Dos empresas de rastreo atribuyen a Corea del Norte el robo de más de US$ 6.300 millones a Binance; ningún gobierno lo confirmó

Dos empresas que rastrean movimientos de criptomonedas atribuyeron a Corea del Norte el ataque que sufrió Binance, la mayor plataforma de compraventa de criptomonedas del mundo, en la tarde del jueves 29 de octubre. TRM Labs informó que atribuye el robo a TraderTraitor, a la que describe como la principal unidad de piratas informáticos de Corea del Norte, y que hace esa evaluación «con alto grado de confianza», sobre la base de información obtenida dentro y fuera de las cadenas de bloques^[1]. Chainalysis llegó a la misma conclusión^[2]. Ninguna autoridad respaldó esa atribución hasta ahora: el propio informe de TRM aclara que ningún gobierno le atribuyó el robo a nadie^[3].

Según TRM, alrededor de US$ 6.360 millones, calculados a los precios del momento de cada transferencia, salieron de billeteras de Binance en diez redes: XRP Ledger, Ethereum, Bitcoin, Tron, Solana, Arbitrum, Optimism, Base, Avalanche y Polygon. La mayor parte se movió en unos 20 minutos a partir de las 17:05 (hora argentina), y una segunda ola, cerca de las 20:05, vació billeteras en Avalanche y Polygon. Solo en Ethereum salieron unos US$ 3.790 millones, y en Bitcoin, 18.270 BTC. En Ethereum, el atacante usó 50 autorizaciones firmadas de antemano para convertir una billetera de Binance en una que transfería todo lo que recibía. En las otras nueve redes, los fondos salieron con transferencias firmadas comunes. Para TRM, eso indica que el atacante comprometió el sistema con el que Binance firma las salidas de sus billeteras operativas^[1]. Chainalysis calcula el robo en unos US$ 6.400 millones y fecha el inicio de las salidas hacia las 17:20 (hora argentina)^[2].

La principal prueba de Chainalysis para culpar a TraderTraitor es que vio, en tiempo real, cómo los fondos robados a Binance se mezclaban con los que habían sido robados en septiembre a la plataforma Bitget, un robo que Chainalysis atribuye a actores norcoreanos^[2] y que TRM considera un «probable» ataque de Corea del Norte, sin atribución oficial. TRM estimó ese robo en US$ 351,6 millones^[4].

Lo que dicen Binance y las autoridades

Binance no nombró a ningún responsable en sus comunicados. En el primero, del jueves a las 23:23, dijo que su investigación preliminar «sugiere» que el ataque empezó con la computadora portátil comprometida de un ingeniero. Agregó que colabora con las fuerzas de seguridad y que publicará un análisis técnico cuando termine la investigación^[7]. El viernes a las 5:47 informó que la investigación posterior «descubrió otros puntos de intrusión» y que prevé reabrir los retiros en 45 horas, es decir, hacia la madrugada del domingo 1 de noviembre^[8]. A las 11:32, su codirector ejecutivo, Richard Teng, publicó en X un video de algo más de cuatro minutos, presentado como «una actualización sobre el incidente»^[9].

Hay un precedente de cuánto puede tardar una confirmación oficial. Después del robo de unos US$ 1.500 millones a la plataforma Bybit, el 21 de febrero de 2025, el FBI lo atribuyó a Corea del Norte y a TraderTraitor en una alerta del 26 de febrero, cinco días más tarde^[5]. El FBI, junto con la Policía Nacional de Japón, también responsabilizó a TraderTraitor del robo de US$ 308 millones a la plataforma japonesa DMM Bitcoin, en mayo de 2024^[6].

Cuánto está congelado y dónde está el resto

Las cifras de lo bloqueado no coinciden del todo. Binance habla de unos US$ 3.000 millones congelados^[7]. Chainalysis calcula unos US$ 2.800 millones^[2], y TRM, unos US$ 2.700 millones, con datos de la noche del jueves (21:30, hora argentina): 1.770 millones de USDT bloqueados por Tether, 825 millones de USDC por Circle, 40,5 millones de RLUSD por Ripple, 27,8 millones de USD1 por World Liberty Financial y unos US$ 30 millones en ETH y ARB inmovilizados por el Consejo de Seguridad de la red Arbitrum^[1].

Según TRM, el atacante todavía controla más de 420.000 ETH y los 18.270 BTC, unos US$ 2.400 millones que ningún emisor puede congelar porque esas monedas no tienen una empresa que las controle. En los primeros minutos, el atacante vendió unos 325 millones de USDT a creadores de mercado con un descuento de más del 10%, a cambio de unos 122.300 ETH; depositó 60 millones de USDT en la plataforma de préstamos Aave para tomar prestados unos 19.760 ETH, y Aave congeló los mercados afectados. En la red Tron movió 300 millones de USDT a la plataforma JustLend. Los bitcoins se están dispersando en una cadena de transferencias sucesivas. TRM prevé que la etapa siguiente use puentes entre redes y corredores de compraventa directa, aunque todavía no lo observó^[1]. Chainalysis detectó miles de transacciones en poco tiempo, lo que indica, según la empresa, que los atacantes usan herramientas automáticas^[2].

Binance sostiene que cubrirá todas las pérdidas con su fondo de reserva para usuarios, el SAFU, y con fondos propios^[7]. La empresa no publicó el saldo de ese fondo.

El peso de Corea del Norte en los robos de criptomonedas

Con la atribución del ataque a Binance, TRM calcula que Corea del Norte robó unos US$ 12.800 millones en criptomonedas en 100 incidentes desde 2017, de los cuales US$ 7.400 millones corresponden a 2026. Según la empresa, el país explica el 85% del valor de todos los robos de criptomonedas del mundo en lo que va del año, y cinco ataques (Binance, Bybit, Ronin, Bitget y DMM Bitcoin) suman US$ 9.100 millones de ese total^[3]. Si se confirma la cifra de TRM, el robo sería más de cuatro veces el de Bybit (US$ 1.500 millones).