Los atacantes detrás del hackeo de Binance han convertido 175 millones de dólares en altcoins robadas en aproximadamente 2,300 BTC, según la firma de análisis de blockchain Elliptic. El bitcoin adicional provino del intercambio de activos que ya habían sido sustraídos durante el breach del 29 de octubre en el exchange, lo que significa que las conversiones cambiaron la forma de los fondos previamente robados en lugar de reflejar un nuevo robo. En otras palabras, las operaciones modifican dónde se encuentran los fondos y qué tan difícil es rastrearlos, no cuánto fue sustraído.

El informe de Elliptic, actualizado el 7 de noviembre, describió transferencias extensas a través de miles de wallets, múltiples blockchains y decenas de servicios. El detallado registro diario de la firma también rastreó bitcoin ingresando a transacciones coinjoin, herramientas de privacidad que combinan monedas de múltiples usuarios y complican los esfuerzos de rastreo.

El informe del hackeo de Binance rastrea 175 millones de dólares en conversiones a bitcoin

Tom Robinson, cofundador y científico jefe de Elliptic, caracterizó la operación de lavado como altamente automatizada. Su análisis contabilizó más de 20,000 wallets en 16 blockchains, con la participación de al menos 36 servicios y 65,000 transacciones, un ritmo que promedió aproximadamente una wallet nueva cada 30 segundos y una transacción cada 10 segundos. Esas cifras describen actividad agregada y no constituyen prueba de que la inteligencia artificial dirigiera las transferencias.

Altcoins robadas, incluidas SOL, XRP y TRX, contribuyeron a las conversiones en bitcoin. Alrededor de 90 millones de dólares en SOL se movieron mediante swaps, puentes y servicios de privacidad —intercambios de token a token, transferencias entre blockchains y herramientas diseñadas para ocultar los rastros de las transacciones—, y gran parte del valor terminó convirtiéndose en bitcoin. THORChain también estuvo involucrado, facilitando conversiones entre redes. Ethereum representó una porción menor de los activos convertidos, mientras que las tenencias principales de bitcoin y ether de los atacantes permanecieron inactivas.

La entrada del 7 de noviembre indicó que alrededor de 88 BTC, con un valor de 6.7 millones de dólares, habían ingresado a coinjoins estilo Wasabi. Estas transacciones combinan insumos de múltiples participantes, lo que dificulta identificar vínculos directos entre los bitcoins entrantes y salientes. Robinson también identificó aproximadamente 412,000 NEAR, con un valor de 1.5 millones de dólares, saliendo de la cuenta principal en lotes pequeños. Los 2,300 BTC recién convertidos se han colocado en direcciones de bitcoin separadas, distintas de las tenencias existentes de los atacantes.

Los totales de las wallets difieren mientras los investigadores rastrean los fondos robados

Un conteo separado de la plataforma de análisis Arkham muestra un incremento mucho menor que la estimación de conversión de Elliptic. La entidad etiquetada de Arkham reportadamente poseía 18,384.725 BTC a las 10 a.m. hora del Este del 7 de noviembre, en comparación con los 18,270.2 BTC drenados durante el hackeo de Binance, una diferencia de aproximadamente 114.525 BTC, muy por debajo de la cifra de 2,300 BTC. Una página de entidad de Arkham revisada para este artículo mostraba aproximadamente 18,387 BTC en sus wallets etiquetadas, según news.bitcoin.com.

Esas lecturas no concilian por sí solas ambas plataformas. Una comparación requeriría hacer coincidir direcciones, marcas de tiempo y suposiciones sobre qué wallets pertenecen a los atacantes. La cifra de Elliptic cubre las altcoins robadas convertidas, mientras que el saldo de Arkham cubre direcciones agrupadas bajo su etiqueta de entidad. Las diferencias en cobertura o cronología podrían explicar la brecha, aunque los informes disponibles no establecen la causa. Este tipo de divergencias son un rasgo recurrente de las investigaciones on-chain, ya que cada plataforma de análisis aplica sus propias etiquetas de entidad y reglas de cobertura a las mismas direcciones subyacentes.

Los registros on-chain citados en el informe muestran depósitos de bitcoin desde bóvedas de THORChain y swaps de TRX a través de Sun.io, un protocolo de intercambio en la red TRON, lo que indica actividad de lavado continua relacionada con el hackeo junto a las tenencias principales de bitcoin y ether, que permanecen inactivas.

Lavar bitcoin sigue siendo distinto de convertir las ganancias en fondos gastables. Elliptic evaluó que solo una cantidad insignificante de los activos robados probablemente había llegado a la etapa de retiro de efectivo, a pesar de las extensas transferencias entre ellos. Dado que el registro de Elliptic se compila día a día, las cifras del 7 de noviembre son una instantánea de una operación aún en movimiento; las entradas posteriores del informe, junto con rastreadores de saldo publicados como la página de entidad de Arkham, son el registro continuo que hay que observar mientras continúa el rastreo.

Cómo se desenvolvió el breach y la respuesta de Binance

Los atacantes drenaron 18,270.2 BTC del exchange en el incidente del 29 de octubre. Los investigadores determinaron que habían obtenido acceso no autorizado a un servicio interno de firma de wallets, y Binance describió dispositivos de empleados comprometidos y software malicioso previo a las transferencias no autorizadas.

Después del incidente, el exchange dijo que había cerrado los puntos de entrada identificados y reconstruido o reemplazado los sistemas afectados. Su respuesta incluyó controles de dispositivos más estrictos y verificaciones más rigurosas en los servicios de wallets tras el incidente.

Binance valoró los activos afectados en aproximadamente 6,340 millones de dólares en su informe de incidentes del 3 de noviembre y dijo que había reservado fondos más que suficientes para absorber el impacto financiero. La compañía también citó información del FBI que atribuye el incidente a Corea del Norte. Dijo que el 98% de los activos en tokens afectados había sido repuesto para el 31 de octubre, mientras continuaban las compras de los activos ilíquidos restantes. Binance reportó aproximadamente 2,850 millones de dólares en activos congelados o interceptados, sujetos a conciliación y cambios en los precios de mercado.

Fuente: Blockonomi