El jueves 29 de octubre de 2026, Binance sufrió un ciberataque que dejó como saldo la sustracción de más de 6.300 millones de dólares en apenas 20 minutos. Este hecho no solo representa el mayor robo de activos digitales conocido, sino que supera en varias veces a cualquier asalto financiero anterior a la era de la blockchain. Las primeras pesquisas indican que los intrusos accedieron a la firma de Binance tras comprometer la computadora portátil de un ingeniero de DevOps y explotar otros puntos de ingreso al sistema.

El ataque afectó a 10 cadenas de bloques de forma simultánea, pero las firmas de inteligencia de datos, entre ellas Chainalysis y TRM Labs, lograron trazar el movimiento del dinero en tiempo real. Ambas empresas atribuyen la autoría de la operación a TraderTraitor, una célula cibernética de élite que opera bajo la órbita del Grupo Lazarus y de los servicios de inteligencia de Corea del Norte.

¿En qué se apoya este vínculo con Pyongyang? La clave, según Chainalysis, está en el entrecruzamiento directo de fondos en la blockchain. En las horas siguientes al robo, parte de los criptoactivos sustraídos comenzaron a circular en la misma dirección de la billetera que ya contenía fondos del ataque previo al exchange Bitget, ocurrido un mes antes y atribuido formalmente a actores norcoreanos.

A eso se suma un patrón de blanqueo hasta ahora inédito, que revela un nivel de automatización avanzado: miles de transacciones repetitivas en cuestión de minutos, moviendo fondos entre las mismas direcciones y ejecutando secuencias programadas —por ejemplo, envíos constantes de exactamente 1 TRX— para confundir a los sistemas de cumplimiento.

La técnica empleada en la red Ethereum evidencia un grado de sofisticación característico. Los hackers utilizaron autorizaciones predefinidas mediante el protocolo EIP-7702 para delegar el control de la billetera principal de Binance a un contrato inteligente malicioso de drenaje, y prepararon un lote de 50 firmas con antelación para asegurar que la transacción se ejecutara sin fallas.

El comportamiento posterior al robo se enmarca en la dinámica que se atribuye a Corea del Norte. Tras capturar el dinero, los atacantes buscan convertir stablecoins congelables (USDT y USDC) en activos nativos como Bitcoin y Ethereum, que resultan difíciles de bloquear por entidades centralizadas. Si bien la acción conjunta de emisores e investigadores logró inmovilizar cerca de 2.800 millones de dólares en stablecoins, los ciberdelincuentes consiguieron convertir cientos de millones a Ethereum a través de creadores de mercado y protocolos de préstamo.

Chainalysis subraya que la línea de investigación apunta a Corea del Norte, aunque la atribución no está definitiva.