El rastro cripto del hackeo de Binance apunta a Corea del Norte

El jueves 29 de octubre de 2026, un grupo de atacantes sustrajo más de US$6.300 millones de Binance en aproximadamente 20 minutos. El monto convirtió la operación en el mayor hackeo de activos digitales registrado y superó más de seis veces cualquier asalto financiero de la era previa a la tecnología blockchain.

La investigación inicial indicó que los delincuentes vulneraron la infraestructura de firma del exchange tras comprometer la computadora portátil de un ingeniero de DevOps y explotar otros puntos de acceso. Aunque el ataque involucró 10 cadenas de bloques, Chainalysis y TRM Labs siguieron el movimiento de los fondos y atribuyeron la operación a TraderTraitor, una unidad vinculada al Grupo Lazarus y a los servicios de inteligencia de Corea del Norte.

La principal evidencia señalada por Chainalysis fue el entrecruzamiento de fondos en la blockchain. En las horas posteriores al robo, parte de los criptoactivos sustraídos de Binance comenzó a mezclarse en una dirección que ya contenía fondos provenientes del ataque contra el exchange Bitget, ocurrido un mes antes y atribuido formalmente a actores norcoreanos.

Los investigadores también detectaron un patrón de blanqueo automatizado. Los atacantes realizaron miles de transacciones repetitivas en pocos minutos, trasladando los fondos entre las mismas direcciones y ejecutando secuencias programadas, como el envío constante de exactamente 1 TRX, para dificultar el seguimiento de los sistemas de cumplimiento.

En la red Ethereum, los hackers utilizaron autorizaciones predefinidas del protocolo EIP-7702 para delegar el control de la billetera principal de Binance a un contrato inteligente malicioso diseñado para drenar los activos. Antes del ataque habían preparado un lote de 50 firmas con el objetivo de asegurar la ejecución de la transacción.

Después del robo, los atacantes intentaron cambiar stablecoins congelables, como USDT y USDC, por Bitcoin y Ethereum, activos que no pueden ser bloqueados por una entidad centralizada. La acción coordinada de emisores e investigadores permitió congelar cerca de US$2.800 millones, aunque cientos de millones fueron convertidos a Ethereum mediante creadores de mercado y protocolos de préstamo.

Chainalysis señaló que la estrategia norcoreana de lavado suele extenderse durante 45 días y utiliza transferencias inferiores a US$500.000, intermediarios de cambio en idioma chino, puentes entre cadenas y servicios de mezclado como Tornado Cash. Según sus informes, los robos atribuidos a piratas informáticos norcoreanos superan los US$6.750 millones en los últimos años.

Entre los antecedentes asociados a TraderTraitor y al Grupo Lazarus figuran el hackeo contra Bybit en febrero de 2025, con un botín de US$1.500 millones, y el ataque a la red Ronin en 2022, por US$620 millones. También se les atribuyen ataques contra la red bancaria SWIFT, Sony Pictures y operaciones de infiltración de profesionales norcoreanos que obtuvieron empleos remotos en empresas tecnológicas occidentales con identidades falsas. Organismos internacionales de seguridad sostienen que estos robos permiten al régimen de Kim Jong Un sortear las sanciones de la ONU y financiar sus programas nuclear y de misiles balísticos.

Fuente: La Nación