Grupo Lazarus, principal sospechoso del robo de 6.300 millones de dólares de la billetera caliente de Binance
Investigadores de blockchain han vinculado el robo del 29 de octubre de unos 6.000 millones de dólares a Binance con el Grupo Lazarus de Corea del Norte, aunque las cifras exactas y la atribución siguen en disputa. Binance no ha confirmado la identidad del atacante, y la magnitud convertiría este en el mayor robo de criptoactivos registrado.
Escrito por la redacción de IA de CoinArticle · a partir de 2 fuentes citadas. Cómo trabajamos
La magnitud reportada del robo
Los investigadores de blockchain sitúan el valor del robo del 29 de octubre a Binance entre 6.300 y 6.360 millones de dólares, según la fuente. Crypto.news informó de una cifra de aproximadamente 6.300 millones de dólares, mientras que TRM Labs rastreó unos 6.360 millones de dólares que salieron de billeteras controladas por Binance en diez redes, entre ellas Ethereum, Bitcoin, Tron, Solana y el XRP Ledger. CoinDesk describió la pérdida como casi 6.000 millones de dólares, una cifra redondeada que se sitúa dentro del mismo rango.
La diferencia entre las estimaciones refleja cómo se contabilizaron los fondos, y no una disputa sobre el hecho principal. TRM indicó que la mayor parte de las salidas se produjo en unos 20 minutos a partir de las 20:05 UTC, con unos 3.790 millones de dólares movidos en Ethereum, 1.470 millones en Bitcoin y 628 millones en Tron. También identificó 233,46 millones de XRP, valorados en casi 296 millones de dólares, que salieron de cinco billeteras de Binance antes de que comenzara la actividad en Ethereum.
Atribución a Lazarus y TraderTraitor
TRM Labs atribuyó el ataque a TraderTraitor, una unidad de piratería norcoreana que asocia con el Grupo Lazarus, y afirmó haber llegado a esa conclusión con alta confianza. TRM no divulgó públicamente todas las pruebas en que se basa la atribución. El investigador de blockchain ZachXBT identificó por separado a Lazarus como el probable atacante. Los investigadores de seguridad citados por CoinDesk también señalaron a Lazarus, mientras que Binance no ha confirmado quién llevó a cabo el robo.
El FBI ya había vinculado a TraderTraitor con el robo a Bybit de febrero de 2025, en el que se extrajeron unos 1.500 millones de dólares de ese exchange. Las autoridades estadounidenses han acusado a las operaciones de piratería norcoreanas de robar criptoactivos para financiar los programas armamentísticos del país. En esta etapa, la atribución se basa en el análisis de investigadores privados y no en una conclusión oficial de ningún gobierno.
Cómo se vulneró la billetera
La revisión técnica de Blockaid identificó una transacción inusual en Ethereum con 50 autorizaciones EIP-7702 dirigidas a Binance 14, una de las billeteras calientes más activas del exchange. EIP-7702 permite que una billetera de Ethereum autorice código de contrato inteligente a actuar en su nombre. Según Ido Ben-Natan, cofundador y CEO de Blockaid, el atacante preparó autorizaciones contra 50 contadores de transacciones consecutivos, de modo que una coincidiera con el contador actual de la billetera. Solo una tuvo éxito, y permitió que un contrato malicioso moviera activos fuera de la billetera.
Ben-Natan afirmó que el atacante había reprogramado efectivamente la billetera caliente para que un solo operador pudiera vaciarla, incluidos los fondos depositados posteriormente. Blockaid estimó que unos 2.500 millones de dólares salieron de Binance 14, incluidos 167.464 ETH y más de 1.600 millones de dólares en USDT. TRM señaló que la preparación comenzó al menos 36 horas antes del robo, con tres pequeños retiros de Tornado Cash que se usaron para financiar una billetera controlada por el atacante que probó el código malicioso.
Fondos restantes y riesgo de blanqueo
Onchain Lens informó de que el atacante trasladó 17.260 ETH, por un valor de unos 38,82 millones de dólares, a una nueva billetera, lo que suscita preocupación por que los fondos puedan blanquearse a través de Tornado Cash u otros mezcladores. El mismo rastreador indicó que el atacante seguía teniendo unos 480.720 ETH, con un valor cercano a 1.080 millones de dólares, que los emisores de tokens no pueden congelar. Ben-Natan afirmó que el equipo de Blockaid continúa rastreando los activos robados y que los investigadores han identificado transferencias adicionales que involucran a Bitcoin y Tron. No se ha informado si los saldos restantes pueden recuperarse.
Por qué importa
Para los traders
Las transferencias continuadas del atacante y el posible uso de mezcladores podrían mantener volátiles la liquidez y la evolución de precios de ETH, USDT y XRP mientras prosigue el rastreo en cadena.
Para los inversores
Un robo de esta magnitud en el mayor exchange plantea preguntas sobre las prácticas de custodia y el riesgo de contraparte en las plataformas centralizadas.
Para los desarrolladores
La vulnerabilidad de autorización EIP-7702 demuestra que el código de billeteras delegadas puede abusarse mediante la manipulación del nonce, por lo que deben revisarse los diseños de billeteras y de billeteras calientes.
Este artículo es solo informativo y no constituye asesoramiento financiero. Lee el aviso legal completo.
