El golpe a Binance: el FBI vincula a TraderTraitor, de Corea del Norte, con el mayor robo de criptomonedas registrado
En la tarde del 29 de octubre de 2026, retiradas no autorizadas comenzaron a vaciar las hot wallets de Binance a lo largo de once blockchains en cuestión de horas. Las estimaciones de la pérdida oscilan entre unos 6.300 millones de dólares, la cifra de la propia casa de cambio, y 6.430 millones, donde se asentó la contabilidad on-chain de Elliptic tras días de recuento — lo que la firma de análisis describe como, con casi total seguridad, el mayor robo individual de cualquier tipo en la historia. Las retiradas quedaron suspendidas esa misma noche, y el mayor exchange de criptomonedas del mundo dedicó los días siguientes a tranquilizar a sus unos 335 millones de usuarios registrados con el mensaje de que su dinero nunca se fue.
Las cifras detrás de un robo récord
Hay pocos precedentes con los que comparar. El botín es más de cuatro veces los 1.460 millones de dólares robados a Bybit en febrero de 2025, que entonces era el récord, y más de seis veces los alrededor de 1.000 millones de dólares que Saddam Hussein extrajo del banco central de Irak en 2003, según la comparación de Elliptic. A partir de la contabilidad del FBI, The Hacker News contabiliza once blockchains afectadas, con el 82 por ciento del valor sobre Ethereum y Bitcoin. La mayor porción estaba en Ethereum: unos 3.800 millones de dólares repartidos en 186 tokens, junto a 18.270 BTC por valor de unos 1.480 millones de dólares.Corea del Norte, con alta confianza
El 31 de octubre, el FBI atribuyó formalmente el robo a TraderTraitor, un cluster alineado con Corea del Norte también rastreado como Jade Sleet y Slow Pisces, en coordinación con el Servicio Secreto estadounidense y la IRS Criminal Investigation. Los mismos actores están vinculados a los golpes contra Bybit y DMM Bitcoin y a incidentes menores en KelpDAO y Bitget. Los analistas privados apuntaron en la misma dirección en cuestión de horas: el investigador ZachXBT calificó al atacante de «probablemente Lazarus», y TRM Labs publicó una valoración con «alta confianza» de que TraderTraitor era el responsable — una unidad que CoinDesk describe como un subgrupo del grupo Lazarus.«Ya hemos repuesto el 90 % de los activos robados, y estamos comprometidos a cubrir el 10 % restante». — Richard Teng, co-CEO de Binance, 31 de octubre de 2026Binance pausó las retiradas y después se comprometió a cubrir todas las pérdidas de sus clientes por completo. La empresa apartó unos 6.340 millones de dólares de fondos propios —procedentes de su fondo de garantía Secure Asset Fund for Users de 1.000 millones de dólares, su fondo de seguro de futuros y su tesorería corporativa, según NBC News—, con el diez por ciento restante sobre todo en tokens poco líquidos que tardarán más en recomprarse. Las retiradas se reactivaron por fases desde las 06:00 UTC del 1 de noviembre, y la estampida temida se mantuvo contenida. The Block contó unos 3.640 millones de dólares en salidas netas durante las primeras nueve horas y media —cerca del 2 por ciento de los activos bajo gestión— y citó al exchange diciendo que los volúmenes se habían «estabilizado como se esperaba» tras el pico inicial, con depósitos que se mantuvieron sustanciales. Bitcoin ya había caído un 5 por ciento, hasta un mínimo de seis semanas en 77.380 dólares, en las horas siguientes a la noticia, según recoge la cobertura de The Guardian.
Cómo vaciaron las wallets
La primera lectura pública de Binance señaló el portátil comprometido de un ingeniero de DevOps como punto de entrada; luego la empresa habló de un ataque complejo con puntos de brecha adicionales y malware diseñado para borrar evidencias. La reconstrucción de Elliptic muestra al atacante abusando de la delegación EIP-7702, una función introducida con la actualización Pectra de Ethereum en 2025: una única transacción con cincuenta autorizaciones válidamente firmadas delegó el control de la wallet etiquetada «Binance 14» a un contrato sweeper, que la vació de 167.464 ETH y 63 tokens tres minutos y medio después. Los fondos se movieron por la propia infraestructura de firma de Binance y no con claves privadas robadas — en palabras de Elliptic, lo comprometido fueron la infraestructura y las personas alrededor de las wallets, no la criptografía.La ruta del blanqueo
El FBI ha trazado sus expectativas por adelantado. Tras observar cómo el atacante convertía los activos robados principalmente en Ethereum, la agencia anticipa que los fondos se blanquearán aún más mediante DeFi y servicios de intercambio instantáneo, y ha publicado las direcciones de wallet contra las que los servicios deben filtrar. El registro on-chain hasta ahora sigue el manual: stablecoins cambiadas por ETH y TRX con pérdidas del 12 al 26 por ciento, priorizando velocidad sobre valor; 59,9 millones de USDT depositados en Aave para pedir prestado ETH contra ellos; bitcoin desgajado en trozos de unos 1.000 BTC a través de diecinueve direcciones; TRX movido por al menos seis puentes distintos.- Unos 2.850 millones de dólares habían quedado congelados o incautados on-chain en cuestión de días —el 44 por ciento del robo, casi todo en stablecoins, según Elliptic; la propia Binance estima alrededor de 3.000 millones.
- No se congeló nada en Bitcoin, el XRP Ledger, Solana ni NEAR, dejando al atacante con unos 3.250 millones de dólares en activos incautables repartidos en más de 800 direcciones.
- Elliptic ha publicado una lista de bloqueo gratuita con más de 8.000 direcciones vinculadas para exchanges y proveedores de wallets.
- Se cree que actores vinculados a Corea del Norte han robado más de 6.500 millones de dólares en criptomonedas en los últimos años, y Elliptic señala que este incidente casi duplica ese total.