Los hackers responsables del robo de $6,430 millones a Binance han convertido alrededor de $124 millones de las altcoins robadas a Bitcoin, según un informe del 6 de noviembre de la firma de análisis de blockchain Elliptic. La actividad de lavado se desarrolla al mismo tiempo que el exchange restablece los servicios de retiro a sus clientes.

Convertir altcoins, no cobrar en efectivo

Las conversiones produjeron aproximadamente 1,650 BTC, aparte de los $1,480 millones sustraídos directamente en el ataque del 29 de octubre. Hasta ahora se han movido alrededor de $50 millones en XRP, mientras que $226 millones permanecen en wallets controladas por los hackers. Casi todo el Solana robado —con un valor de unos $87 millones— ha sido intercambiado por otras criptomonedas, trasladado entre blockchains o enrutado mediante transacciones diseñadas para ocultar su origen.

Las cifras más recientes no ofrecen un panorama completo de los fondos robados. Elliptic estima que $2,850 millones, o el 44.3% del total, han sido congelados, mientras que otros $3,110 millones, o el 48.4%, permanecen en wallets conectadas. En conjunto, esas categorías cubren $5,960 millones de los $6,430 millones robados, dejando unos $470 millones, o el 7.3%, sin contabilizar en los totales reportados. Las diferencias en las valuaciones de los activos y en los momentos del reporte podrían explicar las inconsistencias.

Los $124 millones convertidos a Bitcoin no deben considerarse una suma adicional, ya que los hackers simplemente intercambiaron una forma de cripto por otra en lugar de cobrar en efectivo. Según Elliptic, solo una pequeña parte del dinero robado ha sido retirada hasta ahora. Cuánto de ese saldo en wallets conectadas termina congelado, movido o retirado es la cifra con mayor probabilidad de cambiar en las próximas actualizaciones.

Cómo sigue moviéndose el lavado

Los activos robados se han dispersado en un alto volumen de transacciones. El análisis de Elliptic ha rastreado más de 20,000 wallets de cripto junto con 16 blockchains distintas y 65,000 transacciones. La actividad parece estar automatizada, aunque no hay evidencia de que agentes de IA la estén controlando.

TRM Labs descubrió que los hackers crearon tokens y pools de liquidez en Tron para ocultar las transferencias. También movieron fondos mediante tokens de recibos de préstamos y puentes de blockchain interconectados, evitando las wallets donde los activos podrían ser congelados.

Anteriormente, Chainalysis rastreó $325 millones en stablecoins que se convirtieron en $285 millones de Ether en 20 minutos, aparentemente para evitar congelamientos. Algunas conversiones de XRP pasaron por THORChain. Como reportó Cryptopolitan, el sitio web de THORChain bloqueó las direcciones marcadas tras una solicitud del FBI, pero los nodos independientes siguieron procesando las transacciones.

Reapertura de retiros y la prueba de liquidez

Binance está restableciendo los retiros mientras los fondos robados siguen en circulación. En una actualización del 6 de noviembre también compartida en X, el exchange dijo que apuntaba a reabrir los retiros de HYPE, INJ, APT, PLASMA, NEAR y LTC antes del fin de la próxima semana. Binance también informó haber repuesto el 98% de los activos de tokens afectados al 31 de octubre, y se comprometió a cubrir las pérdidas de los clientes, aunque reponer los activos robados no es lo mismo que recuperarlos. La meta de seis tokens marca el próximo punto de control concreto en el cronograma de recuperación del exchange.

La reapertura ha presionado la liquidez de Binance. Talos registró $6,100 millones en salidas netas. La profundidad del libro de órdenes de Bitcoin dentro del 1% cayó 28% el primer día tras el ataque y alcanzó un mínimo de alrededor de 44% por debajo de los niveles previos al hackeo cerca del 1 de noviembre antes de recuperarse. El propio Bitcoin cayó alrededor del 5% después del ataque. Sin embargo, Talos encontró señales limitadas de un contagio de mercado más amplio en comparación con el colapso de FTX.

Lo que significa para los exchanges y el cumplimiento

El FBI atribuyó el robo al grupo TraderTraitor de Corea del Norte el 31 de octubre. La agencia publicó direcciones vinculadas a los hackers e instó a los operadores de THORNode, a los servicios DeFi y a los exchanges instantáneos a bloquear las transacciones relacionadas.

A pesar del sofisticado lavado, el ataque comenzó con debilidades de seguridad conocidas. La investigación de Binance describió una entrevista laboral falsa, malware instalado en la computadora de un ingeniero y el uso indebido de una herramienta interna de IA. Los atacantes finalmente obtuvieron acceso a los sistemas involucrados en la firma de transacciones de wallets.

La brecha destaca dos desafíos para los exchanges: proteger a los empleados y a los sistemas sensibles de intrusiones, y evitar que los fondos robados se muevan a través de redes descentralizadas.