El FBI atribuyó formalmente el hackeo de $6.3 mil millones a Binance a TraderTraitor, una operación de hacking vinculada a Corea del Norte, identificando cientos de direcciones de criptomonedas relacionadas con el robo e instando a exchanges, protocolos de finanzas descentralizadas (DeFi) y proveedores de infraestructura blockchain a bloquear transacciones con los fondos robados. La determinación se detalló en una alerta publicada el 31 de octubre, dos días después de que los atacantes comprometieran los hot wallets del exchange y movieran miles de millones de dólares a través de múltiples blockchains.

Aproximadamente $3 mil millones en activos afectados han sido congelados desde entonces mediante coordinación con emisores de stablecoins y socios de blockchain. Mientras tanto, Binance ha restablecido alrededor del 95% de los activos afectados utilizando reservas corporativas y fondos de emergencia, mientras se prepara para reanudar los retiros de clientes el 1 de noviembre.

Agencias federales rastrean el lavado de fondos robados

En su anuncio, el FBI atribuyó el robo del 29 de octubre a TraderTraitor, una operación vinculada previamente a importantes hurtos de criptomonedas. El grupo fue nombrado por primera vez en advertencias del gobierno de EE. UU. en 2022, cuando agencias federales lo conectaron con el robo de aproximadamente $620 millones del puente Ronin, el exploit más grande de la industria en ese momento. En colaboración con el Servicio Secreto de EE. UU. y la División de Investigación Criminal del IRS, investigadores federales determinaron que los activos robados se están convirtiendo principalmente en Ethereum, y se espera un mayor lavado a través de exchanges descentralizados, servicios de intercambio instantáneo y otra infraestructura DeFi. En casos anteriores vinculados a TraderTraitor, las cadenas de lavado pasaban por servicios de mezcla, un patrón que llevó al Tesoro de EE. UU. a sancionar mixers como Blender.io y Tornado Cash en 2022.

Las agencias pidieron a plataformas de trading, operadores de THORNode, proveedores de RPC y empresas de análisis blockchain que bloqueen las transacciones que involucren las direcciones identificadas como controladas por los atacantes. El FBI también publicó una extensa lista de direcciones de criptomonedas asociadas con la operación, incluyendo cientos en Ethereum y direcciones adicionales en Bitcoin y Solana. Publicar listas de direcciones de esta manera brinda a exchanges y empresas de análisis un referente común de filtrado, convirtiendo los puntos de entrada centralizados y las funciones de congelamiento de emisores en puntos prácticos de interdicción.

La atribución refuerza hallazgos previos de las firmas de inteligencia blockchain TRM Labs y Chainalysis, que identificaron patrones de transacciones consistentes con operaciones norcoreanas. Funcionarios de EE. UU. y monitores de sanciones de la ONU han evaluado previamente que el robo de criptomonedas constituye una fuente importante de ingresos para los programas de armas de Corea del Norte. TraderTraitor también fue implicado en el ataque de febrero de 2025 contra Bybit, que produjo pérdidas de aproximadamente $1.5 mil millones. La brecha de Binance es más de cuatro veces mayor, lo que la convierte en el mayor robo de criptomonedas registrado según las estimaciones actuales.

El presidente Donald Trump respondió con cautela cuando se le preguntó sobre la conexión norcoreana el 31 de octubre, afirmando que su administración aún evaluaba la situación. "No sabemos si es Corea del Norte, pero si lo es, hablaremos con Corea del Norte al respecto", dijo Trump durante declaraciones en Mar-a-Lago.

Binance restablece el 95% de los activos antes de la reanudación de retiros

Binance ha actuado con rapidez para reconstruir las reservas afectadas, elevando la cobertura de reposición del 80% el 30 de octubre al 90% al día siguiente y aproximadamente al 95% para el 1 de noviembre. El exchange confirmó que diez activos principales están completamente respaldados: BTC, ETH, USDT, USDC, BNB, SOL, XRP, USD1, RLUSD y ZEC. El 5% restante consiste principalmente en tokens menos líquidos, que Binance sigue adquiriendo mediante compras de mercado y transacciones extrabursátiles.

La reposición se financia con el Secure Asset Fund for Users (SAFU) de Binance, su fondo de seguros de futuros y su tesorería corporativa. SAFU se estableció en 2018 como una reserva de emergencia para proteger los fondos de los clientes durante faltantes del exchange. Sin embargo, reponer reservas es distinto de recuperar la criptomoneda robada: los aproximadamente $3 mil millones congelados en cadena no necesariamente han sido devueltos al exchange.

Los retiros están programados para reanudarse de forma progresiva entre las 06:00 y las 09:00 UTC del 1 de noviembre, comenzando por las redes principales, incluidas Bitcoin, Ethereum, BNB Chain, Solana, Tron y XRP Ledger, según un anuncio de la compañía. Los depósitos se han mantenido operativos durante todo el proceso de recuperación.

La investigación inicial de Binance identificó una laptop de un empleado de DevOps posiblemente comprometida y acceso no autorizado a la infraestructura interna de retiros, aunque hallazgos posteriores revelaron puntos adicionales de compromiso. El exchange afirmó que no encontró evidencia de que las claves privadas de los wallets hayan sido filtradas. Una explicación técnica completa sigue pendiente.

Con la atribución del FBI ahora formalizada, la atención se dirige a rastrear y disruptar el movimiento de los fondos robados. Entre los desarrollos a seguir están si los retiros se reanudan según lo programado el 1 de noviembre, si alguno de los aproximadamente $3 mil millones en activos congelados se recupera por vías legales, y el análisis técnico post-mortem que Binance aún no ha publicado. La magnitud del ataque, a pesar del compromiso de Binance de absorber las pérdidas de los clientes, subraya la amenaza persistente que las operaciones de hacking patrocinadas por Estados representan para la infraestructura de criptomonedas.