Los hackers detrás del robo récord a Binance han comenzado a convertir una gran parte del XRP robado en bitcoin, según la firma de análisis de blockchain Elliptic, cuya última actualización abarca hasta el viernes. Unos 42 millones de XRP —aproximadamente 50 millones de dólares— ya han sido convertidos, en su mayoría a través de THORChain, una red descentralizada de intercambios entre cadenas que intercambia activos nativos entre blockchains sin la intervención de un custodio central.

Las conversiones elevaron el bitcoin derivado de otros activos robados en el hackeo a alrededor de 1.650 BTC, valorados en aproximadamente 124 millones de dólares, casi duplicándose de la noche a la mañana, reportó Elliptic. La mayor parte de ese salto provino de la ruta del XRP. Cerca de 192 millones de XRP, valorados en unos 226 millones de dólares, permanecen sin convertir en direcciones vinculadas al robo.

El XRP formó parte del drenaje del 29 de octubre que Binance luego cifró en 6.340 millones de dólares. Entre las 20:05 y las 20:09 UTC de ese día, cinco hot wallets conectadas a internet transfirieron 233,46 millones de XRP a una dirección controlada por los atacantes. El FBI ha atribuido la campaña al grupo TraderTraitor de Corea del Norte, un actor que las autoridades estadounidenses han vinculado previamente con una serie de robos de alto valor a exchanges y puentes entre cadenas. Binance ha reabierto los retiros por etapas, ha declarado que ha congelado o interceptado unos 2.850 millones de dólares y está cubriendo las pérdidas de los clientes con sus propios fondos.

Cómo comenzó a moverse el XRP robado

El XRP robado permaneció quieto al principio. En la madrugada del 2 de noviembre, entre las 02:12 y las 04:00 UTC, todo el botín de unos 233 millones de XRP se trasladó a seis direcciones nuevas, donde permaneció hasta el 5 de noviembre, dijo Elliptic. Desde la tarde del 5 de noviembre, dos de esas seis direcciones comenzaron a enviar XRP a decenas de cuentas nuevas que convirtieron los fondos, en su mayoría a través de THORChain hacia bitcoin. Esa misma noche, una pequeña cantidad de ether también pasó por THORChain hacia bitcoin.

Las principales tenencias de bitcoin y ether del robo —los grupos más grandes— todavía no se han movido, indicó Elliptic. El patrón refleja lo que la firma observó tras el hackeo de Bybit —el ataque de febrero de 2025 que drenó alrededor de 1.500 millones de dólares en ether del exchange y que el FBI también atribuyó a hackers norcoreanos—: convertir primero los tokens congelables y de liquidez media en bitcoin, y luego intentar retirar el efectivo más tarde a través de brokers de venta extrabursátil.

La huella de la operación de lavado ya es enorme. Desde el robo, Elliptic ha contabilizado más de 20.000 wallets en 16 blockchains, al menos 36 servicios y al menos 65.000 transacciones —aproximadamente una wallet nueva cada 30 segundos y una transacción cada 10 segundos—. Cerca de 3.110 millones de dólares permanecen en direcciones vinculadas al ataque, principalmente en ether y bitcoin, y hasta ahora probablemente solo una cantidad insignificante ha sido retirada en efectivo.

Por qué el XRP y el bitcoin importan aquí

Los emisores pueden congelar muchas stablecoins; no pueden congelar el XRP de la misma manera, y no pueden congelar el bitcoin. Después de que Tether y Circle bloquearon grandes tramos de stablecoins el 29 de octubre, el atacante priorizó los activos que están fuera de ese mecanismo de apagado. Mover el XRP hacia bitcoin extiende la misma lógica: una vez que el bitcoin se fragmenta en direcciones nuevas, se vuelve mucho más difícil de recuperar.

Todo el SOL robado —unos 87 millones de dólares según las valoraciones de Elliptic— ya ha sido convertido, transferido entre cadenas o mezclado, y buena parte terminó como bitcoin. La mayor parte del lavado temprano en Tron, alrededor de 220 millones de dólares en TRX, también ya se ejecutó; Bitcoin Magazine señaló ese flujo al informar sobre el cierre silencioso de la T3 Financial Crime Unit antes del hackeo. Solo pequeñas porciones de los principales grupos de ether y NEAR se han movido.

Parte del bitcoin convertido ha entrado en coinjoins al estilo de Wasabi, una técnica de mezcla que agrupa monedas de muchos usuarios para cortar los vínculos rastreables —unos 33 BTC, o 2,5 millones de dólares, desde el 1 de noviembre—, mientras que alrededor de 1,1 millones de dólares en ether y SOL ingresaron al pool de Privacy Cash antes de que ese servicio pausara los depósitos. Elliptic señaló que el ritmo apunta a automatización convencional y no a un agente de IA tomando decisiones en tiempo real: horarios fijos, montos establecidos, reintentos a ciegas y nuevas tácticas introducidas con horas de diferencia.

Los supervisores bancarios de Estados Unidos ya se han comunicado con los prestamistas tras el ataque a Binance. Para los mercados de bitcoin, la pregunta más inmediata es cuánto del XRP restante —unos 192 millones— y, eventualmente, del ether estacionado se convierte en BTC antes de que alguien intente retirar el efectivo.

La prueba ahora es si los operadores de THORChain y otros puentes siguen bloqueando las direcciones de los atacantes publicadas con la suficiente rapidez para frenar el conducto de XRP a bitcoin, o si el resto del botín sigue el mismo camino nocturno que ya tomaron los primeros 50 millones de dólares.

Este artículo se basa en una publicación que apareció por primera vez en Bitcoin Magazine y fue escrita por Micah Zimmerman.