Hackeo a Binance: Nuevas pistas apuntan a Corea del Norte

Corea del Norte estaría detrás del hackeo de 6,3 mil millones de dólares sufrido por Binance el 29 de octubre. TRM Labs atribuye el ataque al grupo TraderTraitor con un alto nivel de confianza. El investigador crypto ZachXBT descubrió otra pista: fondos robados a Binance y Bitget habrían terminado en una misma dirección. La plataforma aún no ha confirmado la identidad de los hackers.

TraderTraitor se convierte en el principal sospechoso del hackeo a Binance

TRM Labs publicó sus primeras conclusiones sobre el ataque del 29 de octubre. La empresa especializada en análisis blockchain señala a TraderTraitor, una unidad de hackers asociada al régimen norcoreano. El nombre no es nuevo. En febrero de 2025, el FBI ya había atribuido a este grupo el hackeo a Bybit, estimado en 1,5 mil millones de dólares.

Binance representa una operación mucho más importante. Según TRM Labs, los atacantes movieron 6,36 mil millones de dólares desde billeteras de Binance distribuidas en diez blockchains. La mayor parte de los fondos salió en veinte minutos, a partir de las 20:05 UTC.

Los preparativos comenzaron al menos 36 horas antes. El 28 de octubre, una billetera usada para la operación recibió tres pequeñas transferencias provenientes de Tornado Cash. Los hackers luego probaron su dispositivo en varias direcciones.

TRM Labs detecta similitudes con operaciones norcoreanas anteriores: preparación anticipada, firmas obtenidas antes del ataque y ejecución rápida de las transferencias. La empresa considera su atribución a TraderTraitor altamente confiable. Sin embargo, especifica que se basa en inteligencia de blockchain y otras fuentes.

Binance se muestra más prudente. Su primera investigación técnica menciona la posible compromisión del ordenador de un ingeniero DevOps. Los hackers habrían accedido así a un contenedor de servicio que permite enviar retiros no autorizados. La plataforma afirma no haber encontrado pruebas de fuga de claves privadas.

ZachXBT encuentra fondos vinculados al hackeo a Bitget

Es otra pista que podría avanzar la investigación. ZachXBT afirma haber encontrado fondos provenientes de los ataques a Binance y Bitget en una misma dirección, tras transferencias que pasaron principalmente por THORChain.

Este protocolo permite convertir criptomonedas entre distintas blockchains sin pasar por una plataforma centralizada. La conexión es interesante ya que el ataque previo a Bitget ya había sido asociado al grupo TraderTraitor.

En septiembre, Bitget sufrió un hackeo estimado en 387,5 millones de dólares. La presencia de fondos de dos ataques en una misma cartera es un indicio de coordinación o de uso de una infraestructura común. Sin embargo, no prueba por sí sola que ambas operaciones hayan sido ejecutadas por las mismas personas.

ZachXBT favorece esta hipótesis. Los investigadores de MistTrack también detectaron TRX robados a Binance que habrían transitado por Bitget Wallet Swap Bridge antes de llegar a una dirección ya usada por los hackers de Phemex.

Las conexiones entre varios hackeos empiezan a multiplicarse. Este escenario recuerda las investigaciones tras el robo a Bybit en 2025. Entonces ZachXBT había identificado una dirección común a los fondos robados a Bybit y Phemex.

Los hackers aún retendrían 2,4 mil millones de dólares

Las investigaciones técnicas también aportan detalles sobre el método empleado. En Ethereum, los atacantes habrían explotado EIP-7702, un mecanismo introducido con la actualización Pectra en mayo de 2025. Esta funcionalidad permite que una billetera clásica delegue ciertas operaciones a un smart contract.

Según TRM Labs, los hackers contaban con 50 autorizaciones firmadas anticipadamente. Una sola coincidencia con el contador de transacciones de la billetera Binance fue suficiente para activar su contrato malicioso. Tres minutos y 24 segundos después, la billetera transfería 167 464 ETH y otros 63 tokens hacia una dirección controlada por el atacante.

Otras billeteras de Binance simultáneamente enviaron fondos a través de varias redes mediante transacciones válidamente firmadas. TRM Labs sospecha un compromiso de la infraestructura de firma de la plataforma.

Mientras tanto, los emisores de stablecoins intentaban bloquear los activos. Tether, Circle, Ripple y World Liberty Financial inmovilizaron cerca de 2,67 mil millones de dólares. El consejo de seguridad de Arbitrum también intervino sobre ETH y tokens ARB, elevando el monto total bloqueado a casi 2,7 mil millones de dólares en el primer balance de TRM Labs.

Binance anunció luego cerca de 3 mil millones de dólares congelados en las blockchains. Sin embargo, los hackers conservarían más de 420 000 ETH y 18 270 BTC, valorados conjuntamente en aproximadamente 2,4 mil millones de dólares al momento del análisis. Recuperar estos activos será más complicado. A diferencia de los stablecoins centralizados, el bitcoin y ether no pueden ser congelados directamente por un emisor. La investigación continúa por dos vías: identificar a los responsables e impedir la conversión de los fondos robados. Para Binance, la atribución a TraderTraitor sigue pendiente de confirmación oficial. Sin embargo, las huellas dejadas entre Bitget, Phemex y Binance brindan a los investigadores varias pistas concretas para seguir.