Una cartera que contiene fondos robados en el hackeo récord a Binance ha movido 120 millones de TRX a una dirección desconocida, según el rastreador on-chain Whale Alert. La transferencia marca el paso más reciente en el esfuerzo de los atacantes por lavar el botín del ataque del 29 de octubre, e ilustra por qué el token nativo de Tron está resultando mucho más difícil de recuperar que las stablecoins sustraidas en el mismo ataque.

Qué se movió y de dónde provino

Para el 30 de octubre, las firmas de forense blockchain habían señalado direcciones específicas de Tron controladas por los atacantes, cada una con exactamente 120 millones de TRX. Otra cartera del mismo grupo habría contenido alrededor de 158,2 millones de TRX.

Desde el ataque, transferencias más pequeñas han seguido saliendo de otras direcciones vinculadas al grupo. Los investigadores describen esos movimientos como consistentes con transferencias tipo peel chain, una técnica común de lavado en la que los fondos robados se pasan por una serie de direcciones en porciones cada vez más pequeñas. Cada porción es lo bastante pequeña para parecer insignificante por sí sola, pero en conjunto dificultan el rastreo de la suma original y facilitan su cobro por partes.

El ataque detrás del dinero

El ataque golpeó a Binance el 29 de octubre de 2026, drenando aproximadamente 6.300 millones de dólares en activos digitales de las hot wallets del exchange, las carteras conectadas a internet que los exchanges mantienen con fondos para procesar los retiros de los clientes, en alrededor de diez blockchains. Toda la operación tomó unos 20 minutos, y el incidente ha sido descrito como un evento récord para la industria tanto en escala como en velocidad.

Tron fue una de las redes más afectadas. Los atacantes extrajeron 612,7 millones de USDT y 46,4 millones de TRX de las hot wallets de Binance en esa cadena. Luego usaron SunSwap, un exchange descentralizado en Tron, para intercambiar aproximadamente 234 millones de USDT por un estimado de 638 millones de TRX.

Ese intercambio tiene más importancia de lo que puede parecer a primera vista. USDT es una stablecoin emitida por Tether, y Tether puede congelar tokens en direcciones específicas. TRX, en cambio, no tiene un emisor central con función de congelamiento. Los hallazgos de investigación señalan que los activos no congelables como TRX siguen representando un desafío para los esfuerzos de recuperación.

Tether y Circle congelaron aproximadamente entre 2.700 y 3.000 millones de dólares en stablecoins tras el ataque, una acción posible gracias a ese control a nivel de emisor, la misma herramienta que ambos emisores han usado para bloquear fondos vinculados a exploits anteriores.

Quién está detrás y cómo respondió Binance

El incidente se ha atribuido con alta confianza a TraderTraitor, un grupo de hackers norcoreano vinculado a explotaciones anteriores de gran escala. Investigadores de las Naciones Unidas han estimado que las operaciones cibernéticas norcoreanas han robado miles de millones de dólares en criptomonedas en los últimos años, fondos que, según su evaluación, ayudan a financiar los programas de armas del país. Binance investiga una laptop de DevOps comprometida como el posible vector de ataque inicial.

El exchange dijo que cubrirá todas las pérdidas de los clientes afectados. Suspendió temporalmente los retiros de las carteras impactadas, un paso de contención estándar mientras la investigación está en curso, y apartó más de 6.340 millones de dólares en fondos de la compañía para absorber el daño.

Porciones significativas de los activos robados, en particular el TRX, permanecen en manos de los hackers. Los hallazgos de investigación describen a los atacantes como en pleno proceso de lavado de los fondos.

Qué significa esto

La historia más amplia es la división entre lo que puede y no puede recuperarse. Las stablecoins resultaron parcialmente recuperables porque sus emisores pueden congelarlas, y miles de millones de dólares quedaron bloqueados en cuestión de días. Los tokens nativos como TRX juegan con reglas distintas: una vez que salen del control de un exchange, la recuperación depende del rastreo, la cooperación de otras plataformas y detectar el dinero cuando intenta salir. En la práctica, eso significa observar dónde aparece el TRX a continuación; si llega a direcciones de depósito de exchanges, las plataformas con controles de cumplimiento pueden marcar y bloquear depósitos vinculados a un exploit.

Los hallazgos de investigación apuntan a un mayor escrutinio de la seguridad de los exchanges centralizados y a la posibilidad de protocolos más estrictos en toda la industria. Los hallazgos también sugieren que algunos traders podrían considerar un giro hacia los exchanges descentralizados tras el ataque. De manera notable, los propios atacantes usaron un exchange descentralizado, SunSwap, para mover su dinero a una forma más difícil de congelar.

Este artículo se basa en el reportaje de CryptoBriefing, donde fue editado por John Chen. Original: 120 millones de TRX del hackeo a Binance se mueven a una cartera desconocida