Alrededor de la mitad de los US$6.430 millones robados a Binance el mes pasado aún no han sido lavados, según informó la firma de análisis de blockchain Elliptic en un informe actualizado el viernes. Con US$6.430 millones, el botín es más de cuatro veces el tamaño del hackeo a Bybit de US$1.500 millones en febrero de 2025.

Cerca de US$3.110 millones permanecen en direcciones vinculadas al robo, en su mayoría en ETH y Bitcoin, y esos fondos "muy probablemente" aún están en poder de Corea del Norte, dijo Elliptic. Otros US$2.850 millones, o el 44% del botín, han sido congelados o incautados, en su mayoría stablecoins que emisores como Tether y Circle congelaron dentro de la primera hora posterior al robo. En comparación, tras el hackeo a Bybit de US$1.500 millones en febrero de 2025 solo se congeló alrededor del 3%, según Elliptic.

Se cree que hasta ahora solo una parte insignificante de los fondos robados ha sido retirada en efectivo. Elliptic espera que el atacante convierta los fondos en Bitcoin y los retire a través de brokers de venta extrabursátil (OTC) durante un período de meses, siguiendo el patrón que se observó tras el hackeo a Bybit de 2025.

En una actualización publicada el viernes en X, Elliptic informó que el XRP robado había comenzado a moverse:

Actualización del hackeo a Binance: el XRP ha comenzado a moverse. Se han intercambiado unos US$50 millones, principalmente a través de THORChain a BTC, con unos US$226 millones aún por mover. El Bitcoin convertido de otros activos robados es ahora de alrededor de 1.650 BTC (US$124 millones), casi el doble de la cifra de un día antes.…

— Elliptic (@elliptic) 6 de noviembre de 2026

El FBI ha atribuido el robo del 29 de octubre a hackers norcoreanos a los que llama TraderTraitor. Corea del Norte ha negado su participación.

Elliptic describió la operación de lavado hasta la fecha como "altamente compleja y claramente automatizada". abarcado más de 20.000 wallets en 16 blockchains, al menos 36 servicios y al menos 65.000 transacciones, aproximadamente una wallet nueva cada 30 segundos.

Los 18.270 BTC robados a Binance, valorados en unos US$1.500 millones al momento del robo, se dividieron en 19 direcciones el día del hackeo y no se han movido desde entonces. Las nueve direcciones de Ethereum más grandes, que contienen el 89% del ETH del atacante, también han estado inactivas desde el 30 de octubre.

Cómo se mueven los fondos

La mayor parte del lavado hasta ahora, unos US$220 millones en TRX, ha pasado por Tron. Una única wallet de distribución envió 684,6 millones de TRX a cientos de direcciones recién creadas a lo largo de 51 horas, incluso durante la noche en Pyongyang. Casi todo ese TRX fue posteriormente puenteado a Ethereum.

Todo el Solana robado, unos US$87 millones a precios actuales, ha sido intercambiado, puenteado o mezclado. El atacante también ha comenzado a lavar el XRP robado, con unos US$50 millones convertidos hasta ahora y aproximadamente US$226 millones aún por mover. En total, unos US$124 millones se han convertido en Bitcoin, en gran parte a través del servicio cross-chain THORChain.

Una porción menor de los fondos ha sido mezclada. Unos 33 BTC, valorados en alrededor de US$2,5 millones, han pasado por coinjoins al estilo Wasabi, mientras que aproximadamente US$1,1 millones en ETH y SOL se han depositado en el pool Privacy Cash, que pausó los depósitos durante alrededor de un día.

La velocidad de la operación ha alimentado la especulación de que agentes de IA están moviendo los fondos, pero Elliptic dijo que la evidencia apunta a automatización convencional. "El lavado es claramente automatizado, pero nada de lo que hemos visto muestra a un agente de IA tomando decisiones", afirmó la firma.

Elliptic espera que el atacante intercambie el ETH por Bitcoin y luego retire los fondos a través de brokers OTC y exchanges durante un período de meses. Tras el hackeo a Bybit, Corea del Norte lavó los 499.000 ETH robados en 10 días, pero tardó meses en completar el retiro, señaló la firma. Hasta que ese proceso se desarrolle, las direcciones de Bitcoin y Ethereum inactivas que contienen la mayor parte de los fondos sin lavar, junto con el ritmo de las conversiones restantes de XRP, son los principales indicadores a observar a medida que avanza la operación.

Binance continúa restaurando servicios

Binance ha continuado restaurando sus servicios tras el robo. El viernes, el exchange informó que los usuarios ya pueden verificar que sus saldos están respaldados al menos 1:1 mediante la prueba de conocimiento cero de su último snapshot de prueba de reservas. El exchange añadió que apunta a reabrir los retiros de todos los tokens en las redes restauradas antes del fin de la próxima semana. Si se cumple ese objetivo será el próximo hito visible de la recuperación de Binance.