Willie Sutton, el célebre atracador de bancos estadounidense, explicaba su elección de objetivos con una frase que le ha sobrevivido: "Porque ahí es donde está el dinero". Casi un siglo después, la frase encaja bastante bien con el aparato de hackeo cripto de Corea del Norte. Según cifras publicadas el 30 de octubre por la cuenta de datos unfolded, el país ha sustraído aproximadamente 9.600 millones de dólares en criptomonedas desde 2019, y una sola operación, el ataque a Binance del 29 de octubre, representa cerca de dos tercios de esa cifra.
Los hot wallets de Binance se vaciaron en cuestión de minutos a partir de las 21:05, hora de París, con fondos drenados en una decena de blockchains aproximadamente. TRM Labs afirmó "con un alto grado de confianza" que la mayor parte de los activos robados salió del exchange en unos 20 minutos. El atacante explotó EIP-7702, una función de Ethereum activada en mayo de 2025 que permite a las cuentas delegar la ejecución, presentando 50 autorizaciones prefirmadas para mover fondos. En el proceso, 167.464 ETH y 1.600 millones de USDT salieron de Binance en un único tramo.
Binance ha atribuido la brecha a un ordenador comprometido perteneciente a un ingeniero de DevOps, señalando que, según la información disponible, no se filtró ninguna clave privada. La propia estimación de pérdidas del exchange se sitúa en torno a 6.300 millones de dólares, cerca de los 6.400 millones calculados por Chainalysis y los 6.360 millones que TRM Labs registró en el momento del hackeo.
Más grande que los nueve hackeos anteriores juntos
Para dimensionar la magnitud, los cálculos de unfolded muestran que los nueve mayores hackeos cripto de la historia anteriores a este —una lista que va de Mt. Gox a FTX e incluye el ataque a Bybit del año pasado— suman en conjunto 5.400 millones de dólares. El hackeo de Binance supera él solo ese total combinado en aproximadamente 1.000 millones de dólares.
Si se excluye Binance, el botín restante de Corea del Norte a lo largo de seis años asciende a 3.200 millones de dólares. Esa cifra incluye los 49 millones de dólares del hackeo de Upbit en 2019, los 624 millones del ataque al puente Ronin vinculado a Axie Infinity en 2022, los 1.400 millones del hackeo de Bybit en febrero de 2025 —blanqueados en apenas diez días, en gran parte a través de THORChain, según las cifras del informe—, además de incidentes más recientes: 295 millones procedentes de Drift y 293 millones de Kelp DAO en 2026, y un hackeo de 387 millones a Bitget el mes pasado. Elliptic señaló un solapamiento de 39.000 dólares entre los fondos procedentes de los incidentes de Bitget y Binance en una dirección compartida utilizada para la atribución, y Chainalysis atribuye el ataque a Binance a TraderTraitor, una célula norcoreana vinculada al Lazarus Group, calificando el vínculo de "probable" según la valoración de Elliptic.
Los emisores de stablecoins actuaron para congelar fondos
Los emisores actuaron con rapidez para bloquear las stablecoins robadas. Tether congeló aproximadamente 1.770 millones de USDT, Circle bloqueó 823 millones de USDC, Ripple congeló 40,5 millones de RLUSD, y World Liberty Financial bloqueó 27,8 millones de USD1. El consejo de seguridad de Arbitrum bloqueó por su parte 8.426 ETH. Elliptic calcula el total de fondos congelados en 2.840 millones de dólares, un 44% del botín, mientras que la cifra propia de Binance para los activos congelados se acerca a los 3.000 millones.
El atacante también tomó prestados aproximadamente 19.760 ETH en Aave y movió 18.270 BTC mediante una técnica de peel chain para dificultar el rastreo. Elliptic estima que 3.300 millones de dólares siguen fuera de alcance, repartidos en unas cuarenta direcciones. Binance ha suspendido depósitos y retiradas en varias redes y afirma que cubrirá todas las pérdidas de los clientes a través de su fondo SAFU y de recursos propios.
