¿Quién está detrás del hackeo a Binance? Las pruebas apuntan a TraderTraitor, vinculado a Corea del Norte
La investigación del ataque a Binance tiene un principal sospechoso: TraderTraitor, un grupo de hackers vinculado a Corea del Norte que ya había sido relacionado con algunos de los mayores robos de criptomonedas de la historia.
La atribución no procede únicamente de especulaciones en redes sociales.
La empresa estadounidense TRM Labs, especializada en investigar movimientos de criptomonedas, afirmó que identifica a TraderTraitor como responsable del ataque con un alto grado de confianza. Chainalysis llegó a una evaluación semejante y el investigador independiente ZachXBT identificó conexiones con fondos procedentes de otro robo anterior.
Pero hay una precisión que no debemos perder de vista. Binance todavía no ha comunicado una atribución definitiva propia y sostiene que trabaja con las autoridades para identificar a los responsables.
¿Qué es TraderTraitor y qué relación tiene con Lazarus?
Lazarus Group es el nombre con el que se conoce a una amplia actividad de ciberataques vinculada al Estado norcoreano. Dentro de ese conjunto, TraderTraitor se asocia especialmente con operaciones dirigidas contra empresas de criptomonedas y proveedores tecnológicos.
Sus ataques no siempre comienzan intentando romper directamente la seguridad de una billetera digital.
En operaciones anteriores, los investigadores identificaron campañas que buscaban engañar a empleados, comprometer sus computadoras y utilizar sus permisos para acceder a sistemas financieros.
El FBI documentó uno de esos casos en diciembre de 2024.
En aquella investigación, un atacante se hizo pasar por reclutador en LinkedIn y contactó con un trabajador de Ginco, una empresa japonesa de tecnología para billeteras digitales. Le ofreció una supuesta prueba de programación que contenía código malicioso.
El ataque terminó permitiendo el uso indebido de información de sesión y contribuyó al desvío de una transferencia de DMM Bitcoin. Se perdieron aproximadamente 308 millones de dólares.
En febrero de 2025, el FBI volvió a identificar a TraderTraitor como responsable del ataque de unos 1.500 millones de dólares a Bybit.
El antecedente demuestra que el grupo ya había utilizado métodos sofisticados para aprovechar accesos internos y transacciones aparentemente legítimas.
Sin embargo, todavía no existe evidencia pública suficiente para afirmar que el ataque a Binance utilizó exactamente la misma técnica de reclutamiento falso.
La conexión con otro robo de criptomonedas
ZachXBT, conocido por investigar movimientos sospechosos en blockchain, identificó una conexión adicional.
Según su análisis, fondos procedentes del hackeo a Binance y de un ataque anterior a Bitget terminaron mezclándose en una misma dirección después de pasar por THORChain, un protocolo que permite intercambiar activos entre diferentes redes.
¿Por qué importa?
Porque seguir el recorrido del dinero puede ayudar a encontrar relaciones entre operaciones que inicialmente parecen independientes.
Si los fondos de dos ataques acaban en una misma infraestructura controlada por los delincuentes, los investigadores pueden considerar que existe un operador compartido.
Eso fortalece la hipótesis sobre TraderTraitor, aunque no demuestra por sí solo quién estaba delante de la computadora que ejecutó el ataque.
Un ataque preparado antes de que desaparecieran los fondos
TRM Labs reconstruyó una secuencia de operaciones que comenzó al menos 36 horas antes del robo principal.
Los investigadores detectaron movimientos iniciales desde Tornado Cash, un servicio que dificulta relacionar el origen y el destino de determinadas criptomonedas.
También encontraron preparativos y pruebas de código antes de las transferencias de mayor valor.
El 29 de octubre, los atacantes comenzaron a mover fondos desde billeteras asociadas a Binance en distintas redes.
Gran parte del dinero salió durante aproximadamente veinte minutos. Otros movimientos se prolongaron durante las horas siguientes.
La coordinación es uno de los aspectos más llamativos del caso. No se trató simplemente de una transferencia sospechosa aislada.
¿Cómo pudieron retirar criptomonedas sin robar las claves privadas?
Binance sostiene que no ha encontrado pruebas de una filtración de claves privadas.
A primera vista, eso parece contradictorio. Si no se robaron las claves, ¿cómo se autorizó el movimiento del dinero?
La respuesta podría estar en el sistema que gestionaba las autorizaciones.
Una clave privada permite aprobar operaciones. Sin embargo, algunos sistemas utilizan servicios internos para solicitar firmas, administrar permisos y ejecutar transacciones sin que cada trabajador tenga acceso directo a las claves.
Si un atacante controla un componente suficientemente privilegiado, podría conseguir que la propia infraestructura autorice operaciones fraudulentas.
Los análisis de TRM Labs y Bitquery apuntan a un posible compromiso de estos mecanismos.
En Ethereum, el atacante utilizó una funcionalidad conocida como EIP-7702. Esta permite que determinadas cuentas deleguen la ejecución de instrucciones a contratos inteligentes.
Los investigadores observaron un lote de 50 autorizaciones preparadas de antemano. Una de ellas permitió activar código que facilitó el vaciado de una billetera.
Pero lo más significativo es que el incidente no se limitó a Ethereum.
También se registraron transferencias firmadas desde billeteras de Binance en redes como Bitcoin, Tron y XRP Ledger. Cada una utiliza mecanismos técnicos distintos.
Por eso, TRM considera que el problema podría encontrarse en una infraestructura de autorización compartida o en un servicio capaz de solicitar firmas para varias redes.
La explicación completa todavía depende del informe forense de Binance.
La carrera por congelar los fondos robados
Mientras el dinero salía de las billeteras, distintas empresas intentaban inmovilizarlo.
Los emisores de algunas monedas estables, como Tether y Circle, pueden bloquear determinados tokens cuando identifican direcciones vinculadas con actividades ilícitas.
No todos los activos digitales ofrecen esa posibilidad.
Bitquery encontró que unos 729 millones de dólares en USDT fueron intercambiados por otros activos antes de que ciertos congelamientos se hicieran efectivos.
También documentó casos en los que las restricciones llegaron a direcciones que el atacante ya había vaciado.
Este detalle permite entender por qué anunciar el congelamiento de miles de millones no significa que todo el dinero haya regresado a Binance.
Además, el atacante distribuyó aproximadamente 18.270 bitcoins entre varias billeteras. Bitcoin no tiene un emisor que pueda bloquear directamente esos fondos como sucede con determinadas monedas estables.
La investigación de estas direcciones puede permitir seguir los movimientos, pero recuperar los activos es un problema diferente.
¿Por qué esta investigación afecta también a la seguridad de las empresas?
El aspecto más inquietante del caso Binance es que la investigación preliminar apunta a una computadora de trabajo comprometida.
No sabemos todavía cómo se produjo esa intrusión ni qué permisos concretos fueron utilizados.
Pero el antecedente de TraderTraitor demuestra que los delincuentes pueden dedicar tiempo a estudiar empleados, proveedores, aplicaciones internas y mecanismos de autorización.
Para una empresa que utiliza servidores, aplicaciones administrativas o plataformas de pagos, la lección es clara.
Proteger el servidor principal no es suficiente si una cuenta de trabajo comprometida puede autorizar acciones críticas sin controles independientes.
Los permisos mínimos, la protección de dispositivos administrativos, la separación de funciones y la revisión de operaciones extraordinarias son medidas que merecen atención incluso en organizaciones mucho más pequeñas que Binance.
El ataque también deja una pregunta que la plataforma deberá responder: ¿cómo consiguió un intruso autorización suficiente para mover activos en tantas redes diferentes?
Hasta que Binance publique la reconstrucción técnica completa, cualquier explicación definitiva sería prematura.