El FBI culpa a Corea del Norte del robo de 6.300 millones a Binance

Lo que debes saber

• Binance dice que los atacantes se llevaron más de 6.000 millones de dólares en activos digitales el 29 de octubre. La firma de inteligencia de blockchain TRM Labs calculó unos 6.360 millones en diez cadenas y lo llamó "el mayor robo de criptomonedas registrado"; Elliptic lo calcula en unos 6.430 millones.
• El FBI informó el sábado 31 de octubre que el robo fue obra de TraderTraitor, un grupo norcoreano al que también atribuye el hackeo de unos 1.500 millones de dólares a Bybit en febrero de 2025, según The Record y Al Jazeera.
• Binance dijo que al 31 de octubre había reemplazado cerca del 90 por ciento de los activos robados con su propio dinero, y CoinDesk informó que esa cifra llegó a cerca del 95 por ciento el domingo 1 de noviembre. El exchange prometió que los clientes no absorberán la pérdida.
• TRM Labs y Elliptic señalan que entre 2.700 y 2.850 millones de dólares del botín fueron congelados o incautados por emisores de tokens y otros socios, mientras Elliptic estima que unos 3.240 millones siguen en direcciones que vincula al atacante.
• Kim Yo Jong, hermana del líder norcoreano Kim Jong Un, rechazó el anuncio del FBI y lo calificó de "una provocación trillada" y "una retórica absurda", informó The Associated Press (traducción de NewsCubby). Trump dijo en su finca de Mar-a-Lago: "No sabemos si es Corea del Norte, pero si lo es, hablaremos con Corea del Norte al respecto" (traducción de NewsCubby).
• Atribuir un hackeo a un Estado es una afirmación de los investigadores, no un hecho establecido. Aquí quienes la hacen son el FBI, TRM Labs, Chainalysis y Elliptic.

¿Cuánto se robaron y cuándo?

Binance, el mayor exchange de criptomonedas del mundo por volumen de operaciones, dice que los atacantes vaciaron más de 6.000 millones de dólares en activos digitales de sus monederos el 29 de octubre de 2026. The Associated Press, en un reporte publicado por PBS NewsHour, describió la pérdida como unos 6.300 millones de dólares en bitcoin y otras monedas digitales, y señaló que el robo tomó apenas minutos.

Las tres firmas de inteligencia de blockchain que publicaron cálculos no coinciden en una sola cifra, porque cada una valora los tokens robados en un momento distinto. TRM Labs dijo que salieron unos 6.360 millones de dólares de los monederos de Binance en diez cadenas, valorados al momento de cada transferencia, y que esos mismos activos valían unos 6.230 millones a los precios vigentes cuando publicó su análisis. TRM Labs llamó al episodio "el mayor robo de criptomonedas registrado". Elliptic, en un análisis actualizado hasta el 2 de noviembre, situó el total en unos 6.430 millones.

La cronología que describen las firmas es llamativamente comprimida. Según TRM Labs, la mayor parte de las salidas ocurrió en unos 20 minutos a partir de las 20:05 UTC del 29 de octubre, con una segunda oleada que empezó alrededor de las 23:05 UTC y apuntó a las redes Avalanche y Polygon. Elliptic dijo que el robo se extendió de las 20:05 a las 23:56 UTC. El FBI indicó que los activos se tomaron "en o alrededor del 29 de octubre", según The Korea Times (traducción de NewsCubby).

TRM Labs publicó un desglose por cadena: unos 167.464 ether y 63 tokens distintos, entre ellos 1.615 millones de USDT, desde un monedero caliente de Ethereum; 18.270 bitcoin; 233,46 millones de XRP desde cinco monederos de Binance; 612,7 millones de USDT y 46,4 millones de TRX en Tron, y unos 970.500 SOL en Solana. Para dar escala, TRM Labs señaló que el botín es unas cuatro veces mayor que el robo de unos 1.500 millones a Bybit en febrero de 2025, que el FBI también atribuyó al mismo grupo. NewsCubby cubrió las primeras 24 horas del ataque, incluidos los primeros congelamientos de activos y la suspensión de retiros, en su informe del 30 de octubre sobre el hackeo a Binance y los fondos congelados.

¿Cómo entraron los atacantes y cómo movieron el dinero?

Binance no ha publicado una causa raíz. El co-director ejecutivo Richard Teng, en un video publicado en X el viernes 30 de octubre, describió un "ataque complejo" que involucró una computadora portátil comprometida y software malicioso diseñado para borrar las huellas de la actividad de los intrusos, informó Al Jazeera (traducción de NewsCubby). Teng también dijo que el ataque no fue obra de una sola persona y que los atacantes usaron un "mecanismo de autodestrucción" que complica la investigación, según The Associated Press. "Estamos trabajando sin parar para resolverlo", dijo Teng (traducción de NewsCubby).

La evaluación propia de TRM Labs es que el atacante consiguió la capacidad de hacer que el sistema de firma de los monederos calientes de Binance aprobara transacciones en varias cadenas. En Ethereum, según TRM Labs, el atacante usó EIP-7702, una función que permite que un monedero común delegue su comportamiento a un contrato, para que un monedero caliente de Binance ejecutara un contrato de barrido; una sola transacción llevaba 50 autorizaciones prefirmadas, una de las cuales coincidía con el nonce del monedero. En las otras nueve cadenas afectadas, TRM Labs dijo que los fondos salieron mediante transferencias firmadas normales, sin delegación. TRM Labs también señaló que retiros del mezclador Tornado Cash financiaron el monedero del operador desde el 28 de octubre, y que el código del ataque se probó en otros monederos antes de usarse contra Binance.

Lo que vino después es, según Elliptic, la operación de lavado a gran escala más rápida que la firma ha documentado. Elliptic dijo que en menos de cuatro días el botín pasó por unos 12.000 monederos en 11 cadenas en más de 40.000 transacciones, un patrón que calificó de "muy complejo y claramente automatizado" (traducción de NewsCubby). Solo en Tron, Elliptic contó unas 7.700 direcciones receptoras y unas 32.000 transacciones. Señaló que se usaron al menos siete puentes entre cadenas, que unos 128 millones de TRX pasaron por una bóveda de préstamos de JustLend el 31 de octubre y se repartieron a 16 direcciones nuevas, y que unos 28 bitcoin, por unos 2,2 millones de dólares, pasaron por 18 transacciones coinjoin a partir del 1 de noviembre, la primera mezcla que Elliptic dice haber visto con estos fondos. Elliptic indicó que el ether, SOL, NEAR y XRP empezaron a moverse desde el 1 de noviembre, y que los 233 millones de XRP fueron a seis direcciones nuevas el 2 de noviembre.

Elliptic también respondió a una versión que circulaba sobre la velocidad de la operación: sus analistas encontraron tiempos fijos, montos predefinidos y reintentos a ciegas, propios de una automatización convencional, y afirmaron que "nada de lo que hemos visto muestra a un agente de inteligencia artificial tomando decisiones" (traducción de NewsCubby).

Parte del dinero no llegó lejos. TRM Labs dijo que unos 2.700 millones de dólares fueron congelados por Tether, Circle, Ripple, World Liberty Financial y el Consejo de Seguridad de Arbitrum. Elliptic, días después, situó el total congelado o incautado en unos 2.850 millones y dijo que unos 3.240 millones siguen en direcciones que vincula al atacante, en su mayoría en ether y bitcoin, con una cantidad mínima convertida a efectivo hasta ahora. TRM Labs señaló que, antes de que los congelamientos surtieran efecto, el atacante vendió unos 325 millones de USDT a creadores de mercado por unos 122.300 ether, con un descuento de más del 10 por ciento.

¿A quién culpan los investigadores y qué dice Pyongyang?

El FBI emitió un comunicado el sábado 31 de octubre en el que atribuyó el robo a TraderTraitor, un grupo norcoreano. La agencia dijo que "ha observado a actores de TraderTraitor convirtiendo los activos robados principalmente en Ethereum (ETH)" y que "se espera que esos activos se laven después convirtiéndolos mediante servicios de DeFi y de intercambio instantáneo", según The Record (traducciones de NewsCubby). El FBI pidió a exchanges, operadores de finanzas descentralizadas y otras empresas del sector "bloquear transacciones con o derivadas de las direcciones que los actores de TraderTraitor están usando para lavar estos activos robados", y publicó una lista de direcciones de monederos. The Korea Times informó que el Servicio Secreto de Estados Unidos y la división de Investigación Criminal del Servicio de Impuestos Internos están colaborando.

Las firmas de blockchain llegaron a conclusiones similares antes de que hablara el FBI. TRM Labs dijo que atribuyó el ataque a TraderTraitor "con alta confianza", citando lo que describió como inteligencia sólida dentro y fuera de la cadena. Un vocero de Chainalysis dijo a CNN que la firma tenía "alta confianza" en que Corea del Norte estuvo detrás del hackeo, y señaló que su evidencia más fuerte es que los fondos robados a Binance se mezclaron "en tiempo real" con el botín del ataque a Bitget de septiembre de 2026, ya atribuido a actores norcoreanos. El cofundador y director ejecutivo de Chainalysis, Jonathan Levin, escribió en X que TraderTraitor probablemente ejecutó el hackeo, informó The Associated Press. Elliptic dijo que unos 16 millones de dólares fueron a direcciones que tenían fondos de Bitget y que los fondos que no se han movido están "muy probablemente todavía en manos de Corea del Norte" (traducción de NewsCubby), aunque advirtió que los datos de la cadena por sí solos no pueden mostrar si algún fondo pasó a redes de lavado de terceros.

Corea del Norte ya respondió, y lo niega. Kim Yo Jong, influyente hermana del líder Kim Jong Un, rechazó el anuncio del FBI y lo calificó de "una provocación trillada" y "una retórica absurda", según The Associated Press. La declaración, fechada el 2 de noviembre, fue difundida por la agencia estatal KCNA. "No es la primera vez que Estados Unidos intenta sembrar malentendidos sobre la RPDC en la comunidad internacional", dijo, usando las siglas del nombre oficial del país. Añadió que "en esta ocasión confirmamos una vez más la actitud hostil de Washington hacia la RPDC" y que "tenemos cuestiones que reconsiderar en diversos aspectos ante esta actitud hostil estadounidense, muy desagradable" (traducciones de NewsCubby). Su declaración no abordó los hallazgos técnicos publicados por el FBI ni por las firmas de blockchain.

A Trump le preguntaron por el robo en su finca de Mar-a-Lago, en Palm Beach, Florida, el sábado, y respondió: "No estoy preocupado. Estamos informándonos". Y agregó, en declaraciones recogidas por The Korea Times: "No sabemos si es Corea del Norte, pero si lo es, hablaremos con Corea del Norte al respecto". Antes, en la Casa Blanca, había contestado a una pregunta sobre la participación norcoreana diciendo "lo estamos analizando", según The Associated Press (traducciones de NewsCubby). The Korea Times señaló que el secretario de Estado, Marco Rubio, ha dicho que Trump sigue abierto a conversaciones si Pyongyang está dispuesto a atender las preocupaciones de Estados Unidos y sus aliados, y que no hay ninguna reunión agendada.

El Ministerio de Relaciones Exteriores de Corea del Sur dijo el lunes que las actividades cibernéticas ilícitas de Corea del Norte son una amenaza creciente para la economía digital global y que Seúl trabaja de cerca con Washington y con la comunidad internacional, informó The Associated Press.

¿Están seguros los fondos de los clientes?

Binance suspendió los retiros después del ataque, mantuvo abiertos los depósitos y dijo que cubriría las pérdidas por su cuenta. Al Jazeera informó que el exchange recurrió a un fondo de protección de usuarios de 1.000 millones de dólares, el Secure Asset Fund for Users, a un fondo de reserva en bitcoin, a parte de su Futures Insurance Fund y a su tesorería corporativa, y que había reemplazado el 90 por ciento del monto robado comprando tokens nuevos con dinero de la empresa, con el 10 por ciento restante en tokens menos líquidos que tomaría más tiempo adquirir. Binance dijo que seguiría comprando hasta que cada token alcanzara cobertura total. NewsCubby reportó esa etapa de la respuesta en su informe del 31 de octubre sobre la reposición del 90 por ciento y la reapertura prevista para el domingo.

Para el domingo 1 de noviembre, CoinDesk informó que Binance había cubierto cerca del 95 por ciento de la pérdida, que sus mayores tenencias estaban totalmente respaldadas y que se había comprometido a restituir el Secure Asset Fund for Users a unos 1.000 millones de dólares. Binance también publicó una instantánea de prueba de reservas que, según la empresa, permite a los usuarios verificar que sus activos están respaldados en una proporción mínima de uno a uno, según Al Jazeera. Teng dijo que los activos de los usuarios "están bajo la arquitectura de seguridad establecida de Binance" y que "la gran mayoría está en monederos fríos", informó The Associated Press (traducciones de NewsCubby). Un vocero de Binance se negó a confirmar la participación norcoreana y dijo que la empresa está "trabajando estrechamente con nuestros socios de las fuerzas del orden".

Los retiros se reabrieron por etapas el domingo 1 de noviembre. CoinDesk, citando datos de seguimiento de monederos de DefiLlama, informó que salieron más de 6.000 millones de dólares de los monederos asociados a Binance cuando se reanudaron los retiros, cerca del 3,6 por ciento de los 171.000 millones que el rastreador registraba antes del ataque. La contabilidad propia de Binance, según CoinDesk, mostró 4.649 millones en retiros frente a 1.010 millones en depósitos en las primeras nueve horas y media, una salida neta de unos 3.640 millones, o el 2,1 por ciento de los activos bajo administración. El fundador y exdirector ejecutivo de Binance, Changpeng Zhao, escribió en X que la mayor parte de la salida neta ocurrió en las primeras dos horas y que "el 98% elige quedarse" (traducción de NewsCubby).

Ari Redbord, director de política de TRM Labs, dijo a The Associated Press que los hackers probablemente dividirán los activos en partes pequeñas y los moverán por exchanges más chicos, posiblemente durante meses. "Es un asalto a un banco, en este caso, a la velocidad de internet", dijo, y añadió que los investigadores pueden seguir los fondos en tiempo real para armar casos e incautar activos: "Es ese juego del gato y el ratón" (traducciones de NewsCubby). Elliptic dijo que espera que el ether se cambie por bitcoin en lotes pequeños y se convierta a efectivo mediante corredores extrabursátiles durante varios meses, según lo que ocurrió después del robo a Bybit.

¿Qué están haciendo los mercados y los reguladores?

Los precios de las criptomonedas cayeron el viernes 30 de octubre mientras Binance intentaba tranquilizar a sus clientes, informó Al Jazeera, y la caída llegó en una semana de tensión más amplia en los mercados, en la que el Nasdaq 100 bajó 3,5 por ciento el viernes y el índice de semiconductores de Filadelfia cayó 7 por ciento, según CoinDesk. NewsCubby cubrió uno de los factores de esa misma turbulencia bursátil en su reporte sobre la caída del 12,29 por ciento de Alphabet y el examen más duro del mercado al gasto en inteligencia artificial.

Para la mañana del lunes en Asia, CoinDesk informó que el bitcoin había subido alrededor del 1 por ciento, hasta unos 78.600 dólares, su tercera alza diaria consecutiva, después de bajar a unos 77.600 el domingo por la noche; el ether subía casi 2 por ciento, apenas arriba de 2.300 dólares, y el token BNB de Binance subía casi 2 por ciento, en torno a 713 dólares. Jeff Mei, director de operaciones del exchange BTSE, dijo a CoinDesk: "Creemos que, dados los comentarios de la Reserva Federal de la semana pasada, las presiones macroeconómicas seguirán manteniendo altas las tasas de interés" (traducción de NewsCubby).

En Washington, el robo alimentó una pelea que ya existía sobre la supervisión de las criptomonedas, más que producir una única respuesta regulatoria. Bitcoin.com News informó que el presidente de la Comisión de Comercio de Futuros de Materias Primas (CFTC), Michael Selig, señaló en una entrevista con CNBC el 30 de octubre una vía voluntaria de registro federal para los exchanges: "Queremos ofrecer a estos exchanges una opción federal para venir y registrarse con la CFTC" (traducción de NewsCubby). La propuesta se apoya en una iniciativa que la agencia abrió el 5 de octubre, con comentarios públicos hasta el 14 de diciembre, y la CFTC no puede obligar a los exchanges centralizados a registrarse sin más autoridad del Congreso. La senadora Cynthia Lummis, republicana de Wyoming, usó el hackeo para presionar por la estancada CLARITY Act y escribió en X el 30 de octubre que "cada minuto perdido es dinero que se va para siempre" (traducción de NewsCubby); el proyecto no alcanzó los 60 votos que necesitaba en una votación de procedimiento en el Senado el 15 de septiembre. Amanda Fischer, de la organización Better Markets, cuestionó esa lectura y argumentó que los mecanismos vigentes ya permitían a las empresas congelar transacciones sospechosas de forma voluntaria.

*¿Quieres más? Explora los titulares de hoy en NewsCubby y únete gratis a My Day para que NewsCubby forme parte de tu día.*

*FOTO DE ARCHIVO: La Torre Juche en Pyongyang, Corea del Norte, fotografiada el 14 de octubre de 2015. Foto: Uwe Brodrecht / Wikimedia Commons / CC BY-SA 2.0.*

*Los artículos de NewsCubby se elaboran con ayuda de inteligencia artificial y son revisados por personas.*

*Gracias por leer NewsCubby. Hasta la próxima.*