La firma de análisis de blockchain TRM Labs ha detallado cómo los atacantes detrás del exploit de Binance están lavando los fondos robados mediante tokens acuñados por ellos mismos, transferencias de recibos de préstamos y swaps cross-chain encadenados —técnicas diseñadas para romper los vínculos de pago directo de los que dependen las congelaciones de activos. En una actualización del 3 de noviembre que cubre del 31 de octubre al 2 de noviembre, el período en el que los puentes y los nuevos métodos basados en TRON aparecieron por primera vez en el rastreo de la firma, TRM trazó una serie de rutas construidas en torno a un principio único: la billetera que mantiene fondos vinculados al hackeo nunca debe pagar a la billetera que finalmente convierte en efectivo.

Unos 6.360 millones de dólares salieron de las billeteras de Binance en diez blockchains el 29 de octubre, según TRM. El FBI atribuyó el robo a Corea del Norte el 31 de octubre, designando la actividad como TraderTraitor, la misma etiqueta que aplicó al robo de 1.500 millones de dólares a Bybit en febrero de 2025.

Los emisores y las redes actuaron con rapidez. Tether, Circle, Ripple, World Liberty Financial y el Arbitrum Security Council congelaron casi 2.700 millones de dólares en cuestión de horas. TRM estima que el atacante todavía posee unos 2.400 millones de dólares en ETH y BTC, y esos saldos principales no mostraron actividad nueva al 3 de noviembre. El lavado que la firma ahora está siguiendo se concentra en TRON, y los fondos también comienzan a pasar por una serie de billeteras de Solana.

En TRON, cada nuevo método resuelve el mismo problema para el atacante: una congelación o una alerta debe apuntar a una dirección específica.

Un token que solo su creador podía acuñar

El 31 de octubre, una dirección que ya estaba dentro del rastreo de Binance creó un token que solo su creador puede acuñar. Su único mercado era un solo pool en un exchange descentralizado de TRON, que emparejaba el token con un token de recibo de un protocolo de préstamos. TRM no identificó ni al exchange ni al protocolo de préstamos.

TRM divide la ruta en tres pasos:

1. Financiar — Billeteras compradoras nuevas reciben TRX de una billetera de distribución dentro del rastreo del hackeo, las intercambian por USDT, lo convierten en el token de recibo y compran el nuevo token.
2. Acuñar — El creador acuña nuevos tokens sin costo y los envía a una billetera vendedora separada.
3. Retirar — El vendedor vende al pool, retira los tokens de recibo y los canjea por USDT.

Como los tokens del vendedor no tuvieron ningún costo de creación, todo el valor que obtuvo del pool había sido depositado allí por las billeteras compradoras, y estas fueron financiadas desde el hackeo. TRM no encontró ninguna transferencia entre los compradores y el vendedor; el pool es su única conexión. Por lo tanto, un rastreo que vigila los pagos de billetera a billetera ve un conjunto de direcciones aparentemente no relacionadas que comercian un nuevo token.

En un caso el 1 de noviembre, la billetera de distribución envió unos 2,94 millones de TRX a tres billeteras compradoras. Luego, el creador acuñó 300 millones de tokens a una billetera vendedora, que los vendió en menos de un minuto, retiró casi 100 millones de tokens de recibo, los canjeó por USDT y convirtió el producto de vuelta a TRX.

Esa cifra de 100 millones debe leerse mejor como un conteo de tokens de recibo y no de dólares, porque un recibo se convierte a USDT a una tasa fijada por el mercado de préstamos. La estimación en dólares de TRM para uno de estos pools es de unos 2,7 millones de dólares retirados al 1 de noviembre.

La salida a Ethereum solo está rastreada en parte

La billetera vendedora dividió sus TRX entre cinco billeteras nuevas. Entre las 03:22 y las 04:26 UTC, esas billeteras colocaron 38 órdenes por un valor de 966.558 USDT a través de un router de swap integrado en una app de billetera, y todos los pagos fueron a las billeteras puente del mismo servicio cross-chain.

El servicio no publica dónde se pagan sus órdenes, por lo que TRM las emparejó por monto y tiempo. Once de las 38 órdenes —unos 290.000 dólares— coinciden con pagos en Ethereum, donde los fondos fueron intercambiados por ETH, lo que representa aproximadamente el 30% del lote por valor. Cuando la firma publicó, todavía estaba rastreando las otras 27 órdenes y las billeteras de Ethereum que finalmente recibieron los fondos.

Una coincidencia por monto y tiempo es una inferencia, no un registro del propio servicio. Les da a los investigadores direcciones específicas de Ethereum para examinar, mientras deja sin ubicar la mayor parte de este lote. Las órdenes restantes y las billeteras que reciben los pagos de Ethereum reportados son, por lo tanto, los elementos no resueltos más evidentes en esta parte del rastreo de TRM.

En otro caso rastreado por la misma ruta de TRON a Ethereum, fondos de varias direcciones de TRON llegaron a direcciones intermediarias de Ethereum. Luego fueron consolidados, reenviados a una segunda dirección y divididos en bloques de 50 a 80 ETH. Ese ETH se ha quedado donde aterrizó. TRM describe esta secuencia de intercambio, consolidación y redistribución como típica del lavado de Corea del Norte.

Un derecho de depósito pasado entre billeteras

TRM señaló el segundo método de TRON el 2 de noviembre. La billetera A deposita USDT en un pool de préstamos y recibe un token de recibo que representa su derecho sobre ese depósito. Envía el recibo a la billetera B en una transferencia ordinaria de tokens. La billetera B lo canjea, el pool paga USDT, y B envía ese USDT a un puente fuera de TRON.

Un rastreo que sigue solo el USDT se rompe en el pool: A ingresa USDT y B retira USDT. Como el pool es grande y compartido con muchos otros depositantes, nada en los flujos de USDT vincula a las dos. Los únicos contrapartes de B son el mercado de préstamos y un puente, por lo que su historial parece limpio. El vínculo existe solo en la transferencia del token de recibo de A a B.

El recibo transporta el depósito en sí, no una copia. Si A deposita 100.000 dólares y entrega el recibo, B puede canjear ese depósito bajo las reglas del mercado, y A se queda sin ningún derecho propio.

Esto difiere del préstamo anterior de ETH contra stablecoins robadas. Tomar un préstamo deja una deuda garantizada por colateral depositado. Pasar un recibo transfiere la propiedad del depósito de forma directa.

Sobre qué debe caer una congelación

Ambas rutas de TRON evitan que la billetera que mantiene fondos vinculados al hackeo pague alguna vez a la billetera que convierte en efectivo. Los puentes añaden una tercera versión de la misma idea. TRM ha visto al atacante encadenar dos swaps cross-chain, enviando fondos desde una dirección de lavado directamente a una dirección de depósito en un segundo puente. Eso omite la billetera intermedia donde, en palabras de TRM, normalmente caería una alerta o una congelación.

Los 2.700 millones de dólares detenidos en las primeras horas fueron congelados en direcciones que los emisores sabían que estaban contaminadas. El consejo de TRM a los equipos de compliance se deriva de lo que estas rutas rompen: seguir el valor a través de los tokens de recibo y de pool, examinar varios saltos aguas abajo —incluidos los pagos cross-chain— y reconocer que algunos pagos solo pueden emparejarse por monto y tiempo. Una verificación que mira solo quién envió un depósito en USDT dejaría pasar a la billetera B.

Los saldos más grandes permanecen estacionados. Los aproximadamente 2.400 millones de dólares en ETH y BTC no se habían movido al 3 de noviembre, mientras que el lavado que TRM documentó en TRON se movió desde cientos de miles hasta algunos millones de dólares a la vez. El llamado del FBI a bloquear las billeteras vinculadas a TraderTraitor depende de que alguien identifique primero esas billeteras. Cada ruta descrita en la actualización está diseñada para que la siguiente billetera en la cadena no tenga un historial de pagos visible con la anterior.

Este artículo está adaptado del reporte original de Coindoo, Binance Hackers Created a Token to Trade With Themselves.