Hackers de Corea del Norte están moviendo los aproximadamente 6,400 millones de dólares robados de Binance a un ritmo vertiginoso, creando una nueva billetera de criptomonedas aproximadamente cada 25 segundos, según la firma de análisis blockchain Elliptic, que publicó el lunes su análisis de la campaña de blanqueo.

En menos de cuatro días, el atacante ha distribuido los fondos en unas 12,000 billeteras que abarcan 11 blockchains, ejecutando más de 40,000 transacciones en el proceso. Elliptic describió la operación como altamente automatizada, pero afirmó que no encontró evidencia de intervención de inteligencia artificial.

Sin embargo, los emisores de stablecoins se movieron más rápido de lo que los ladrones pudieron dispersar el dinero. Alrededor de 2,850 millones de dólares, el 44% del botín, han sido congelados o incautados, en marcado contraste con el aproximadamente 3% congelado tras el hackeo de 1,500 millones de dólares a Bybit en febrero de 2025, que hasta entonces era el mayor robo de criptomonedas registrado. El ataque a Binance supera más de cuatro veces esa cifra.

La velocidad resultó crucial porque las stablecoins representaban 3,460 millones de dólares, el 54% de los fondos robados, y sus emisores conservan la capacidad de congelarlas. Tether bloqueó el USDT robado en Ethereum 37 minutos después de que llegó a la billetera del atacante, mientras que Circle congeló los 823 millones de dólares en USDC robados antes de que pudieran intercambiarse, según Elliptic.

Antes de que esas congelaciones surtieran efecto, el hacker convirtió 434 millones de USDT en ETH en exchanges descentralizados como Uniswap, tomó prestados 19,762 ETH en el protocolo de préstamos Aave contra otros 59.9 millones de USDT, e intercambió 234 millones de USDT por el token TRX de Tron. En total, unos 786 millones de dólares en stablecoins escaparon a la intervención de los emisores.

El ataque comenzó a última hora del jueves, cuando los atacantes empezaron a vaciar las billeteras calientes de Binance, billeteras conectadas a internet que los exchanges usan para procesar los retiros de clientes, lo que las convierte en la capa más expuesta de la infraestructura de custodia de un exchange. El FBI desde entonces ha atribuido el robo a TraderTraitor, un grupo de hackers vinculado al Estado norcoreano que las autoridades estadounidenses han relacionado previamente con otros grandes robos de criptomonedas, y publicó cientos de direcciones vinculadas. Binance, que se ha comprometido a cubrir todas las pérdidas de los clientes, reabrió los retiros el domingo y registró unos 3,640 millones de dólares en salidas netas durante las primeras nueve horas y media.

El blanqueo posterior ha sido implacable. Tron se convirtió en el conducto principal, con la actividad de transacciones alcanzando un pico de alrededor de 1,300 transferencias en una sola hora. Ese ritmo alimentó especulaciones de que agentes de IA estaban orquestando los movimientos, pero Elliptic rechazó esa interpretación, citando tiempos fijos, montos establecidos, reintentos a ciegas y pausas que se asemejan a horarios laborales humanos. Aunque el blanqueo es claramente automatizado, escribió la firma, "nada de lo que hemos visto muestra a un agente de IA tomando decisiones".

Sumas considerables permanecen intactas. Alrededor de 3,240 millones de dólares se encuentran en direcciones vinculadas al robo, principalmente en ETH y los 18,270 Bitcoin robados, que no se han movido desde el día del ataque. Elliptic considera que esos fondos muy probablemente aún están en manos de Corea del Norte, mientras que el dinero que ya circula por la cadena de blanqueo puede haber pasado a redes chinas de lavado de dinero. Solo una cantidad insignificante parece haber sido liquidada. Unos 16 millones de dólares también han fluído hacia direcciones que contienen ingresos del exploit de Bitget de septiembre.

Basándose en el patrón observado tras el hackeo de Bybit, Elliptic espera que el atacante intercambie su ETH por Bitcoin en lotes pequeños y lo liquide a través de brokers de venta extrabursátil durante un período de meses. Conseguir nuevas congelaciones será más difícil, dijo la firma, porque el ETH y el Bitcoin no pueden congelarse. Las mejores oportunidades restantes están en los servicios centralizados, donde los fondos finalmente tendrán que salir a la luz.

El robo a Binance pone fin a una etapa especialmente dura para la seguridad del sector cripto. BTCPay Server urgió a los comerciantes a apagar sus servidores el lunes, en medio de reportes de ataques a billeteras calientes, y el exchange brasileño Mercado Bitcoin suspendió los retiros tras un hackeo de 40 millones de dólares. No está claro si alguno de los incidentes está conectado con el ataque a Binance.