Binance ha repuesto completamente los aproximadamente $6.34 mil millones en criptomonedas robadas durante su brecha de seguridad del 29 de octubre, mientras que las autoridades de EE. UU. han obtenido autorización judicial para incautar o restringir más de $1.2 mil millones de los activos robados, vinculados a hackers de Corea del Norte.

La casa de intercambio completó el reemplazo de los activos afectados de los clientes el 12 de noviembre, recurriendo a fondos corporativos, reservas de emergencia y recursos de seguros para cubrir las pérdidas. También se publicó una nueva instantánea de Prueba de Reservas que abarca 198 criptomonedas, aunque su verificación criptográfica completa sigue pendiente.

La reposición llega dos semanas después de que los atacantes drenaran alrededor de $6.3 mil millones de las carteras calientes de Binance, lo que provocó restricciones de retiro de emergencia y una de las mayores operaciones coordinadas de congelamiento de activos en la historia de las criptomonedas. La respuesta se desarrolló en dos frentes: la compensación a clientes financiada por la tesorería y el congelamiento de activos por múltiples agencias, una combinación que se ha vuelto común en la manera en que la industria y las autoridades manejan los mayores robos del sector.

Binance completa la reposición de activos; los retiros siguen limitados

Binance financió el reemplazo de los activos robados a través de su Secure Asset Fund for Users (SAFU), el fondo de seguro de emergencia que estableció en 2018, junto con capital excedente de su fondo de seguro de futuros y su tesorería corporativa. Aproximadamente el 98% de los activos afectados ya se había restaurado a principios de mes, y la parte restante consistía principalmente en criptomonedas menos líquidas que requirieron compras adicionales en mercados spot y transacciones extrabursátiles.

Las divulgaciones de prueba de reservas se convirtieron en una práctica generalizada de la industria tras el colapso de FTX a finales de 2022, cuando las principales casas de intercambio comenzaron a publicar atestaciones criptográficas para que los clientes pudieran confirmar el respaldo de sus saldos. La instantánea de reservas del 12 de noviembre cubre 198 tokens y está diseñada para permitir a los clientes verificar que sus tenencias están respaldadas al menos 1:1. Sin embargo, la prueba de conocimiento cero completa no estaba disponible cuando Binance anunció la reposición. Se esperaba que su generación tomara otras 40 a 50 horas, por lo que la verificación independiente de la última instantánea seguía pendiente.

Binance también se comprometió a restaurar el SAFU a aproximadamente $1 mil millones después de recurrir al fondo de emergencia. Los retiros continúan reabriéndose por fases, en lugar de regresar a la disponibilidad total en todas las redes soportadas. Los hitos restantes de la recuperación incluyen la publicación de la prueba de conocimiento cero completa y el regreso a la disponibilidad total de retiros en todas las redes soportadas.

La casa de intercambio enfatizó que reemplazar los activos de los clientes es algo distinto a recuperar las criptomonedas robadas, lo cual sigue sujeto al rastreo continuo en la blockchain y a acciones de las autoridades policiales.

EE. UU. congela $2.7 mil millones vinculados a hackers de Corea del Norte

El Departamento de Justicia de EE. UU. obtuvo autorización judicial el 12 de noviembre para incautar o restringir más de $1.2 mil millones en activos robados de Binance. Ese monto forma parte de más de $2.7 mil millones congelados mediante esfuerzos coordinados que involucran a investigadores federales, casas de intercambio de criptomonedas y otros socios del sector privado. Las órdenes judiciales no establecen que alguno de los fondos ya haya sido devuelto a Binance. Las operaciones de congelamiento de este tipo se han convertido en un primer paso rutinario en los grandes casos de robo de criptoactivos, aunque convertir las órdenes judiciales en activos devueltos puede tomar años de procesos legales.

El FBI atribuyó previamente el ataque a la operación TraderTraitor de Corea del Norte, un programa que las agencias estadounidenses siguen públicamente desde 2022 y que explotó sistemas internos comprometidos para iniciar transferencias no autorizadas en múltiples blockchains. La investigación preliminar de Binance rastreó la intrusión hasta dispositivos de empleados comprometidos, credenciales robadas y acceso a su infraestructura de firma de carteras. Los atacantes también explotaron el mecanismo de autorización EIP-7702 de Ethereum, una función introducida en la actualización Pectra de mayo de 2025 que permite que las carteras estándar actúen temporalmente como contratos inteligentes, para mover fondos independientemente de los sistemas normales de retiro de la casa de intercambio.

Los operadores de Corea del Norte han continuado intentando lavar el producto del robo mediante puentes de criptomonedas, mixers y casas de intercambio; investigadores de EE. UU. y de las Naciones Unidas han vinculado repetidamente estas campañas de robo a la financiación estatal. Los esfuerzos anteriores de recuperación incluyeron que Arbitrum asegurara aproximadamente $30 millones en activos robados de Binance, sujetos a la aprobación de gobernanza antes de cualquier liberación.

El DOJ desmantela un fraude norcoreano separado de $400 millones

Los investigadores de EE. UU. también desmantelaron una campaña separada de ingeniería social de Corea del Norte conocida como FaceStealer, responsable de robar más de $400 millones en criptomonedas durante los 18 meses anteriores. La operación utilizó cuentas de mensajería comprometidas, videollamadas fraudulentas y deepfakes generados por IA para engañar a profesionales de las criptomonedas e inducirlos a instalar malware.

Los atacantes frecuentemente se hacían pasar por contactos de confianza antes de introducir problemas técnicos fabricados durante las videollamadas, persuadiendo a las víctimas de descargar software malicioso que daba acceso a sus computadoras y tenencias de criptomonedas.

El FBI incautó la infraestructura en la nube que respaldaba la campaña y obtuvo, bajo una orden federal, más de 900 videos de cámaras web de las víctimas, combinando la incautación de infraestructura con la estrategia de restricción de activos aplicada en la investigación principal del hackeo. Los investigadores también están examinando intentos de comprometer a desarrolladores que mantienen software de código abierto, lo que podría haber dado a los atacantes acceso a repositorios de software ampliamente utilizados y a sus usuarios.