Carteras de Binance, la mayor plataforma de criptomonedas del mundo, fueron vaciadas la noche del 29 de octubre en un ataque que se llevó cerca de 6.300 millones de dólares, el mayor robo registrado en el sector. Las dos principales firmas de rastreo de blockchain, TRM Labs y Chainalysis, atribuyen la acción a TraderTraitor, grupo de piratas informáticos vinculado al Estado norcoreano.
TRM Labs calcula 6.360 millones de dólares según el precio de cada activo en el momento en que fue movido, o 6.230 millones a la cotización actual. Chainalysis habla de unos 6.400 millones. Cualquiera de las cuentas sitúa el episodio en otra escala: es unas cuatro veces el robo a Bybit, de 1.500 millones de dólares, que era el récord desde febrero de 2025.
Veinte minutos, diez blockchains
La salida de fondos comenzó en torno a las 20.00 GMT del 29 de octubre y la mayor parte ocurrió en unos 20 minutos. Fueron afectadas carteras calientes —las que permanecen conectadas a internet para dar liquidez a las operaciones— en diez blockchains diferentes.
En Ethereum, según TRM Labs, el atacante usó el EIP-7702, recurso introducido en la actualización Pectra de la red, para hacer que una cartera de Binance ejecutara un contrato de barrido bajo su control exclusivo. Se enviaron 50 autorizaciones firmadas de antemano, una para cada uno de 50 contadores consecutivos de transacción, de modo que una fuera necesariamente válida en el momento de la ejecución. La delegación se reutilizó después para drenar la cartera y capturar nuevos depósitos en las horas siguientes.
En las otras nueve redes, las carteras simplemente enviaron los fondos mediante transferencias firmadas comunes. Para TRM Labs, eso apunta al compromiso de la infraestructura de firma de Binance y no a un fraude de phishing limitado a una red, una salvedad que la propia firma presenta como evaluación y no como causa confirmada. Binance no ha divulgado la causa raíz.
La preparación es anterior al ataque: TRM Labs identificó movimientos al menos 36 horas antes, con pequeños retiros en Tornado Cash para financiar la cartera del operador y pruebas del código en otras carteras.
Cómo llegaron a Corea del Norte
La atribución no viene de un comunicado oficial, sino del rastro en la propia blockchain. Chainalysis dice que la evidencia más fuerte fue observar, en tiempo real, cómo los fondos robados a Binance se mezclaban con los del ataque a Bitget del mes pasado, ya atribuido a actores norcoreanos; la conclusión se anunció en la madrugada del 30 de octubre.
TRM Labs afirma tener alta confianza en la atribución y cita similitudes con el ataque a Bybit y con el golpe contra KelpDAO, en abril de 2026. El FBI ya había vinculado a TraderTraitor con el caso Bybit.
2.800 millones congelados y 2.400 millones aún en movimiento
Los congelamientos empezaron menos de una hora después del inicio de los retiros y sumaban unos 2.800 millones de dólares en la contabilidad de Chainalysis. El recuento de TRM Labs, cerrado a las 00.30 GMT del 30 de octubre, detalla 2.700 millones: cerca de 1.770 millones de USDT por Tether, 825 millones de USDC por Circle, 40,5 millones de RLUSD por Ripple, 27,8 millones de USD1 por World Liberty Financial y el equivalente a 30 millones de dólares en ETH y ARB por el consejo de seguridad de Arbitrum.
La diferencia explica por qué la cifra oscila: una stablecoin tiene emisor, y el emisor puede bloquear el saldo; el bitcoin y el ether, no. Según las cuentas de TRM Labs, el atacante mantiene todavía más de 420.000 ETH y 18.270 BTC, cerca de 2.400 millones de dólares, y el lavado ya ha comenzado. Se vendieron 325 millones de USDT a creadores de mercado por aproximadamente 122.300 ETH, con un descuento superior al 10%; hubo préstamo de ETH contra USDT en Aave y depósito de USDT en JustLend, protocolo de la red Tron; y los 18.270 BTC pasaron por una cadena de pelado, en la que el valor se trocea en salidas de números redondos para dificultar el rastreo.
Qué dice Binance
La plataforma confirmó un incidente de seguridad, dijo que estaba investigando y suspendió temporalmente los retiros en varias redes por precaución. Afirmó también que "los fondos de los usuarios están seguros" y, a las 23.35 GMT del 29 de octubre, informó de que los importes congelados verificados llegaban a 2.540 millones de dólares.
Hay al menos un punto en el que la versión de la empresa y el rastro público no coinciden: la copresidenta ejecutiva Yi He afirmó que Ripple ayudó a impedir el movimiento de unos 200 millones de dólares, pero TRM Labs dice haber confirmado en la blockchain solo el congelamiento de 40,5 millones de RLUSD.
Con información de TRM Labs y Chainalysis.
