La firma de análisis de blockchain Chainalysis ha concluido que el grupo cibercriminal norcoreano TraderTraitor ejecutó el robo de 6.400 millones de dólares en criptomonedas sufrido por Binance, según un informe publicado el 30 de octubre. La atribución de la firma se basa en actividad on-chain que, según asegura, vincula directamente el incidente de Binance con un ataque anterior al exchange Bitget.
"Este grupo ha atacado repetidamente a la industria de las criptomonedas, a exchanges, protocolos DeFi e inversores para recaudar fondos para el régimen", señaló Chainalysis. La firma de ciberseguridad TRM Labs llegó de forma independiente a la misma conclusión, apoyándose en fuentes de inteligencia tanto internas como externas.
Según Chainalysis, la pista decisiva fue que los activos robados a Binance se mezclaron en tiempo real con los fondos sustraídos a Bitget, cuyo servidor crítico fue vulnerado el 24 de septiembre de 2026 en un robo valorado en 388 millones de dólares. "Ese vínculo directo on-chain reforzó nuestra evaluación de que TraderTraitor ejecutó el hackeo de Binance", indicó la firma.
El robo a Binance comenzó a las 20:20 UTC del 29 de octubre, cuando el atacante vació los hot wallets del exchange. Los investigadores afirman que, a continuación, el intruso intentó convertir rápidamente stablecoins susceptibles de ser congeladas en bitcoin y ether antes de que los emisores pudieran intervenir, una maniobra orientada a poner los fondos fuera del alcance de las herramientas de bloqueo (blacklisting).
Miles de millones congelados, cambio en las tácticas de blanqueo
La respuesta de las firmas de análisis y las autoridades fue rápida. Chainalysis señaló que cerca de 2.800 millones de dólares han sido congelados mediante una acción coordinada, mientras que Binance sitúa la cifra total verificada actual en 3.000 millones de dólares. Tras ese esfuerzo de contención, Chainalysis afirmó que los atacantes modificaron la forma en que mueven los fondos restantes.
"Mientras los investigadores continúan rastreando los fondos robados a Binance, estamos observando patrones de blanqueo que no habíamos visto antes", indicó la firma. "Miles de transacciones en un periodo corto sugieren que los atacantes están usando automatización para ocultar el rastro de los fondos". Chainalysis añadió que los fondos se hacen circular repetidamente entre direcciones en lugar de simplemente avanzar: "En lugar de simplemente mover los fondos hacia adelante, los hacen circular repetidamente entre direcciones, a menudo devolviéndolos a direcciones previamente implicadas en la secuencia".
Un portátil comprometido
La investigación preliminar de la propia Binance apunta a un punto de entrada más mundano que un código de explotación sofisticado. El exchange afirma que el acceso se produjo a través de la vulneración del portátil de un ingeniero de DevOps, lo que permitió a los atacantes entrar en un contenedor de servicios y ejecutar retiros no autorizados. Binance no ha revelado más detalles sobre cómo se comprometió el dispositivo.
Para los exchanges y custodios europeos, el caso subraya un tema recurrente en las operaciones vinculadas a Corea del Norte: los atacantes se dirigen cada vez más a la infraestructura interna y a las credenciales de los empleados en lugar de depender únicamente de vulnerabilidades a nivel de contrato inteligente o de protocolo, un patrón que Chainalysis ha documentado a lo largo del historial de TraderTraitor atacando exchanges, protocolos DeFi e inversores.
