Corea del Norte negó vínculos con el hackeo a Binance mientras las empresas de analítica de blockchain rastrean miles de millones de dólares en fondos robados que se mueven a través de miles de wallets y múltiples redes. Pyongyang calificó la atribución de Estados Unidos como una "grave provocación política", mientras que Elliptic y Chainalysis describieron una compleja operación de lavado que continúa desplazándose de una blockchain a otra. Los investigadores están rastreando los fondos robados a Binance, y sus hallazgos se centran en la escala y la secuencia de esos movimientos.

El lavado abarca 11 blockchains y 12,000 wallets

Elliptic indicó que los hackers utilizaron alrededor de 12,000 wallets en 11 blockchains durante los primeros cuatro días posteriores al ataque. La empresa contabilizó más de 40,000 transacciones, con un promedio de una nueva wallet en uso cada 25 segundos, y describió la actividad como altamente compleja y automatizada.

Gran parte del lavado inicial se llevó a cabo en Tron, según Elliptic. Esta red es ampliamente utilizada para transferencias de stablecoins. Los fondos se distribuyeron en unas 7,700 direcciones antes de moverse a Ethereum mediante puentes entre cadenas —servicios que trasladan activos entre redes por lo demás separadas— y al menos 147 millones de dólares habían salido de Tron por esa vía, según la empresa.

Los hackers también canjearon stablecoins robadas a través de exchanges descentralizados —plataformas que permiten a los usuarios intercambiar tokens sin un intermediario central— por criptomonedas que los emisores no pueden congelar, incluido ether. Tether y Circle, los emisores de las stablecoins USDT y USDC, pueden congelar tokens a nivel del emisor, un control del que ether no dispone. Elliptic señaló que unos 786 millones de dólares en stablecoins habían sido convertidos antes de que Tether y Circle congelaran los activos restantes. Los movimientos se extendieron posteriormente a otras redes, incluida Solana.

Chainalysis informó que actores vinculados a Corea del Norte habían iniciado una nueva fase de lavado tras mover más de 500 millones de dólares a través de wallets intermediarias en Tron. Por su parte, Elliptic identificó las primeras señales de mezclado de bitcoin, una técnica diseñada para dificultar el rastreo de las transacciones.

Fondos congelados, conversiones y un ritmo más lento que en Bybit

Hasta el lunes en la madrugada, unos 28 bitcoins, con un valor de 2.2 millones de dólares, habían pasado por 18 transacciones de mezclado, según Elliptic. La empresa reportó que unos 2,850 millones de dólares —el 44% de los 6,430 millones que dice fueron robados— habían sido congelados o incautados, mientras que unos 3,240 millones permanecían en direcciones vinculadas al robo, principalmente en bitcoin y ether.

Solo una cantidad insignificante parece haber sido cobrada. La mayor parte de la actividad consistió en transferencias o conversiones entre criptomonedas, más que en canjes por fondos gastables.

Elliptic señaló que este lavado ha avanzado más lentamente que tras el hackeo de 1,500 millones de dólares a Bybit en febrero de 2025 —el mayor robo de criptoactivos registrado hasta entonces—, cuando los hackers de Corea del Norte movieron todo el ether robado en un plazo de 10 días. La empresa espera que los fondos restantes se conviertan gradualmente en bitcoin y posiblemente se cobren a través de brokers de venta extrabursátil —mesas que liquidan operaciones de gran volumen fuera de los libros de órdenes públicos— y exchanges en el transcurso de varios meses.

Binance reactiva los retiros

Binance anunció que reabriría progresivamente los retiros de más criptoactivos en un mayor número de redes tras el hackeo de la semana pasada. El exchange también indicó que ha cubierto cerca del 95% del monto afectado; el 5% restante está compuesto por tokens de menor liquidez que requieren más tiempo para obtenerlos. Binance afirmó que trabaja con socios de la industria para adquirir esos activos.

Una cobertura anterior de BlockTelegraph documentó las salidas de fondos de Binance tras el hackeo y los permisos de wallet reportados en otro incidente. Un reporte aparte rastrea los fondos robados que se mueven hacia Zcash. Esos artículos cubren reportes distintos y no establecen hechos adicionales sobre las transferencias aquí descritas.

El siguiente avance anunciado es la restauración por fases de los retiros de Binance, mientras trabaja con socios de la industria para conseguir los tokens de menor liquidez restantes. Los relatos de las empresas de analítica, por su parte, describen fondos que aún se mueven a través de direcciones vinculadas, conversiones y transacciones de mezclado.