El Departamento de Justicia de EE. UU. anunció el 12 de noviembre de 2026 que obtuvo autorización judicial para incautar o restringir más de 1.200 millones de dólares en criptomonedas supuestamente robadas de Binance por piratas informáticos patrocinados por el Estado norcoreano, lo que constituye una de las mayores acciones de cumplimiento en cripto de un solo caso en la historia de EE. UU. El anuncio abarcó dos esfuerzos paralelos: la congelación de activos vinculados a la vulneración del exchange y la interrupción de una campaña de robo cripto separada, supuestamente relacionada.

Qué cubren las órdenes judiciales

Según el comunicado de prensa del DOJ, los fiscales federales del Distrito de Columbia obtuvieron órdenes de incautación y restricción autorizadas por el tribunal que cubren más de 1.200 millones de dólares en activos virtuales vinculados a la vulneración de Binance. Las órdenes de este tipo bloquean el movimiento de los activos objeto de la medida mientras los procedimientos legales determinan su destino final. La acción representa un esfuerzo coordinado que abarca al Departamento de Justicia, el FBI, el Servicio Secreto y la división de Investigación Criminal del Servicio de Impuestos Internos (IRS).

Cuando las medidas autorizadas judicialmente se combinan con las congelaciones ejecutadas por agencias gubernamentales de EE. UU. y socios del sector privado, el valor total de los activos retirados de circulación supera los 2.700 millones de dólares, según el anuncio del DOJ. Las órdenes obtenidas en Washington cubren aproximadamente una quinta parte de los 6.000 millones de dólares que el departamento afirma fueron robados en la vulneración.

En el anuncio, el fiscal general adjunto A. Tysen Duva describió la operación como la congelación inmediata "de miles de millones de dólares en activos digitales robados de Binance antes de que quedaran fuera del alcance de las autoridades". La autorización judicial llegó aproximadamente dos semanas después de la presunta vulneración del 29 de octubre, un cronograma que el departamento vinculó a mantener los fondos robados dentro del alcance de las autoridades.

Presunto robo y atribución a Corea del Norte

El DOJ alega que el robo subyacente ocurrió el 29 de octubre de 2026 o alrededor de esa fecha, cuando TraderTraitor, una unidad del ejército norcoreano, supuestamente robó más de 6.000 millones de dólares en activos virtuales de Binance, un incidente que el departamento calificó como el mayor hackeo de un exchange registrado. Según el DOJ, TraderTraitor opera bajo una red de alias que incluye Sapphire Sleet, BlueNoroff, APT38, UNC1069, Dangerous Password, CryptoCore y Stardust Chollima.

Según informes no confirmados citados por The Record, los investigadores creen que los piratas obtuvieron el acceso inicial a través del dispositivo de un empleado tras meses de preparación, aunque este método de intrusión no fue confirmado en el comunicado oficial del DOJ. Una fuente única también informó que Kim Yo Jong, hermana del líder norcoreano Kim Jong Un, emitió una negación de la participación de Corea del Norte el 3 de noviembre de 2026, aunque la afirmación no ha sido verificada de forma independiente. Ninguno de los dos detalles está confirmado, lo que deja el método de acceso inicial y la posición oficial de Corea del Norte como preguntas abiertas mientras el caso avanza.

La firma de análisis de blockchain Elliptic rastreó actividad de lavado a través de aproximadamente 12.000 billeteras en 11 blockchains, con más de 40.000 transacciones, según datos citados por The Record. Una dispersión de esa escala subraya por qué los esfuerzos de recuperación en los mayores robos cripto combinan análisis de blockchain con acción de las autoridades. En una técnica también observada en el hackeo de Bybit de 1.400 millones de dólares, Corea del Norte supuestamente creó al menos seis meme coins en la blockchain NEAR entre el 5 y el 7 de noviembre, haciendo circular los fondos robados a través de pools de liquidez de exchanges descentralizados para ocultar el rastro de los activos.

El director de Operaciones de la rama cibernética del FBI, Brett Leatherman, declaró en el anuncio del DOJ: "El régimen norcoreano depende de las ganancias del robo de criptomonedas a gran escala para financiar su programa ilegal de armas, robando miles de millones de dólares en los últimos años".

Operación FaceStealer y riesgo sistémico para desarrolladores

Junto a la recuperación de los activos de Binance, el DOJ anunció la interrupción de una operación separada atribuida a APT38, el mismo grupo de amenazas norcoreano mencionado entre los alias de TraderTraitor. La campaña FaceStealer supuestamente robó más de 400 millones de dólares en criptomonedas durante un período de 18 meses, utilizando deepfakes generados por IA y videollamadas falsas para engañar a las víctimas. Ese lapso de 18 meses marca la campaña como sostenida y no oportunista.

Como parte de la investigación de FaceStealer, el FBI incautó por separado más de 900 videos de webcam de víctimas, con órdenes judiciales ejecutadas en el Distrito Central de California que cubrieron la incautación de infraestructura en la nube.

Menos difundida es la dimensión de cadena de suministro de la campaña. Actores norcoreanos supuestamente atacaron a los mantenedores de paquetes JavaScript de código abierto y crates de Rust para incrustar código malicioso en bibliotecas de desarrollador ampliamente utilizadas. Ese riesgo se extiende más allá de las víctimas individuales a cualquiera que dependa de los paquetes afectados.

Impacto en el mercado y contexto de cumplimiento

BNB, el token nativo del exchange Binance, cayó un 7,46 % en 24 horas hasta 588,37 dólares, lo que otorga al activo una capitalización de mercado de aproximadamente 77.380 millones de dólares, según datos de CoinGecko al 9 de noviembre de 2026. Las cifras reflejan una foto tomada tres días antes del anuncio del DOJ.

Implicaciones para la infraestructura de desarrolladores y Web3

Para la economía de creadores y la infraestructura que sustenta la propiedad digital, la implicación más amplia del anuncio radica en la amenaza a la cadena de suministro. Las plataformas NFT, los marketplaces y los protocolos de token-gating que dependen de dependencias JavaScript de código abierto están directamente expuestos a las tácticas dirigidas a desarrolladores atribuidas a FaceStealer. A medida que los actores norcoreanos evolucionan de hackeos de exchanges a envenenar las herramientas que los desarrolladores usan para construir infraestructura Web3, las revisiones de seguridad de las plataformas deberán extenderse mucho más allá de la capa de smart contracts.

Aviso: Este artículo tiene fines informativos únicamente y no constituye asesoramiento financiero ni de inversión. Los mercados de criptomonedas y activos digitales conllevan riesgos significativos. Siempre realice su propia investigación antes de tomar decisiones.