La magnitud del robo y la atribución a TraderTraitor
El ataque del 29 de octubre de 2026 dejó distintas estimaciones sobre el importe sustraído. Binance, la mayor plataforma de intercambio de criptomonedas del mundo, comunicó que superaba los 6.000 millones de dólares. TRM situó en unos 6.360 millones los fondos trasladados desde monederos de la compañía en diez cadenas de bloques, en su mayoría durante unos 20 minutos. Elliptic calculó un total de 6.430 millones.
El 31 de octubre, el FBI atribuyó el robo a Corea del Norte y denominó la actividad TraderTraitor, según informó Elliptic. La atribución se sumó a la evaluación publicada el jueves por TRM, que identificó con un alto grado de confianza a esa unidad de hackers norcoreanos. Jonathan Levin, cofundador y consejero delegado de Chainalysis, también la señaló en X como probable responsable.
Un portavoz de Binance había evitado confirmar la vinculación con Corea del Norte y explicó que la empresa colaboraba con las fuerzas de seguridad para identificar a los responsables. Según expertos citados sobre el caso, el país recurre al robo de criptomonedas para obtener divisas con las que sostener su economía y financiar su programa nuclear.
Elliptic estimó que el importe multiplicaba por más de cuatro el del ataque a Bybit de febrero de 2025, en el que se robaron unos 1.500 millones de dólares y cuya autoría el FBI atribuyó a Corea del Norte y TraderTraitor. La firma calificó el caso de Binance como casi con certeza el mayor robo individual de cualquier tipo: su valoración supera en más de seis veces los 1.000 millones de dólares que Saddam Hussein tomó del Banco Central de Irak en 2003.
Changpeng Zhao, fundador de Binance, introdujo una distinción en X: aunque este ataque podría encabezar la clasificación por su valor en dólares, otros, como el sufrido por Mt. Gox, afectaron a una cantidad mayor de bitcoin. Andy Ward, vicepresidente sénior de Absolute Security, advirtió de que podrían producirse robos aún mayores a medida que las amenazas se vuelven más sofisticadas, especialmente con el auge de la inteligencia artificial.
Qué se sabe del acceso a los monederos
Las primeras pesquisas de Binance apuntaron a la posible intervención de un ordenador personal comprometido. La empresa informó después de que había localizado otros puntos de vulneración. Su codirector ejecutivo, Richard Teng, confirmó que el ataque afectó a un monedero de la propia compañía y sostuvo que participaron varias personas, con tácticas complejas y un mecanismo de autodestrucción que dificultaba la investigación.
El análisis de Elliptic describe cómo se ejecutó una parte del robo en Ethereum mediante el abuso de EIP-7702, una función incorporada con la actualización Pectra de 2025. A las 20:20 UTC, el atacante presentó una transacción que reunía 50 autorizaciones válidamente firmadas con la clave del monedero caliente conocido como "Binance 14". Con ellas delegó el control en un contrato del atacante. Tres minutos y medio después, ese contrato había vaciado el monedero de 167.464 ETH y 63 tokens, entre ellos 1.600 millones de USDT.
TRM Labs reconstruyó una preparación de al menos día y medio. Según la firma, los atacantes aportaron fondos al monedero utilizado para la operación mediante pequeñas retiradas de Tornado Cash y ensayaron el código malicioso en otros monederos. También detectó características compartidas con los ataques a Bybit y a KelpDAO, este último ocurrido en abril de 2026.
Kok Tin Gan, cofundador y consejero delegado de NyxLab, cuestionó la solidez de los controles de acceso. A su juicio, parecía que una única firma había permitido obtener un token con acceso completo y sin caducidad a un monedero caliente de Binance. Estos monederos permanecen conectados a internet; Teng explicó que la gran mayoría de los activos de los usuarios se guarda en monederos fríos, sin conexión, y solo se traslada a uno caliente cuando un usuario solicita una retirada.
Activos congelados y conversiones para el blanqueo
Binance comunicó que había colaborado con sus socios del sector para inmovilizar cerca de 3.000 millones de dólares. El recuento de TRM Labs correspondiente a las 00:30 UTC del 30 de octubre ascendía a unos 2.700 millones: Tether había bloqueado aproximadamente 1.770 millones en USDT y Circle unos 825 millones en USDC. Ripple y World Liberty Financial congelaron cantidades menores. Por su parte, el Consejo de Seguridad de Arbitrum recurrió a sus poderes de emergencia para sacar unos 30 millones de dólares de un monedero del atacante.
No todos los fondos podían bloquearse de esa manera. TRM indicó que los atacantes aún poseían más de 420.000 ETH y 18.270 BTC, valorados en unos 2.400 millones de dólares, sobre los que ningún emisor tiene capacidad de congelación.
Según Elliptic, antes de los bloqueos el atacante había cambiado unos 786 millones de dólares en criptomonedas estables por ETH y TRX. Esas operaciones supusieron pérdidas de entre el 12% y el 26% respecto al precio de mercado, lo que, a juicio de la firma, sugiere que primaba la rapidez sobre el valor obtenido.
Elliptic también recogió la observación del FBI de que los responsables estaban convirtiendo los fondos principalmente a Ethereum (ETH), antes de continuar el blanqueo a través de finanzas descentralizadas (DeFi) y servicios de intercambio instantáneo. El analista independiente Garrick Hileman señaló que ya había pruebas de transferencias y conversiones de parte de los activos no recuperados, aunque no estaba claro cuánto tardarían en transformarlos en fondos utilizables.
Cobertura de las pérdidas y previsiones de reapertura
Binance reservó más de 6.340 millones de dólares de recursos propios para compensar el robo. De esa cantidad, ya disponía de unos 5.000 millones en los mismos tokens que habían sido sustraídos y estaba comprando el resto tanto en el mercado como mediante operaciones extrabursátiles, conocidas como OTC. El viernes 30 de octubre declaró que había cubierto el 80% del importe afectado y reiteró que absorbería el impacto financiero sin trasladarlo a los usuarios.
Los depósitos no se vieron afectados, según la compañía, pero las retiradas quedaron suspendidas. Binance comunicó el viernes que esperaba restablecerlas en uno o dos días; Teng expresó ese mismo día su previsión de hacerlo antes del domingo.
Binance.US, que opera conforme a la regulación estadounidense, afirmó el viernes que el incidente no la había afectado porque es una plataforma separada e independiente. Añadió que los fondos y los servicios de sus clientes funcionaban con normalidad.
Teng indicó que los equipos técnicos y de seguridad seguían investigando junto con las fuerzas de seguridad, firmas de inteligencia de cadenas de bloques, emisores de tokens y otras plataformas para rastrear y recuperar los fondos. Binance también planeaba publicar el lunes un informe completo de prueba de reservas, o Proof of Reserves.
