El robo de $6,300 millones a Binance del 29 de octubre es el mayor atraco de criptomonedas registrado. En los días transcurridos desde entonces, grupos de seguridad, investigadores on-chain y aseguradoras han publicado nuevos detalles que, en conjunto, muestran cómo se desarrolló el ataque y qué ha ocurrido con el dinero.

🚨 NORTH KOREA-LINKED HACKERS MAY HAVE INFILTRATED BINANCE 8 WEEKS BEFORE THE $6.3 BILLION HACK. According to cybersecurity group SEAL, attackers may have gained access to Binance's internal systems as early as September. The attack reportedly involved fake job interviews,… — Nehal (@nehalzzzz1) November 6, 2026

https://x.com/nehalzzzz1/status/2118731305768906983?ref_src=twsrc%5Etfw

Reclutadores falsos y una ventana de ocho semanas

Security Alliance, un grupo de ciberseguridad sin fines de lucro conocido como SEAL, informó que hackers vinculados a Corea del Norte comprometieron en septiembre el dispositivo de un ingeniero de software de Binance. Según el grupo, los intrusos entraron mediante un esquema de reclutamiento falso y calcula que la ventana de intrusión fue de aproximadamente ocho semanas antes del exploit.

Cómo se desarrolló el ataque

Binance ha ofrecido una cronología más extensa. Un portavoz indicó que las primeras compromisiones de dispositivos ocurrieron en junio y septiembre, aunque los atacantes no obtuvieron el acceso necesario para llegar a las operaciones de wallets hasta el 20 de octubre. SEAL precisó que su cifra de ocho semanas cubre solo el período de septiembre a octubre y no abarca el inicio de la campaña más amplia que describió el exchange.

La brecha de junio comenzó cuando otro empleado descargó una instalación de Homebrew alterada mientras intentaba configurar una herramienta de codificación con IA. Binance detectó el incidente, reemplazó el dispositivo y rotó las credenciales relacionadas, pero para entonces los atacantes ya habían recopilado información sobre el personal que trabajaba en la infraestructura de wallets.

El 20 de octubre, los atacantes usaron la computadora comprometida del ingeniero y una herramienta interna de IA para tomar control de los dispositivos de dos ingenieros de infraestructura de wallets. Luego localizaron un token de permiso de despliegue, que utilizaron en el exploit del 29 de octubre.

SEAL identificó al menos cuatro empresas pantalla vinculadas a las campañas de reclutamiento falso en 2026: citalab.net, citalab.com, bitfit.io y oddium.io. El grupo señaló que patrones similares de múltiples etapas aparecieron en otros robos. Calcula que los atacantes tuvieron alrededor de seis semanas de acceso antes del hackeo de $388 millones a Bitget, unas seis semanas de acceso a LayerZero antes de la falla detrás del exploit de $293 millones a Kelp DAO, y cerca de tres semanas antes del exploit de $24 millones a AFX.

El FBI atribuyó el ataque al grupo TraderTraitor de Corea del Norte. Kim Yo Jong, hermana del líder norcoreano Kim Jong Un, rechazó la acusación.

Fondos congelados y reacción del mercado

Sentora, una firma de análisis DeFi, calificó la respuesta como el mayor congelamiento coordinado de activos on-chain en la historia de DeFi. Circle bloqueó 823 millones de USDC en un solo wallet antes de que el atacante pudiera moverlos. Ripple congeló alrededor de $40 millones en RLUSD, y World Liberty Financial congeló $27 millones en USD1 junto con 48 millones de tokens WLFI. Solo los congelamientos de stablecoins suman alrededor de $890 millones. Bitcoin y Ether no tienen un emisor capaz de bloquear fondos de esta manera; Sentora identificó 18,270 BTC y más de 420,000 ETH entre las tenencias del atacante tras el confinamiento.

Los mercados de préstamos DeFi registraron $1,590 millones en salidas netas en un solo día, alrededor del 3% del valor total bloqueado. Cerca del 60% de ese dinero regresó en tres días, y Sentora no encontró deuda incobrable en los mercados que evaluó. En comparación, el exploit a Kelp DAO en abril provocó $10,900 millones en retiros a lo largo de cinco días, aproximadamente el 21% del valor de préstamos bloqueado, de los cuales nada regresó durante ese período. Sentora atribuyó la diferencia a la ubicación de los activos dañados: la pérdida de Binance se mantuvo en el exchange, mientras que el activo de Kelp servía como colateral en los mercados de préstamos.

Elliptic informó que unos 1,650 BTC, valorados en $124 millones, habían sido convertidos de otros activos robados al 6 de noviembre, casi el doble de la cifra del día anterior. La mayor parte del crecimiento provino de XRP intercambiado a través de THORChain. Los 18,270 BTC originales permanecieron intactos en 19 direcciones. La firma de análisis contabilizó más de 20,000 wallets y 65,000 transacciones en 16 blockchains, con alrededor de $3,110 millones aún en direcciones vinculadas al robo.

Binance repone la mayoría de los activos afectados

Binance declaró el 4 de noviembre que había repuesto alrededor del 98% de los activos afectados con recursos de la compañía. El 2% restante involucra tokens de menor liquidez, que está comprando a través de canales de mercado y over-the-counter. El 5 de noviembre, solicitó al DAO de Arbitrum aprobar la devolución de 8,425.997 ETH y 74,559,805.2 ARB, un proceso que espera tome unos 49 días. Estos dos puntos — la recompra y la aprobación del DAO — siguen siendo los elementos pendientes del esfuerzo de reposición.

Las aseguradoras analizan más de cerca

Reuters informó el viernes que las aseguradoras están interrogando con mayor detalle a sus clientes cripto. Jacqueline Quintal, de Marsh, no espera cambios sustanciales en precios, coberturas o capacidad, aunque las aseguradoras podrían pedir a los clientes corregir vulnerabilidades, y muchas pólizas excluyen ataques respaldados por Estados — una exclusión relevante dado que el FBI atribuyó este robo al grupo TraderTraitor de Corea del Norte.

Este artículo apareció originalmente en CoinCentral.