Lee el aviso legal completo.
