El hackero responsable del hackeo de aproximadamente 6.300 millones de dólares a Binance movió la totalidad de los 233,46 millones de XRP robados a seis nuevas billeteras el lunes. La redistribución subraya una diferencia clave entre los activos sustraídos en el ataque: a diferencia de las stablecoins también robadas, el XRP nativo no tiene ningún emisor con poder para congelarlo.

Según los registros del XRP Ledger, la dirección de custodia realizó seis pagos de prueba de 1.000 XRP cada uno a partir de las 03:47 UTC. Las transferencias de prueba precedieron en unos cinco minutos al primer pago grande; este tipo de pagos preliminares pequeños se usan comúnmente para confirmar que una dirección de destino puede recibir fondos. Entre las 03:52 y las 04:00 UTC se realizaron nueve pagos de gran monto. Al final, cinco billeteras recibieron unos 40 millones de XRP cada una, tres de ellas en dos entregas de 30 millones y 10 millones, mientras que la sexta recibió 33,46 millones. La dirección original conservó 23,7 XRP.

Al precio del lunes de aproximadamente 1,26 dólares por XRP, las monedas valían unos 294 millones de dólares. Whale Alert destacó una única transferencia de 40 millones de XRP, valorada en alrededor de 50,4 millones de dólares, desde una dirección que etiqueta como "Binance Hack 2026."

El atacante también envió 1.000 XRP a una séptima dirección separada a las 02:12 UTC. Las monedas permanecieron relativamente intactas en la dirección de custodia durante unas 80 horas antes de que comenzaran los pagos grandes. Cinco billeteras de Binance habían enviado la totalidad de los 233,46 millones de XRP a esa dirección en unos cuatro minutos el 29 de octubre. Los datos del ledger a las 07:27 UTC del martes mostraron que ninguna de las seis nuevas billeteras había movido fondos. Dado que el ledger es público, cualquier movimiento posterior desde esas direcciones será visible en tiempo real.

Por qué el XRP robado no puede congelarse

Según la documentación del XRP Ledger, el XRP nativo no puede congelarse en el ledger. Ripple congeló el RLUSD robado vinculado al ataque, pero esos controles de emisor se extienden solo a su propia stablecoin: los poderes de congelamiento se adhieren a los tokens que crea un emisor, y el activo nativo del ledger no tiene emisor que pueda ejercerlos. La tarea ahora es rastrear las seis billeteras y que los exchanges rechacen los depósitos para recuperar el XRP. La división parece ser un paso de lavado: seis saldos significan más rastros que seguir y lotes más pequeños para liquidar.

El rastreador on-chain Lookonchain dijo que alrededor de 250.000 dólares del botín se movieron al exchange Gate en depósitos distribuidos a lo largo de 12 horas.

Repercusiones más amplias del ataque

El ataque resultó en el robo de unos 628 millones de dólares en activos en Tron. Tether congeló alrededor de 378,7 millones de USDT —el mismo poder de nivel de emisor que Ripple usó sobre RLUSD, y que el XRP nativo carece— pero el analista SomaXBT estima que unos 242 millones de dólares escaparon por rutas vinculadas a Tron en dos días. Unos 140 millones de esa cifra pasaron por servicios como Relay y THORChain, cuyos operadores de nodos fueron solicitados por el FBI para bloquear los fondos. Las estimaciones sitúan el volumen de Relay en casi 48 millones de dólares y el de THORChain en 44 millones.

Cryptopolitan informó que la industria ha congelado alrededor de 3.000 millones de dólares de los activos robados. El FBI culpa a TraderTraitor, su nombre para una operación de hackeo vinculada al Estado norcoreano, y afirma que los atacantes están convirtiendo la cripto robada en Ether. Sin embargo, Kim Yo Jong, de Corea del Norte, negó la acusación del FBI, calificándola de "una retórica absurda y nada nueva", en un comunicado oficial publicado el 2 de noviembre.

Binance dijo que los fondos de la compañía han compensado alrededor del 95% del monto afectado, y el exchange añadió que tiene respaldo total para sus saldos de XRP.