Los atacantes detrás del robo de 6.300 millones de dólares en Binance han comenzado a dividir su botín según una línea divisoria clara: los activos que pueden congelarse o potencialmente recuperarse, y los activos que quedan fuera del alcance de los controles de congelamiento. Esa línea divisoria será determinante para decidir cuántos de los fondos robados podrán devolverse algún día.

Los emisores de stablecoins están activando los mecanismos de lista negra y congelamiento, mientras los hackers corren para trasladar los fondos a ETH, BTC y otros tokens sin emisores ni interruptor de apagado. La carrera por aislar los tokens antes de que crucen hacia territorio irrecuperable se produce después de lo que se ha descrito como el mayor robo en la historia de las criptomonedas —uno que, irónicamente, golpeó al exchange de criptomonedas más grande del mundo. El informe inicial de Binance sobre el incidente atribuyó el exploit a la computadora portátil comprometida de un ingeniero de DevOps.

¿Qué se ha congelado del hackeo de Binance?

Los atacantes, a quienes las firmas de inteligencia blockchain TRM Labs y Chainalysis han identificado con alta confianza como la unidad TraderTraitor de Corea del Norte, han visto congelados casi 3.000 millones de dólares de los tokens que sacaron del exchange. La atribución tiene peso práctico: unidades vinculadas a Corea del Norte de este tipo han sido señaladas previamente en acciones de sanciones de Estados Unidos, que otorgan a los investigadores una base legal para perseguir incautaciones y decomisos junto con los congelamientos on-chain.

Tether y Circle, los emisores de las stablecoins más grandes por capitalización de mercado, han incluido en su lista negra aproximadamente 1.770 millones de USDT y 825 millones de USDC respectivamente, según TRM Labs. La inclusión en la lista negra es un control integrado de las stablecoins centralizadas —los tokens de una dirección listada ya no pueden moverse—, un poder que simplemente no existe para activos como ETH o BTC. De los 88,5 millones de RLUSD robados, Ripple ha congelado 40,5 millones, mientras que World Liberty Financial, vinculado a Trump, ha bloqueado 27,8 millones de su token USD1. El Security Council de Arbitrum también intervino, ayudando a detener 30,5 millones de dólares.

Aun así, los atacantes vinculados a Corea del Norte todavía tienen casi 3.000 millones de dólares que ninguna entidad puede tocar, según el seguimiento de Arkham y Lookonchain: aproximadamente 1.090 millones de dólares en ETH, 1.410 millones en BTC y 682,9 millones de TRX. El atacante también obtuvo 158,25 millones de dólares vendiendo altcoins como AAVE, ENA, LINK, PEPE y UNI, y desde entonces ha convertido todo ese dinero en Ethereum, un activo no congelable.

¿Quién puede intervenir y quién no?

El agregador DEX 1inch y el protocolo Reserve ofrecen una comparación lado a lado del puente de intervención que los hackers intentan cruzar.

1inch dijo que las direcciones vinculadas al exploit ya han sido bloqueadas de acceder a su dApp, wallet y API. El agregador DEX también dijo que ha contactado a Binance para ofrecer ayuda y que se coordina con ZeroShadow, SEAL 911 y TRM Labs (declaración en X).

Reserve, en cambio, no pudo hacer nada cuando los atacantes se llevaron unos 3.400 millones de su token RSR. El equipo escribió en X que "nadie, incluyéndonos, puede congelar" los tokens, porque RSR es inmutable y no tiene claves de administrador.

El Security Council de Arbitrum adoptó un enfoque más directo. Según el foro de gobernanza de Arbitrum, el consejo modificó temporalmente el contrato de inbox de la red en Ethereum, agregó una función para reproducir una transacción cross-chain suplantando la dirección del exploit, y movió 8.425 ETH y 74.559.805 ARB a una wallet de custodia que termina en 0DA0. Luego, el consejo restauró el contrato, y los fondos solo pueden moverse tras una votación de ArbitrumDAO. El consejo usó los mismos poderes de emergencia en abril, cuando congeló unos 30.766 ETH —con un valor aproximado de 71 millones de dólares en ese momento— vinculados al exploit de KelpDAO.

Lo que el hackeo de Bitget ya mostró

Congelado no es lo mismo que recuperado, y la industria tiene una prueba reciente de cuán poco puede atrapar el congelamiento una vez que un atacante convierte los fondos. En la brecha de septiembre en Bitget, Cryptopolitan informó que Circle y Tether bloquearon solo 318.000 dólares de los 387,5 millones robados, porque el ladrón ya había intercambiado el resto por Ether. Datos de Bitquery citados por Cryptopolitan muestran que las wallets congeladas en una semana conservan el 59% de su USDT después de una semana, pero solo el 12% después de seis meses.

Binance ha suspendido depósitos y retiros, se comprometió a cubrir las pérdidas de los usuarios con su reserva SAFU —el fondo de seguro de emergencia del exchange, creado en 2018 y acumulado a partir de las comisiones de trading— y con fondos de la empresa, y espera que los retiros se reanuden en un plazo de 48 horas. El co-CEO Richard Teng buscó tranquilizar a los usuarios, escribiendo en X: "Su dinero está seguro y estamos cubriendo cada pérdida".

El exchange no ha dicho cuánto de los 3.000 millones congelados puede realmente recuperar, ni ha detallado qué sucederá con los 3.300 millones restantes. Los próximos hitos a observar están marcados por el propio incidente: si los retiros se reanudan según el plazo de 48 horas anunciado por Binance, cómo avanza la votación de ArbitrumDAO sobre los 8.425 ETH y 74.559.805 ARB incautados, si más emisores y protocolos usan sus poderes de congelamiento sobre tokens aún en movimiento, y cuándo Binance aclara las perspectivas de recuperación tanto de la parte congelada como de la intocable del botín.

Fuente: Cryptopolitan