Tres firmas de análisis de blockchain atribuyeron el hackeo de esta semana a Binance a Corea del Norte, y dos de las más grandes—TRM Labs y Chainalysis—señalaron a TraderTraitor, un grupo de hackers norcoreano, como responsable del que ambas describen como el mayor robo de criptomonedas del que se tenga registro.

TRM Labs dijo que realizó la atribución "con alta confianza", basada en "sólida inteligencia on-chain y off-chain". La firma estimó el robo en unos 6.360 millones de dólares, transferidos desde billeteras de Binance a través de 10 blockchains, la mayor parte en aproximadamente 20 minutos a partir de las 4:05 p.m. ET del jueves. Eso es alrededor de cuatro veces el hackeo de 1.500 millones de dólares a Bybit de febrero de 2025, que el FBI atribuyó al mismo grupo, según señaló TRM.

Chainalysis, que calculó el total en unos 6.400 millones de dólares, afirmó que la evidencia más fuerte surgió cuando sus investigadores observaron en tiempo real cómo los fondos robados a Binance se mezclaban con las ganancias del exploit a Bitget del mes pasado, que había sido atribuido a actores norcoreanos. Un portavoz de Chainalysis dijo a CNN que la firma tenía "alta confianza" de que Corea del Norte estaba detrás del hackeo.

Pangolin Intelligence, con sede en Singapur, también dijo a CNN que consideraba responsable a una unidad de hackers norcoreana, basándose en "el análisis de la actividad on-chain relacionada con este hackeo y su correlación con información recopilada de incidentes conocidos anteriores". Corea del Norte ha negado previamente las acusaciones de hackeo.

Cómo funcionó el ataque

TRM y Chainalysis señalaron ambas que la billetera operativa del atacante fue financiada a través de Tornado Cash, un mezclador de criptomonedas. TRM dijo que esto, junto con otras características—incluyendo una preparación que comenzó mucho antes del robo—coincidía con ataques anteriores vinculados a Corea del Norte, como el hackeo a Bybit y el exploit a KelpDAO de abril.

En Ethereum, el atacante utilizó una delegación EIP-7702—una función introducida en la actualización Pectra de Ethereum que permite a una billetera común ejecutar código de contratos inteligentes—para convertir una billetera caliente de Binance (una billetera conectada a internet) en un "sweeper" bajo su control, con 50 autorizaciones prefirmadas preparadas de antemano, según TRM. Un sweeper transfiere automáticamente cualquier fondo enviado a una dirección. Las billeteras de Binance en las otras nueve cadenas enviaron fondos al atacante mediante transferencias firmadas ordinarias. En la evaluación de TRM, eso apunta a un compromiso de la infraestructura de firma de billeteras calientes de Binance.

Binance ha dicho que su investigación comenzó con una laptop de un ingeniero comprometida, pero desde entonces ha descubierto "puntos adicionales de intrusión". El ataque a Bybit también comenzó con una sola máquina comprometida: hackers norcoreanos plantaron código malicioso en la infraestructura del proveedor de billeteras Safe tras comprometer la computadora de un desarrollador de Safe, informó Decrypt en su momento.

Lavado rápido y congelamientos en aumento

El atacante se ha apresurado a lavar lo que no pudo conservar. Chainalysis dijo que está observando "patrones de lavado nunca antes vistos", con miles de transacciones en un corto período que sugieren el uso de automatización para circular los fondos repetidamente entre direcciones.

El atacante también vendió USDT a creadores de mercado y tomó prestado ETH contra USDT en el protocolo de préstamos Aave para adelantarse a los congelamientos de los emisores, según TRM, y ahora posee más de 420.000 ETH y 18.270 BTC—unos 2.400 millones de dólares fuera del alcance de cualquier emisor, ya que ni ETH ni BTC tienen una empresa emisora capaz de congelarlos.

Tether, Circle, Ripple y World Liberty Financial han congelado unos 2.670 millones de dólares en stablecoins, y el Consejo de Seguridad de Arbitrum congeló 8.426 ETH y 74,6 millones de ARB, dijo TRM. Binance calcula el total congelado en unos 3.000 millones de dólares.

Binance se compromete a cubrir las pérdidas de los usuarios

Binance ha comenzado a recuperar los activos afectados para los usuarios y sigue trabajando con las autoridades, emisores, firmas de inteligencia de blockchain y socios de la industria para rastrear, congelar y recuperar fondos adicionales.

Binance has begun recovering affected assets for users and continues to work with law enforcement, issuers, blockchain intelligence firms and industry partners to trace, freeze and recover additional funds. The company has already publicly committed to cover losses through… pic.twitter.com/UqtBd37Fpj

— Binance (@binance) October 30, 2026

En una actualización el viernes, el exchange dijo que ha reservado más de 6.340 millones de dólares en fondos de la compañía para cubrir el incidente, 5.000 millones de los cuales ya están en los tokens exactos que fueron robados. Está comprando el resto a través de canales de mercado y extrabursátiles, lo que "puede tardar más porque algunos tokens pueden tener baja liquidez", dijo Binance. Esas cifras no incluyen los activos congelados. La rapidez con que se puedan completar esas compras, el alcance total de la intrusión y si más de los fondos robados pueden congelarse o recuperarse siguen siendo preguntas abiertas mientras continúa la investigación.

"Superaremos esta tormenta", dijo Binance.

Un adversario de larga data

Los hackers norcoreanos han atacado al exchange durante mucho tiempo. En agosto de 2025, el director de seguridad de Binance, Jimmy Su, dijo a Decrypt que atacantes norcoreanos intentan ser contratados en Binance todos los días, y los calificó como la mayor amenaza individual para las empresas de criptomonedas.

El miércoles—un día antes de que comenzara el robo—el Tesoro de EE. UU. sancionó a 10 personas y una entidad por esquemas de trabajadores informáticos norcoreanos que movieron millones de dólares en criptomonedas.