El FBI ha atribuido a TraderTraitor, un grupo de hackers al servicio del Estado norcoreano, el robo de unos 6.300 millones de dólares en criptomonedas que sufrió Binance el 29 de octubre de 2026, el mayor golpe registrado nunca contra una plataforma de criptoactivos. La agencia lo comunicó el sábado 31 de octubre, dos días después de que el mayor exchange del mundo viera cómo salían fondos de sus monederos calientes en una decena de blockchains en apenas veinte minutos.
Las claves del robo a Binance en 20 segundos
- Cuánto: unos 6.300 millones de dólares según Binance; BleepingComputer habla de 6.360 millones y Chainalysis, de 6.400 millones. Es unas cuatro veces el robo a Bybit de 2025.
- Quién: el FBI señala a TraderTraitor, el mismo grupo al que atribuyó el robo a Bybit y que la industria también rastrea como Lazarus, Jade Sleet o APT38.
- Cómo: según lo explicado por Binance, el punto de entrada fue el portátil comprometido de un ingeniero con acceso a los servicios de retirada, no las claves privadas de los monederos.
- Los clientes: Binance asegura que asumirá la pérdida con fondos propios y que los usuarios no perderán dinero; las retiradas quedaron suspendidas tras el ataque.
Veinte minutos para vaciar diez blockchains
Las reconstrucciones publicadas por firmas de análisis de blockchain como Chainalysis, TRM Labs y Elliptic coinciden en lo esencial. Las primeras transferencias no autorizadas arrancaron hacia las 20:05 UTC del 29 de octubre en el XRP Ledger, y unos quince minutos después llegó el golpe principal en Ethereum: una sola transacción sacó del monedero caliente etiquetado como Binance 14 unos 167.464 ETH, alrededor de 1.615 millones en USDT y decenas de tokens más. En torno a veinte minutos después del inicio, Binance había visto salir fondos en unas diez cadenas distintas. Hubo oleadas posteriores durante la noche, incluida una sobre Avalanche y Polygon.
El ataque no fue improvisado. Según TRM Labs, el operador financió su monedero el día 28 con pequeñas retiradas desde el mezclador Tornado Cash y, la madrugada del 29, desplegó y probó el código que usaría después. En Ethereum, la técnica consistió en enviar firmas válidas que permitieron al monedero de Binance ejecutar un contrato preparado por el atacante. Blockaid identificó una transacción con 50 autorizaciones del estándar EIP-7702, la mejora de Ethereum que permite a una cuenta convencional delegar temporalmente su comportamiento en un contrato inteligente. Una vez delegado, el monedero se vació a sí mismo hacia direcciones controladas por el atacante.
Lo que sigue sin estar claro es cómo se obtuvieron esas firmas. Binance ha atribuido el origen a un portátil de un empleado técnico que daba acceso a sus servicios de retirada, y ha mantenido que no hay indicios de que se filtraran las claves privadas de los monederos, aunque después reconoció haber encontrado puntos de intrusión adicionales. La compañía ha prometido un informe completo sobre la causa raíz que todavía no ha publicado, así que la cadena exacta del compromiso es, por ahora, la versión de la propia víctima.
Por qué el FBI apunta a TraderTraitor
En su aviso, el FBI afirma que la República Popular Democrática de Corea fue responsable del robo de más de 6.000 millones de dólares en activos virtuales a Binance en torno al 29 de octubre. La agencia ha observado que los atacantes están convirtiendo lo robado sobre todo en ether, y espera que lo sigan blanqueando a través de plataformas de finanzas descentralizadas y servicios de intercambio instantáneo. Por eso ha pedido a los proveedores de servicios de criptoactivos que bloqueen las transacciones vinculadas a las direcciones que ha hecho públicas.
La atribución no llegó por sorpresa. Varios analistas habían apuntado a Corea del Norte en las primeras horas por la velocidad y la preparación del ataque, y Chainalysis aportó el indicio más sólido: vio en tiempo real cómo fondos robados a Binance se mezclaban en la cadena con dinero procedente del robo a Bitget del mes anterior, que ya se había atribuido a actores norcoreanos. La firma también ha detectado patrones de blanqueo automatizados, con miles de transacciones en poco tiempo y muchas direcciones que reciben primero exactamente 1 TRX antes de mover cantidades mayores.
Es el mismo grupo al que el FBI atribuyó en febrero de 2025 el robo de unos 1.500 millones de dólares a Bybit, que hasta ahora era el mayor de la historia. En aquel caso el vector fue la manipulación del proceso de firma de un monedero frío; las lecciones del hackeo a Bybit giraban precisamente alrededor de la confianza en los dispositivos y las interfaces que usan los firmantes, y el caso de Binance vuelve a poner el foco en el puesto de trabajo de un empleado. No es un patrón aislado: los grupos norcoreanos llevan tiempo apuntando a perfiles técnicos, desde campañas de phishing contra desarrolladores en GitHub y Visual Studio Code hasta falsos administradores de sistemas contratados en remoto.
La atribución ha tenido un matiz político. Preguntado por los periodistas el sábado por la noche, el presidente Donald Trump dijo que no se sabía todavía si había sido Corea del Norte, aunque admitió que podría llegar a confirmarse. El aviso del FBI se publicó ese mismo día.
Casi la mitad, congelada; el resto, en manos de Binance
Una parte importante del botín no llegó a quedar bajo control efectivo de los atacantes. Buena parte estaba en stablecoins como USDT y USDC, que sus emisores pueden congelar, y Tether y Circle empezaron a bloquear direcciones en menos de una hora. El atacante intentó adelantarse cambiando 325 millones en stablecoins por unos 285 millones en ETH, pero según Chainalysis ya había unos 2.800 millones de dólares congelados al día siguiente del ataque; NPR elevaba la cifra a unos 3.000 millones. Lo que se movió en bitcoin o ether no puede congelarse del mismo modo.
Binance, por su parte, insiste en que el coste no lo pagarán sus usuarios. El sábado afirmó haber reservado internamente unos 6.340 millones de fondos propios y haber repuesto ya el 90 % de lo robado comprando tokens con dinero de la compañía; en declaraciones posteriores a BleepingComputer situó lo pendiente en un 5 %, formado por tokens poco líquidos que sigue adquiriendo en el mercado y en operaciones fuera de él. El exchange suspendió las retiradas tras el ataque y anunció que preveía reabrirlas el domingo 1 de noviembre, además de publicar una nueva instantánea de sus reservas.
Conviene leer esas cifras con cautela. Son datos de la propia compañía, no auditados por terceros, y la cobertura de la pérdida no dice nada sobre la causa del fallo ni sobre si sus controles internos eran adecuados para custodiar esas cantidades en monederos calientes.
Lo que deja el ataque para cualquier organización
Más allá del mundo cripto, el caso ilustra un riesgo conocido llevado al extremo: un único equipo de trabajo con permisos sobre un sistema crítico puede bastar para que un atacante bien preparado ejecute operaciones legítimas en apariencia. Las recomendaciones que se repiten entre los analistas son las de siempre, pero con más urgencia: separar los puestos con acceso a sistemas de firma o pago del uso diario de correo y navegación, exigir aprobaciones múltiples e independientes para operaciones de alto valor, limitar los fondos expuestos en sistemas conectados y vigilar en tiempo real patrones anómalos de salida. En el caso de EIP-7702, también revisar qué autorizaciones de delegación puede llegar a firmar una cuenta que custodia fondos.
Preguntas frecuentes
¿Cuánto dinero se robó a Binance?
Binance estima unos 6.300 millones de dólares. Otras fuentes dan cifras cercanas: 6.360 millones según BleepingComputer y 6.400 millones según Chainalysis. La diferencia se debe a la valoración de los distintos tokens en cada momento.
¿Quién está detrás del ataque?
El FBI lo atribuye a TraderTraitor, un grupo norcoreano patrocinado por el Estado que también se conoce como Lazarus Group, Jade Sleet o APT38, y que ya fue señalado por el robo de 1.500 millones a Bybit en 2025.
¿Han perdido dinero los clientes de Binance?
Según Binance, no. La compañía asegura que absorberá toda la pérdida con fondos propios y que ya ha repuesto la mayor parte de lo robado. Las retiradas se suspendieron tras el ataque y su reapertura estaba prevista para el 1 de noviembre.
¿Se han recuperado parte de los fondos?
Se han congelado entre 2.800 y 3.000 millones de dólares, según la fuente, sobre todo en stablecoins bloqueadas por sus emisores. Congelar no equivale a devolver: la recuperación depende de procesos posteriores con los emisores y las autoridades.
Fuente: BleepingComputer, FBI y Chainalysis
