Congelados o incautados 2.850 millones de los 6.430 millones robados a Binance, según Elliptic

Hackers norcoreanos mueven los 6.430 millones de dólares robados a Binance a un ritmo de una cartera nueva cada 25 segundos aproximadamente. En menos de cuatro días han repartido los fondos en unas 12.000 carteras de 11 cadenas de bloques, con más de 40.000 transacciones, según un análisis publicado el lunes por la firma de análisis Elliptic.

Los emisores frenan el botín

Según Elliptic, unos 2.850 millones de dólares, el 44 % del total, han sido congelados o incautados. En el hackeo a Bybit de febrero de 2025, que sumó 1.500 millones, la cifra fue de alrededor del 3 %.

Las stablecoins sumaban 3.460 millones, el 54 % del botín, y sus emisores pueden congelarlas. Tether bloqueó el USDT robado en Ethereum 37 minutos después de que llegara a la cartera del atacante. Circle congeló los 823 millones en USDC antes de que se pudiera cambiar ninguno.

Antes de los bloqueos, el atacante cambió 434 millones de USDT por ETH en exchanges descentralizados como Uniswap. También tomó prestados 19.762 ETH en Aave con otros 59,9 millones de USDT como garantía y cambió 234 millones de USDT por TRX, el token de Tron. En total se escaparon unos 786 millones en stablecoins.

Blanqueo automatizado, no con IA

Los ataques a las carteras calientes de Binance comenzaron el jueves por la noche. El FBI atribuyó el robo a TraderTraitor, grupo de hackers vinculado al Estado norcoreano, y publicó cientos de direcciones relacionadas. Binance, que se ha comprometido a cubrir todas las pérdidas, reabrió los retiros el domingo y registró unos 3.640 millones de dólares en salidas netas en las primeras nueve horas y media.

Tron se convirtió en la ruta principal, con un pico de unas 1.300 transacciones en una sola hora. Ese ritmo alimentó la especulación sobre agentes de IA, pero Elliptic lo descarta: señala tiempos fijos, importes establecidos, reintentos ciegos y pausas similares a horarios humanos. La firma concluye que el proceso es automático, pero que «nada de lo que hemos visto muestra a un agente de IA tomando decisiones».

Lo que queda por mover

Unos 3.240 millones siguen en direcciones vinculadas al robo, sobre todo ETH y 18.270 bitcoins que no se han movido desde el día del ataque. Elliptic cree que probablemente siguen en manos de Corea del Norte, mientras que el dinero ya blanqueado podría haber pasado a redes chinas de blanqueo. Solo una cantidad insignificante parece haberse convertido en efectivo, y unos 16 millones han llegado a direcciones con fondos del ataque a Bitget de septiembre.

Siguiendo el patrón de Bybit, Elliptic prevé que el atacante cambie su ETH por bitcoin en lotes pequeños y lo liquide con corredores OTC durante meses. Nuevos bloqueos serán más difíciles porque ETH y bitcoin no pueden congelarse. Las mejores opciones están en los servicios centralizados, donde los fondos tendrán que aflorar.