Hackers norcoreanos robaron un estimado de $7,610 millones a lo largo de 38 incidentes entre enero y octubre —un promedio de aproximadamente $200 millones por incidente—, según un informe publicado el 6 de noviembre por la firma de inteligencia blockchain BitOK. La firma señaló que los seis ataques más grandes no requirieron romper el código de contratos inteligentes. En lugar de ello, los atacantes tomaron control de empleados, dispositivos de firma y sistemas de retiro.

BitOK contabilizó robos en exchanges, plataformas de finanzas descentralizadas y otros negocios cripto. Del total estimado, $2,860 millones fueron capturados mediante congelamientos y decomisos, mientras que $4,750 millones —alrededor del 62% del total estimado— quedaron fuera de alcance. Las cifras describen muchos incidentes separados y no una sola transacción ni un único ataque coordinado.

Los sistemas de firma se convirtieron en la superficie de ataque clave

El informe identifica los sistemas que autorizan retiros como el objetivo principal. En el caso de Binance, según BitOK, los atacantes usaron la laptop de un ingeniero de DevOps y un contenedor de un servicio de firma. Las transferencias resultantes portaban firmas válidas o superaban las verificaciones estándar, a pesar de que el entorno de firma había sido comprometido: para la blockchain, un retiro correctamente firmado es válido sin importar quién controló el dispositivo que lo generó.

Otros incidentes involucraron firmantes multisig en Drift, un verificador de puente en KelpDAO y el sistema de wallets de Bitget. BitOK indicó que los atacantes probaron rutas con montos pequeños antes de ejecutar robos mayores. En el caso de Binance, el contrato del ataque estuvo activo públicamente cuatro horas antes del robo más grande.

El informe también describe un rápido movimiento de stablecoins hacia ETH, un activo que los emisores no pueden congelar. Tether recibió su primera solicitud de congelamiento 34 minutos después del retiro en Binance; para entonces, 345 millones de USDT ya habían salido de la dirección original. BitOK señaló que el 43% de los fondos robados en el ataque a Binance fueron congelados o decomisados, en comparación con el 6% del conjunto de los otros ataques importantes.

Rastros compartidos conectan incidentes separados

BitOK afirmó que direcciones de liquidación compartidas vincularon cinco ataques, desde el robo a KelpDAO en abril hasta el incidente de Binance en octubre. La firma rastreó saldos residuales que terminaron en una wallet recolectora. El 31 de agosto, 150 direcciones se vaciaron en esa wallet recolectora en un lapso de 3 minutos y 36 segundos, dejando 0.27 ETH.

La firma interpretó el rastro compartido como evidencia de un único operador de lavado, aunque admitió que distintos equipos pudieron haber llevado a cabo las intrusiones. El informe no identifica a ninguna persona acusada o condenada por los incidentes de 2026, dejando sin resolver la relación entre quienes obtuvieron acceso y quienes movieron los fondos.

BlockTelegraph reportó anteriormente sobre los flujos de salida de Binance tras el hackeo, incluidos los $4,700 millones netos en salidas reportados por el exchange después de que se reanudaron los retiros. Otro informe examinó los permisos de wallet vinculados a las wallets de Binance. Su cobertura de Bitget detalló el zero-day vinculado al robo.

La recuperación depende de la intervención temprana

Las cifras de BitOK muestran cómo el tiempo moldeó los resultados de recuperación. Las stablecoins o los activos custodiados en un servicio capaz de bloquear transferencias ofrecían una oportunidad para detener el movimiento de fondos. Una vez que los atacantes convertían los fondos a ETH o los enrutaban a través de otros servicios y cadenas, la recuperación se volvía significativamente más difícil, según el informe.

El próximo enfoque de seguridad del informe recae en las claves de firma y en las personas o sistemas que las controlan. Señala los dispositivos de empleados, los contenedores y las rutas de aprobación como parte del perímetro de seguridad antes de que las transacciones lleguen a una blockchain. El relato también destaca el valor de los saldos residuales pequeños: la wallet recolectora de 0.27 ETH ayudó a conectar direcciones asociadas a ataques separados.

El estimado de BitOK para 2026 cubre incidentes hasta octubre y fue publicado el 6 de noviembre. El informe presenta los vínculos de lavado compartidos como una forma de conectar movimientos de dinero, dejando abierta la pregunta de si las intrusiones separadas provinieron de un solo equipo. Su relato ubica la detección rápida y las solicitudes de congelamiento entre las medidas de respuesta que moldearon lo que finalmente pudo recuperarse.