El Departamento de Justicia de EE. UU. (DOJ) obtuvo autorización judicial para decomisar o retener más de 1.200 millones de dólares en criptomonedas robadas a Binance por hackers militares de Corea del Norte. La medida, anunciada el 12 de noviembre, apunta a fondos vinculados a lo que los funcionarios describen como un ciberataque de 6.300 millones de dólares y forma parte de una estrategia más amplia para interrumpir las operaciones de robo de criptomonedas del régimen (anuncio del Departamento de Justicia).

Desde el ataque del 29 de octubre, el gobierno de EE. UU., en conjunto con otros socios, ha congelado más de 2.700 millones de dólares de las criptomonedas robadas. El monto cubierto por la orden judicial del DOJ representa casi la mitad de los fondos robados congelados, y las investigaciones para rastrear el resto siguen en curso. La respuesta fue rápida: la intrusión ocurrió el 29 de octubre, el FBI emitió su alerta de atribución el 31 de octubre y la acción autorizada por el tribunal se produjo el 12 de noviembre. El FBI atribuyó el ataque a TraderTraitor (alerta cibernética del FBI).

La acción del 12 de noviembre también apunta a un segundo esquema vinculado a Corea del Norte, FaceStealer, que ha robado más de 400 millones de dólares en criptomonedas en 18 meses mediante videos pregrabados y tecnología deepfake.

El Departamento de Justicia apunta al robo de criptomonedas de Corea del Norte

El DOJ afirma que la RPDC utiliza el robo de criptomonedas como medio para generar dinero que financia a su gobierno y armamento ilícito. El paquete de acciones más reciente involucró a múltiples agencias, entre ellas la División de Seguridad Nacional, la División Criminal, el FBI, el Servicio Secreto de EE. UU. y la División de Investigación Criminal del IRS.

El Departamento de Justicia de EE. UU. decomisó infraestructura vinculada al esquema de robo de criptomonedas de 400 millones de dólares de FaceStealer de Corea del Norte y congeló más de 1.200 millones de dólares en criptomonedas robadas de Binance. #Crypto #Binance — Lego (@Doctor_Stefan) November 12, 2026

Fuente: publicación en X

La participación de proveedores de servicios de activos virtuales permitió a las autoridades congelar miles de millones de dólares antes de que el dinero saliera de su jurisdicción. Para la industria cripto, ese detalle muestra cómo los resultados de la aplicación de la ley pueden depender de la cooperación de los proveedores de servicios: los fondos custodiados en un exchange o plataforma de custodia pueden inmovilizarse antes de ser dispersados. El fiscal auxiliar general A. Tysen Duva explicó que la División Criminal y sus colegas actuaron con rapidez para detener cerca de la mitad del enorme hackeo a Binance.

El tribunal ordenó al gobierno decomisar o retener más de 1.200 millones de dólares de los 2.700 millones congelados. La distinción importa: congelar una criptomoneda significa impedir el movimiento del dinero, mientras que retener significa obtener el derecho a decomisar los fondos.

TraderTraitor mueve los activos robados de Binance a través de redes cripto

El FBI declaró que miembros militares de la República Popular Democrática de Corea estuvieron detrás del ataque del 29 de octubre a Binance y usaron el alias "TraderTraitor". En una alerta cibernética emitida el 31 de octubre, el FBI informó que los atacantes transferían los activos a cuentas donde los fondos robados se convertían en Ether (ETH).

El FBI indicó que los atacantes usarían aplicaciones de finanzas descentralizadas (DeFi) y servicios de intercambio instantáneo para convertir las criptomonedas en otras formas de fondos. Eso dificultaría el rastreo de las transacciones para los investigadores, ya que el dinero se mueve a través de múltiples redes blockchain y activos digitales.

El FBI ha pedido a operadores de exchanges de criptomonedas, servicios DeFi, empresas de inteligencia blockchain y proveedores de infraestructura que bloqueen cualquier transacción conectada a las direcciones de billeteras que publicó por la operación de lavado.

La investigación sigue en curso, mientras los hackers norcoreanos continúan intentando mover los fondos robados mediante puentes cripto, mixers y exchanges.

FaceStealer usa deepfakes para robar más de 400 millones de dólares

Junto a la acción relacionada con Binance, el Departamento de Justicia anunció el decomiso de infraestructura en la nube utilizada en la campaña FaceStealer. Según el FBI, la investigación reveló que los perpetradores comprometieron a personas dedicadas a las criptomonedas, Web3 y el desarrollo de software de código abierto, y robaron más de 400 millones de dólares en criptomonedas en 18 meses.

Las reuniones por video se organizaban con cuentas comprometidas. Los hackers presentaban grabaciones pregrabadas de personas conocidas por las víctimas durante las llamadas, y también usaban videos generados con inteligencia artificial para hacerse pasar por figuras influyentes del mundo cripto y Web3.

Durante las videollamadas, los atacantes planteaban falsos problemas técnicos —como la incapacidad de escuchar a la víctima— y luego ofrecían enlaces o indicaciones para solucionarlos, lo que llevaba a la instalación de malware en los dispositivos de las víctimas que daba acceso a criptomonedas y otra información.

Los atacantes esperaban meses o incluso años tras infectar inicialmente una computadora antes de cometer robos o secuestrar cuentas de comunicación. También usaban las computadoras comprometidas para acceder a contactos, redes sociales y mensajes de las víctimas con el fin de identificar más objetivos.

Agentes del FBI decomisaron más de 900 grabaciones de webcam con una orden emitida por un tribunal federal, interrumpieron los recursos de computación en la nube utilizados en la campaña y publicaron un informe técnico (asesoría conjunta de ciberseguridad) que explica cómo se llevó a cabo la operación.

La acción del DOJ destaca los riesgos para el sector cripto y los desarrolladores de software

FaceStealer apuntó a desarrolladores de software de código abierto. La campaña buscaba hackear las cuentas de las personas responsables de desarrollar y mantener software para ejecutar ataques a la cadena de suministro contra aplicaciones de otras organizaciones. En un ataque de este tipo, comprometer a un desarrollador o dependencia de confianza importa porque cada aplicación posterior que dependa de ese código hereda la exposición.

Por lo tanto, el impacto se extiende más allá de los poseedores de criptomonedas. Los hackers podrían dañar no solo a quienes trabajan con criptomonedas, sino también a empresas de software y sus productos, lo que significa que los negocios que operan con software de código abierto podrían estar en riesgo incluso si no operan con criptomonedas.

Patrick Grandy, director auxiliar de la oficina de campo del FBI en Los Ángeles, dijo que la operación podía engañar incluso a expertos técnicos al explotar contactos de confianza y herramientas de videoconferencia confiables. Las personas que no creían que podían ser engañadas por tales ataques, señaló, quizás no habían considerado todas las formas posibles en que podía ocurrir.

Para las empresas de criptomonedas, estos acontecimientos refuerzan la importancia de verificar las invitaciones a reuniones, confirmar identidades a través de canales de comunicación separados y evitar indicaciones de instalación de software desconocido. El monitoreo de billeteras y la respuesta rápida a las notificaciones de las autoridades también se han vuelto cruciales para exchanges y proveedores de infraestructura.

Según el Departamento de Justicia, el rastreo, congelamiento, decomiso y confiscación de los activos relacionados con Binance continúan. Las investigaciones sobre ambas operaciones, TraderTraitor y FaceStealer, están en curso y las autoridades han solicitado reportes de actividades sospechosas. Lo que queda por observar es de carácter procesal: si las retenciones avanzan hacia la confiscación definitiva y si siguen nuevos decomisos a medida que los investigadores rastrean el resto de los fondos robados.