Dos firmas de análisis blockchain atribuyen el ataque de más de 6 mil millones de dólares al grupo norcoreano TraderTraitor
Escucha este artículo
La noche del 29 de octubre, cinco billeteras de Binance en la red XRP Ledger enviaron más de 233 millones de XRP a una misma dirección. En los minutos siguientes hubo transferencias similares desde otras redes, entre ellas Solana, Bitcoin, Tron y Ethereum.
Al terminar la noche, habían salido unos 6 mil 300 millones de dólares de la plataforma de intercambio de criptomonedas más grande del mundo, en lo que parece ser el mayor robo cripto registrado. Según la hipótesis inicial de Binance, el origen estaría en una laptop.
En su comunicado, Binance indicó que su investigación inicial apuntaba a una laptop comprometida. Medios especializados precisan que sería la de un ingeniero de DevOps. La empresa matizó después ese diagnóstico argumentando que sus equipos encontraron “puntos de vulneración” adicionales. También dijo no tener evidencia de que las llaves privadas de las billeteras se hayan filtrado.
El codirector ejecutivo, Richard Teng, afirmó en un video publicado en X que el ataque no fue obra de una sola persona. Según él, los atacantes usaron tácticas complejas, incluido un “mecanismo de autodestrucción” que dificulta la investigación.
El análisis de TRM Labs sitúa el inicio de la operación al menos 36 horas antes del robo. En la mañana del 28 de octubre, la billetera del operador recibió tres pequeños retiros desde Tornado Cash, un servicio que oculta el origen de los fondos. Al día siguiente, el atacante probó su código en dos billeteras, ensayó la versión final en una tercera y, cuatro horas después, la instaló en una billetera caliente de Binance.
En Ethereum, el atacante usó una función llamada EIP-7702, que permite a una billetera ceder su comportamiento a un contrato inteligente. Envió 50 autorizaciones firmadas, calculadas para que al menos una coincidiera con el contador de transacciones en el momento de ejecutarse. Una coincidió.
Para TRM, el dato más relevante está en las otras redes. En la misma ventana de tiempo, billeteras de Binance en nueve cadenas distintas, con tipos de llave y esquemas de firma diferentes, enviaron fondos al atacante mediante transferencias firmadas normales.
La firma considera que lo más probable es que el atacante consiguió que el sistema de firma de Binance firmara las transacciones que él quisiera. Esa lectura es compatible con un acceso desde un equipo interno, aunque Binance aún no ha publicado la causa raíz.
Por su parte, la empresa de inteligencia de blockchain TRM atribuye el robo a TraderTraitor, que describe como la unidad de élite de hackeo de Corea del Norte, y dice hacerlo con “alto grado de confianza”. Según AP, Chainalysis también considera probable que el ataque haya sido cometido por ese grupo.
TRM ve rasgos comunes con otros robos vinculados a Pyongyang, como el de Bybit en febrero de 2025, que tuvo un impacto de mil 500 millones de dólares y que el FBI atribuyó a Corea del Norte y a TraderTraitor. Entre ellos están los pequeños retiros desde Tornado Cash, la preparación con antelación y las firmas obtenidas de antemano y ejecutadas en una sola ráfaga.
Hay también una diferencia: el lavado observado hasta ahora se apoya sobre todo en intercambios con creadores de mercado y protocolos de préstamo, y menos en puentes entre cadenas.
Consultado sobre esos vínculos, un portavoz de Binance se limitó a decir que la empresa trabaja “estrechamente con nuestros socios de las fuerzas de seguridad para confirmar la identidad de los delincuentes y llevarlos ante la justicia”.
Expertos citados por AP sostienen que Corea del Norte recurre al hackeo de criptomonedas para obtener divisas que sostengan su economía bajo sanciones y financien su programa nuclear. En diciembre de 2022, la agencia de espionaje de Corea del Sur estimó que hackers norcoreanos habían robado unos 1,100 millones de dólares en activos virtuales en cinco años, más de la mitad solo en 2022.
AMP
