Binance no había publicado la causa raíz del incidente al momento del informe. Sin embargo, el FBI atribuyó a Corea del Norte el robo de más de USD $6.000 millones en activos virtuales de Binance, ocurrido alrededor del 29 de octubre de 2026. TRM identifica a TraderTraitor como responsable del ataque y lo califica como el mayor robo de criptomonedas registrado, con un monto aproximadamente cuatro veces superior a los USD $1.500 millones sustraídos de Bybit en febrero de 2025. El FBI señaló a Corea del Norte como responsable; la atribución específica a TraderTraitor corresponde al análisis de TRM.
La preparación, según TRM, comenzó al menos 36 horas antes de la salida masiva de fondos. Desde el 28 de octubre se registraron retiros pequeños desde Tornado Cash que financiaron una billetera operativa, un patrón que la firma también observó en los robos de Bybit y KelpDAO. El informe añade que el ataque a Binance involucró 50 autorizaciones prefirmadas en Ethereum y evalúa que el atacante probablemente consiguió que el sistema de firma de billeteras calientes autorizara operaciones en varias cadenas.
El robo también explica el salto de las pérdidas globales: TRM estima que los incidentes de hacking cripto sumaron USD $28.000 millones en total, y que en 2026 ya alcanzaban USD $8.700 millones, un récord. En el acumulado de este año, Corea del Norte representaría 85% del valor robado, aunque esa proporción cae a 45% si se excluye Binance. La firma calcula que el país concentró 63% de los fondos sustraídos en 2025, 39% en 2024 y 7% en 2020.
Los ataques apuntan a personas y sistemas de firma
En los datos de TRM, los ataques norcoreanos difieren de la modalidad más frecuente entre los hackers en general. Desde 2022, las vulnerabilidades de contratos inteligentes representaron 49% de los incidentes clasificados, pero solo 15% del valor sustraído; en los 100 casos atribuidos a Corea del Norte, apenas 13 fueron exploits de código y sumaron cerca de 1% del botín. Antes del ataque a Binance, alrededor de 76% del valor robado por estos actores procedía de vulneraciones de infraestructura, proporción que asciende a 88% al incluir ese caso.
Los ataques de infraestructura buscan controlar claves, servidores y sistemas que autorizan transacciones, en lugar de explotar directamente un fallo en un contrato inteligente. TRM describe una secuencia que empieza con un falso reclutador o inversionista, continúa con una prueba de programación que instala malware y puede terminar con el robo de claves SSH, cookies de sesión y credenciales de servicios en la nube. Con esos accesos, los atacantes pueden acercarse a los sistemas que firman operaciones y controlan fondos.
La firma ha vinculado patrones similares con los ataques a Atomic Wallet, CoinsPaid, Alphapo, Stake.com y CoinEx, ocurridos en 2023. También señala que supuestos intermediarios norcoreanos se habrían reunido en persona con empleados de Drift durante varios meses antes del robo ocurrido en abril de 2026, aunque presenta esa conclusión como una evaluación de sus analistas. En KelpDAO, los atacantes habrían envenenado dos nodos RPC internos y saturado los externos con tráfico, una táctica distinta que también puso en riesgo la infraestructura.
El panorama incluye además la vulneración de Ronin, Bybit, Bitget y DMM Bitcoin: en conjunto, esos casos, junto con Binance, representan USD $9.100 millones del total de USD $12.800 millones que TRM atribuye a Corea del Norte. La compañía aclara que no ha atribuido definitivamente a ese país el robo a Bitget, aunque su director ejecutivo ha dicho que la responsabilidad norcoreana es muy probable y los analistas observaron billeteras de lavado con vínculos con Bybit y AFX Bridge. TRM considera técnicamente posible que haya participado otro actor.
El lavado busca adelantarse a los congelamientos
TRM describe un patrón de lavado que suele comenzar con la fragmentación del botín entre billeteras nuevas y cadenas de transacciones sucesivas, llamadas peel chains. Los atacantes luego pueden intercambiar activos y pasar fondos entre redes mediante exchanges descentralizados, puentes y servicios de swap. Tras los robos de Bybit y KelpDAO, THORChain canalizó buena parte de esa actividad y permitió convertir activos sustraídos en Bitcoin ($BTC), de acuerdo con el informe.
Después del ataque a Bybit, algunos de los primeros lotes de $BTC llegaron a Wasabi y CryptoMixer, servicios que pueden dificultar la conexión entre los fondos robados y su destino posterior. TRM también ha documentado el uso de $USDT en TRON, exchanges anidados y escritorios de operaciones extrabursátiles, además de corredores chinos que compran activos robados con descuento y gestionan etapas posteriores del lavado. La secuencia y los servicios utilizados, advierte la firma, varían según cada incidente.
La ruta observada tras el ataque a Binance ha sido distinta de la actividad más centrada en puentes registrada después de Bybit. TRM detectó ventas a creadores de mercado mediante contratos basados en intenciones, préstamos respaldados por activos robados en Aave y JustLend, y operaciones en exchanges descentralizados. Al momento del informe, el atacante aún controlaba más de 420.000 $ETH y 18.270 $BTC, con un valor estimado de USD $2.400 millones; la firma esperaba que después intervinieran puentes, servicios de swap y corredores extrabursátiles, pero esos movimientos todavía no se habían producido.
La posibilidad de congelar fondos depende de la forma en que se mantengan: los emisores pueden bloquear los tokens que administran y los exchanges pueden restringir depósitos, pero $BTC y $ETH no tienen un emisor que pueda congelarlos. A las 00:30 UTC del 30 de octubre, TRM informó que se habían inmovilizado casi USD $2.700 millones, cerca de 42% del total sustraído. La rapidez es decisiva porque, si el atacante intercambia tokens congelables por activos nativos antes de que se identifiquen las direcciones, se reduce la capacidad de intervención.
Stablecoins, investigaciones y medidas de prevención
Entre los fondos bloqueados, Tether congeló unos USD $1.770 millones en $USDT y Circle unos USD $825 millones en USDC. Ripple inmovilizó USD $40,5 millones en RLUSD, mientras otros USD $48 millones en ese token ya se habían vendido antes del bloqueo; World Liberty Financial congeló USD $27,8 millones en USD1. El Consejo de Seguridad de Arbitrum bloqueó, por su parte, alrededor de USD $30 millones.
TRM presenta esos casos como una carrera entre el robo y la identificación de las billeteras afectadas. Tras el ataque a KelpDAO, el Consejo de Seguridad de Arbitrum congeló unos $ETH 30.766, valorados entonces en aproximadamente USD $75 millones, y la firma reportó que el atacante aceleró el lavado. También describe congelamientos de Tether solicitados por autoridades estadounidenses en casos de trabajadores de TI, incluidos fondos ligados a una acción de decomiso de USD $7,7 millones presentada por el Departamento de Justicia en junio de 2025.
La investigación fuera de la cadena puede ayudar a conectar direcciones con personas, empleadores y redes de facilitadores, según TRM. El informe cita el uso de identidades robadas o fabricadas para solicitar empleos remotos, en ocasiones con documentos falsos, y menciona que KnowBe4 contrató sin saberlo a un trabajador de este tipo y que Vidoc Security registró a dos postulantes que habrían usado deepfakes. También señala que estos operativos buscan puestos en empresas vinculadas con inteligencia artificial.
El Departamento de Justicia anunció el 13 de octubre de 2026 una acusación formal en el Distrito Norte de Ohio que describe una presunta trama entre 2019 y aproximadamente julio de 2025: diez acusados con base en China habrían usado identidades falsas, VPN y sistemas proxy para conseguir empleos remotos en más de 70 compañías estadounidenses. Facilitadores en Estados Unidos presuntamente alojaban computadoras portátiles corporativas en sus hogares, y el esquema habría generado más de USD $3 millones que se cree fueron destinados a entidades norcoreanas sancionadas; son acusaciones que deben probarse en tribunales. TRM también menciona que, en septiembre, el FBI allanó más de 40 residencias sospechosas de alojar granjas de laptops, confiscó unos 187 dispositivos entre computadoras y equipos KVM y arrestó a dos ciudadanos estadounidenses.
En materia de sanciones, TRM indica que la OFAC designó en noviembre de 2025 a banqueros y empresas de fachada, e incluyó 53 direcciones cripto, y que el 28 de octubre de 2026 designó a diez personas y una entidad relacionadas con la facilitación de esquemas de trabajadores de TI. La firma también observó transferencias directas de $USDT desde direcciones atribuidas a Amnokgang hacia uno de los facilitadores designados, y reportó más de USD $12,7 millones recibidos por billeteras vinculadas a Cheil Credit Bank entre junio de 2023 y mayo de 2025, con entradas que parecían pagos salariales.
Para reducir la exposición, TRM recomienda filtrar las direcciones etiquetadas y volver a revisar transacciones a medida que se incorporan nuevas atribuciones, además de seguir los movimientos de varios saltos entre cadenas, swaps y corredores. También aconseja vigilar delegaciones EIP-7702 y cambios en los sistemas de firma, pedir a los creadores de mercado controles sobre sus contrapartes y sumarse a alertas en tiempo real para acelerar posibles congelamientos. En las contrataciones remotas, propone verificar identidades y ubicaciones, y revisar pagos repetitivos de montos redondos a cuentas recién abiertas.
Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.
Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.
ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.
diariobitcoin.com
