La Oficina Federal de Investigación (FBI) confirmó que Corea del Norte estuvo detrás del robo de más de 6.000 millones de dólares en Binance. En su anuncio del 31 de octubre, la agencia atribuyó el ataque a la actividad que rastrea como TraderTraitor, cerrando así la cuestión de la responsabilidad norcoreana que había pesado sobre el caso.

Por qué la solicitud va dirigida a la infraestructura

El FBI, el Servicio Secreto y la División de Investigación Criminal del IRS pidieron a operadores de THORNode, operadores de RPC, exchanges instantáneos, servicios DeFi, firmas de análisis y otros proveedores de activos virtuales que bloqueen las transacciones vinculadas a las direcciones que publicaron. Según las agencias, los activos robados se están convirtiendo principalmente en ETH, y se espera que el lavado continúe a través de servicios DeFi y de intercambio instantáneo.

Esa conversión explica por qué la solicitud abarca tantos tipos de servicios. Los emisores de stablecoins pueden congelar sus propios tokens, y parte del botín fue congelado de esa manera en cuestión de horas. El ETH no tiene un emisor a quien recurrir. Una vez que el atacante movió el valor a ETH, detenerlo depende de los servicios por los que pasen los fondos a continuación.

La lista de direcciones es el punto de partida. El FBI describe las billeteras listadas como que contienen o han contenido previamente activos robados, y como operadas por actores de TraderTraitor o estrechamente vinculados a ellos. Algunas podrían ya estar vacías. Cada proveedor aún debe determinar qué, si acaso, puede hacer dentro de su propio rol.

Cinco cosas que puede significar "bloquear"

La intervención va desde la forma de acción más débil hasta la más fuerte, y solo el último escalón devuelve el dinero:

1. Rastreo. Las firmas de análisis mapean por dónde se mueven los fondos y alertan a otros: información, no control.
2. Rechazar una conexión. Un proveedor de RPC o una interfaz de aplicación rechaza las solicitudes de direcciones señaladas en su propio servicio.
3. Detener un protocolo. Una red como THORChain puede pausar el trading o una cadena completa, deteniendo las transacciones de todos, no solo las del atacante.
4. Congelar en custodia. Un exchange o custodio que posee los activos les niega el acceso.
5. Devolver fondos. Los activos identificados se transfieren realmente de vuelta.

Cada escalón requiere evidencias distintas. Una conexión rechazada demuestra que un servicio dijo no. Una pausa demuestra que la actividad se detuvo, por un tiempo. Un congelamiento en custodia demuestra que los activos están retenidos, a la espera de un proceso legal. Solo una devolución demuestra recuperación. Los proveedores mencionados en la solicitud ocupan distintos escalones: las firmas de análisis rastrean, los operadores de RPC y las interfaces de aplicaciones rechazan, los operadores de protocolos pueden detener y los custodios congelan.

Rechazar una conexión

Las aplicaciones acceden a Ethereum a través de nodos, a menudo operados por proveedores de RPC, para leer datos o enviar transacciones, como explica la documentación de JSON-RPC de Ethereum. Un proveedor puede rechazar las solicitudes que pasan por su servicio, pero las reglas de la red no cambian. La difusión, la inclusión en bloques y la finalidad son etapas separadas, y una transacción rechazada por un proveedor aún puede enviarse a través de otro. Lo mismo aplica a un sitio web que restringe su interfaz mientras el protocolo subyacente sigue funcionando.

Detener un protocolo: la postura de THORChain

El FBI nombró directamente a los operadores de THORNode —los operadores que administran la red THORChain—, lo que pone el diseño de THORChain bajo escrutinio. En una publicación del 1 de octubre, publicada antes del robo en Binance, el proyecto dijo que su protocolo puede pausar una cadena o toda la red por seguridad, pero no tiene control para eliminar un solo swap. Su informe trimestral del 23 de octubre reiteró esa postura.

La documentación para desarrolladores del proyecto describe varios tipos de pausa, desde detener el trading hasta detener la firma de transacciones salientes o detener una cadena. Cualquiera de ellas afectaría a todos los usuarios de esa ruta, no solo al atacante.

Un accidente ya mostró cómo se ve una interrupción no planificada. El 31 de octubre, Chainalysis dijo que una reorganización de bloques de Ethereum provocó que THORChain emitiera un reembolso duplicado a alguien que había depositado 10 ETH, retrasando inadvertidamente el lavado de los fondos robados de Binance. Fue una falla operativa, no una restricción deliberada — y los fondos retrasados no son fondos recuperados.

THORChain just inadvertently delayed the laundering of a significant amount of funds stolen from Binance. The reason? An Ethereum reorg. One happened this morning and caused THORChain to incorrectly issue a double refund to someone who had deposited 10 ETH. This triggered an “emergency pause” on THORChain, preventing all users, including DPRK’s money launderers, from using cross-chain swaps. Until the service comes back online, neither the hackers nor anyone else can swap through a majority of THORChain’s bridges.

— Chainalysis (@chainalysis) October 31, 2026 — posted on X

Congelar en custodia

El punto de control más fuerte es una empresa que realmente posee los activos. El ETH no tiene una lista negra de emisor, pero un exchange o custodio que posea ETH robado para un cliente puede bloquear esa cuenta. Donde apliquen sanciones, la guía de OFAC exige que una persona estadounidense que posea moneda virtual bloqueada niegue el acceso y cumpla con las reglas de retención y reporte. La alerta del FBI es una solicitud, no una designación de sanciones ni una orden judicial, por lo que cada poseedor aún necesita su propia base legal para actuar.

Qué contaría como progreso

Las actualizaciones que merezcan tomarse en serio nombrarán al proveedor, la acción tomada, los activos afectados y cuándo ocurrió. Una restricción confirmada muestra que el camino del atacante se estrecha. Un congelamiento en custodia muestra activos retenidos. Solo una transferencia documentada de vuelta muestra que el dinero regresa — y esa es la cifra que eventualmente medirá cuántos de los 6.000 millones de dólares la respuesta realmente salvó.

Este artículo se proporciona únicamente con fines informativos y no constituye asesoramiento financiero ni de inversión.