coindesk.com
La principal casa de cambio de criptomonedas Binance sufrió un robo de 6,3 mil millones de dólares la semana pasada, que el El FBI y diversas firmas de análisis atribuyeron a un grupo de hackers norcoreanos conocido como TraderTraitor.
El robo fue el más grande en la historia de las criptomonedas, más de cuatro veces el 1.5 mil millones de dólares robados de Bybit en febrero de 2025, un ataque que el FBI también atribuyó a TraderTraitor.
El robo de Binance casi duplicó de un solo golpe el más de $6 mil millones TRM Labs estimó en abril que los hackers norcoreanos habían robado desde 2017.
Los ataques de TraderTraitor han comenzado repetidamente con propuestas de reclutamiento o compromisos de proveedores de software confiables, según Hallazgos del FBI y Investigación de Bybit . Esas violaciones otorgaron a sus hackers acceso a los sistemas utilizados para aprobar transferencias.
TraderTraitor es la unidad élite de Corea del Norte para robar criptomonedas,” afirmó Ari Redbord, jefe global de políticas y asuntos gubernamentales de TRM Labs, a CoinDesk. “Lazarus es el paraguas para el hacking de todo tipo del régimen. TraderTraitor es el equipo dentro de este, creado para tomar activos digitales de exchanges y custodios.”
El nombre TraderTraitor apareció en un Asesoramiento de abril de 2022 del FBI, la Agencia de Seguridad Cibernética e Infraestructura y el Departamento del Tesoro. Describió malware oculto en aplicaciones de trading de criptomonedas y ataques a exchanges, protocolos de finanzas descentralizadas e inversores que datan al menos desde 2020.
El grupo es también rastreado como Jade Sleet, UNC4899 y Slow Pisces, dentro de la red más amplia de operaciones de hacking norcoreanas que los investigadores comúnmente denominan Lazarus.
Agencias de EE. UU. afirman que su propósito es recaudar fondos para Pyongyang, advirtiendo en 2022 que los hackers continuarían atacando a empresas de criptomonedas “para generar y lavar fondos que respalden al régimen norcoreano.”
El gobierno de Corea del Norte ha intentado, al menos en una ocasión, utilizar USDT para comprar petróleo ruso.
Tom McLouth, analista senior de inteligencia en Chainalysis, declaró a CoinDesk en una entrevista que TraderTraitor es un “grupo de amenazas de la RPDC motivado financieramente que tiene preferencia por atacar organizaciones, instituciones, DAOs, protocolos relacionados con las criptomonedas, o lo que sea.”
“Una clave válida no significa necesariamente un usuario legítimo,” dijo McLouth.
En una intrusión de TraderTraitor, los hackers utilizaron privilegios administrativos para desactivar la autenticación multifactor, obtener acceso y volver a activar la protección, dijo a CoinDesk. No identificó a la víctima.
Las empresas deben examinar quién está utilizando las credenciales y en qué circunstancias, además de verificar si las credenciales son válidas, dijo.
Un atacante que comprometa esa capa operativa “podría no necesitar robar una clave” ni encontrar una falla en el contrato inteligente, dijo Simone Imbrescia, vicepresidente de la plataforma de seguridad Immunefi, a CoinDesk a principios de este año.
Siguiendo el dinero
Chainalysis declaró que su evidencia más sólida fue la combinación de fondos robados de Binance con las ganancias del hackeo de aproximadamente 388 millones de dólares a Bitget en septiembre, atribuido a Corea del Norte.
Pyongyang niega cualquier implicación. Kim Yo Jong, la hermana del líder Kim Jong Un, desestimó el hallazgo del FBI como “retórica absurda” en un comunicado.
“Existe una multitud de diferentes recursos, herramientas y terceros que TraderTraitor utiliza en sus explotaciones,” afirmó McLouth.
Aunque la suposición común sería que estos actores de amenazas operan desde Pyongyang, McLouth señaló que operan mayormente fuera de Corea del Norte, citando datos de socios y acciones legales
