Investigadores de seguridad blockchain e investigadores onchain han vinculado el hackeo de $6,300 millones contra el exchange de criptomonedas Binance a TraderTraitor, un grupo de ciberdelincuencia asociado con Corea del Norte. Si la estimación de pérdidas se mantiene, sería el mayor robo individual en la historia de las criptomonedas, superando incidentes previos atribuidos al grupo, incluido el hackeo de más de $300 millones a DMM Bitcoin.

TRM Labs atribuyó el ataque a TraderTraitor con "alta confianza", citando inteligencia tanto onchain como offchain, según su análisis.

El investigador onchain ZachXBT señaló que los fondos robados de Binance y del exploit anterior contra Bitget fueron mezclados en la misma dirección después de pasar por THORChain, un protocolo entre cadenas que permite a los usuarios intercambiar activos entre blockchains. "Esto indica que es probable que el mismo actor esté detrás de ambos incidentes", afirmó, añadiendo que el ataque a Bitget ya había sido atribuido a TraderTraitor.

Jonathan Levin, cofundador y CEO de Chainalysis, también señaló al grupo norcoreano, afirmando que robó $6,400 millones, ligeramente por encima del impacto estimado de $6,300 millones para Binance. "Evaluamos que el hackeo a Binance de $6.4B probablemente fue realizado por el grupo TraderTraitor de la RPDC debido a vínculos con hackeos anteriores", dijo.

La atribución se produce tras una evaluación anterior de Ido Ben-Natan, CEO de la firma de seguridad Blockaid, quien dijo a Cointelegraph que la sofisticación del ataque y los preparativos onchain recordaban a la actividad norcoreana.

Las autoridades de EE. UU. han vinculado previamente a TraderTraitor —el nombre que las agencias estadounidenses usan para un conjunto de actividad norcoreana enfocada en robar criptomonedas— con algunos de los mayores robos del sector, incluido el hackeo a Bybit en febrero de 2025. El FBI también se sumó a los investigadores de EE. UU. y Japón para atribuir el robo de más de $300 millones de DMM Bitcoin en mayo de 2024 a actores norcoreanos.

Según el FBI, TraderTraitor apunta a empleados de empresas mediante ingeniería social. En el caso de DMM, un atacante que se hacía pasar por un reclutador envió una prueba de programación maliciosa a un empleado del proveedor de wallets Ginco. Los investigadores dijeron que el acceso obtenido probablemente se usó para manipular una solicitud de transacción legítima, desviando fondos a wallets controladas por el atacante.

Cómo se moverán a continuación los fondos robados —y si las agencias repiten el tipo de respuesta pública vista tras Bybit, cuando el FBI instó a las empresas de criptomonedas a bloquear el lavado de los productos robados— es una de las preguntas abiertas tras la atribución. La mezcla de los fondos de Binance y Bitget en una sola dirección brinda a los analistas una pista onchain común para seguir.

Relacionado: CEO de Bitget sospecha que Corea del Norte está detrás del hackeo de $352M, citando pistas de IP