El hackeo a Binance por 6,300 mdd apunta a atacantes de Corea del Norte

El robo de aproximadamente 6,300 millones de dólares (mdd) en criptomonedas a Binance, una de las mayores plataformas del intercambio de activos digitales del mundo, apunta a TraderTraitor, un grupo de hackers vinculado a Corea del Norte, como un posible responsable. El incidente ocurrió el 29 de octubre y afectó billeteras de Binance en diez redes blockchain. De acuerdo con la firma de inteligencia blockchain TRM Labs, los atacantes sustrajeron la mayor parte de los fondos en aproximadamente 20 minutos , una operación que podría representar el mayor robo de criptomonedas del que existe registro.

Rafe Peeling, director sénior de Investigación de amenazas de Sophos, explica que los primeros reportes coinciden con los métodos de TraderTraitor, un grupo patrocinado por el Estado norcoreano y asociado con Lazarus, una organización de ciberdelincuentes que las autoridades estadounidenses vinculan con ataques contra instituciones financieras y empresas de criptomonedas. “Este incidente todavía se encuentra en una fase inicial de incertidumbre, y Binance necesitará tiempo para investigar cómo ocurrió el ataque”, refiere. La sospecha sobre el grupo norcoreano no proviene únicamente de Sophos, TRM Labs atribuye el ataque de TraderTraitor con un alto grado de confianza, a partir del análisis de movimientos de criptomonedas y otros indicios técnicos. Chainalysis también identificó conexiones con operaciones anteriores relacionadas con actores norcoreanos. Sin embargo, Binance todavía no confirma la identidad de los responsables y mantiene abierta una investigación en colaboración con las autoridades y empresas especializadas. De acuerdo con Pilling, estos grupos suelen comenzar sus ataques mediante el acceso a la computadora de un desarrollador de software o ingeniero. Después estudian los sistemas de la empresa, identifican los mecanismos de autorización de operaciones y preparan una ofensiva que les permite transferir grandes cantidades de criptomonedas en poco tiempo. “Estos atacantes son expertos en identificar y comprender los procesos técnicos y de negocio necesarios para realizar transferencias autorizadas, lo que les permite diseñar ataques personalizados para cada víctima”, explica el especialista. La sofisticación de estas operaciones radica en que los delincuentes no necesitan vulnerar directamente todas las billeteras digitales. En algunos casos, basta con comprometer los sistemas o dispositivos que intervienen en la aprobación de movimientos financieros. Sophos también advierte que TraderTraitor ha desarrollado aplicaciones falsas para infiltrarse en organizaciones. Estas herramientas pueden servir como puerta de entrada a los sistemas corporativos y facilitar el acceso a información o permisos necesarios para ejecutar un ataque. En el caso de Binance, la compañía afirma que hasta ahora no encontró evidencia de una filtración de las claves privadas de sus billeteras.

El ataque contra Binance no constituye el primer incidente de gran escala que especialistas relacionan con hackers norcoreanos. En febrero de 2025, la plataforma Bybit sufrió un robo de aproximadamente 1,500 millones de dólares en criptomonedas. El FBI atribuyó aquella operación a actores vinculados con Corea del Norte, entre ellos TraderTraitor. Para Pilling, el interés de los hackers norcoreanos por las criptomonedas responde también a una transformación en la economía del cibercrimen. En el pasado, los delincuentes que robaban dinero de cuentas bancarias necesitaban transferirlo entre diferentes instituciones, utilizar intermediarios y recurrir a mecanismos de lavado para convertirlo en recursos disponibles. Estos procesos consumían tiempo y aumentaban las posibilidades de que las autoridades interceptaran los fondos. El especialista explica que Corea del Norte pasó de dirigir ataques contra bancos tradicionales y el sistema internacional de mensajería financiera SWIFT a concentrar parte Binance aseguró que cubrirá las pérdidas mediante recursos propios y su fondo de protección de usuarios, conocido como Secure Asset Fund for Users (SAFU). También prometió publicar un informe técnico sobre las causas del incidente y una actualización de sus pruebas de reservas. Sophos señala que las empresas del sector necesitan reforzar la protección de los equipos de desarrollo, los accesos privilegiados y los sistemas de autorización de transacciones. El caso demuestra que la seguridad de las criptomonedas no depende únicamente de las claves privadas o de la tecnología blockchain. También está relacionada con los empleados, las computadoras y los procesos internos que permiten mover el dinero.