TRM y Chainalysis vinculan el hackeo de 6.400 millones de dólares a Binance con TraderTraitor de Corea del Norte

Tres empresas de análisis de blockchain han atribuido el hackeo de Binance de esta semana a Corea del Norte, y dos de las más grandes nombraron a TraderTraitor, un grupo de hackers norcoreano, como responsable de lo que ambas describen como el mayor robo de criptomonedas registrado.

TRM Labs dijo que hizo la atribución "con alta confianza", basándose en "inteligencia sólida dentro y fuera de la cadena". Situó el robo en aproximadamente 6.360 millones de dólares, movidos fuera de las carteras de Binance en 10 blockchains, la mayor parte en unos 20 minutos desde las 4:05 p.m. ET del jueves. Eso es aproximadamente cuatro veces el hackeo de Bybit de 1.500 millones de dólares de febrero de 2025, que el FBI atribuyó al mismo grupo, señaló TRM.

Chainalysis, que situó el total en aproximadamente 6.400 millones de dólares, dijo que la evidencia más fuerte surgió cuando sus investigadores vieron fondos robados de Binance mezclándose en tiempo real con fondos del exploit de Bitget del mes pasado, que había sido atribuido a actores norcoreanos.

Un portavoz de Chainalysis dijo a CNN que la empresa tenía "alta confianza" en que Corea del Norte estaba detrás del hackeo. Pangolin Intelligence, con sede en Singapur, también dijo a CNN que creía que una unidad de hackers norcoreana era responsable, basándose en "analizar la actividad en la cadena relacionada con este hackeo y correlacionarla con información recopilada de incidentes conocidos anteriores". Corea del Norte ha negado previamente las acusaciones de hackeo.

TRM y Chainalysis dijeron ambos que la cartera operativa del atacante fue financiada a través de Tornado Cash, un mezclador de criptomonedas. TRM dijo que eso y otras características, incluida una preparación que comenzó mucho antes del robo, coincidían con ataques anteriores vinculados a Corea del Norte, como el hackeo de Bybit y el exploit de KelpDAO de abril.

Cómo funcionó el ataque

En Ethereum, el atacante utilizó una delegación EIP-7702, una función introducida en la actualización Pectra de Ethereum que permite a una cartera ordinaria ejecutar código de contrato inteligente, para convertir una cartera caliente de Binance en un barrendero que él controlaba, con 50 autorizaciones previamente firmadas preparadas de antemano, según TRM. Las carteras de Binance en las otras nueve cadenas enviaron fondos al atacante mediante transferencias firmadas ordinarias. En la evaluación de TRM, eso apunta a un compromiso de la infraestructura de firma de la cartera caliente de Binance.

Binance ha dicho que su investigación comenzó con el portátil comprometido de un ingeniero, pero desde entonces ha descubierto "puntos de brecha adicionales". El ataque a Bybit también comenzó con una única máquina comprometida: los hackers norcoreanos plantaron código malicioso en la infraestructura del proveedor de carteras Safe tras comprometer el ordenador de un desarrollador de Safe, Decryptinformó en ese momento.

El atacante se ha movido rápidamente para blanquear lo que no pudo conservar. Chainalysis dijo que está observando "patrones de blanqueo nunca antes vistos", con miles de transacciones en un corto período que sugieren el uso de automatización para hacer circular fondos repetidamente entre direcciones. El atacante también vendió USDT a creadores de mercado y pidió prestado ETH contra USDT en el protocolo de préstamos Aave para adelantarse a las congelaciones de los emisores, según TRM, y ahora posee más de 420.000 ETH y 18.270 BTC, unos 2.400 millones de dólares fuera del alcance de cualquier emisor.

Tether, Circle, Ripple y World Liberty Financial han congelado alrededor de 2.670 millones de dólares en stablecoins, y el Consejo de Seguridad de Arbitrum congeló 8.426 ETH y 74,6 millones de ARB, según TRM. Binance cifra el total congelado en unos 3.000 millones de dólares.

En una actualización del viernes, Binance dijo que ha reservado más de 6.340 millones de dólares de fondos de la empresa para cubrir el incidente, de los cuales 5.000 millones ya están en los tokens exactos que fueron robados. Está comprando el resto a través de canales de mercado y extrabursátiles, lo que "puede llevar más tiempo porque algunos tokens pueden tener baja liquidez", dijo el exchange. Esas cifras no incluyen los activos congelados.

"Superaremos esta tormenta", dijo Binance.

Los hackers norcoreanos llevan mucho tiempo apuntando al exchange. En agosto de 2025, el director de seguridad de Binance, Jimmy Su, dijo a Decrypt que los atacantes norcoreanos intentan ser contratados en Binance todos los días, y los calificó como la mayor amenaza para las empresas de criptomonedas. El miércoles, el Tesoro de EE. UU. sancionó a 10 personas y una entidad por los esquemas de trabajadores de TI norcoreanos que movieron millones de dólares en criptomonedas.