Por Canuto  

Los fondos sustraídos de Binance pasaron por unas 12.000 billeteras y 11 cadenas de bloques en menos de cuatro días, en una operación que Elliptic describe como compleja y automatizada. La firma no encontró señales de que agentes de inteligencia artificial decidieran los movimientos. El FBI atribuyó el ataque a un grupo norcoreano, aunque Corea del Norte negó tener vínculos con el robo.

***

  • Elliptic rastreó más de 40.000 transacciones vinculadas al robo de USD $6.430 millones ocurrido el 29 de octubre.
  • El FBI atribuyó el ataque a Tradertraitor, un grupo de hackers patrocinado por Corea del Norte; Corea del Norte negó su participación.
  • Al 2 de noviembre, Elliptic estimó que USD $3.240 millones seguían en direcciones relacionadas con el robo.

 

Elliptic rastreó más de 40.000 transacciones en 11 cadenas de bloques tras el robo de USD $6.430 millones. La firma describió un proceso automatizado, pero dijo no haber encontrado evidencia de que agentes de inteligencia artificial tomaran las decisiones.

Una red de billeteras amplió el rastro del dinero

Los activos sustraídos de Binance circularon por unas 12.000 billeteras en 11 cadenas de bloques durante los primeros cuatro días posteriores al robo, ocurrido el 29 de octubre. Elliptic informó el 2 de noviembre que identificó más de 40.000 transacciones en esa ruta, una escala que dificulta seguir los fondos de forma directa y evaluar qué parte puede recuperarse o bloquearse.

La firma calificó la operación como compleja y claramente automatizada, y estimó que el sistema usó aproximadamente una billetera nueva cada 25 segundos. Esa velocidad no demuestra por sí sola el uso de inteligencia artificial: el análisis de Elliptic apunta a scripts convencionales, capaces de ejecutar instrucciones repetidas sin que un operador tome cada decisión manualmente.

El método consistía en distribuir los activos entre numerosas direcciones y repetir transferencias con patrones similares. Chainalysis ya había señalado secuencias de movimientos entre direcciones y retornos a billeteras utilizadas previamente, señales que, según su análisis, eran compatibles con un proceso automatizado de redistribución.

En varios casos, las direcciones receptoras recibieron exactamente 1 TRX, el activo nativo de Tron, para cubrir las tarifas antes de aceptar y reenviar cantidades mayores. La repetición de ese paso sugiere una preparación operativa común entre múltiples billeteras, aunque las firmas de análisis no afirmaron que ese indicio, por sí solo, identificara a los responsables.

Los movimientos incluyeron bóvedas y mezclas de Bitcoin

Elliptic observó tiempos fijos, cantidades establecidas y reintentos a ciegas, elementos que atribuyó a scripts de software convencionales. La firma dijo que no encontró evidencia de que un sistema de inteligencia artificial estuviera tomando decisiones sobre las transferencias, una distinción importante frente a las especulaciones que suelen acompañar operaciones de gran escala y rápida ejecución.

El análisis también identificó el uso de bóvedas de préstamos, contratos de protocolos que aceptan depósitos y procesan retiros. En este caso, los fondos podían entrar desde una dirección y salir hacia otras sin que se produjera una transferencia directa entre ambas, lo que añade pasos al seguimiento y vuelve menos evidente la ruta del dinero.

El 1 de noviembre comenzó además el movimiento de Bitcoin a través de coinjoins. A comienzos del 2 de noviembre, cerca de 28 BTC, valorados entonces en USD $2,2 millones, habían pasado por 18 de esas operaciones, que combinan entradas y salidas de varios usuarios en transacciones compartidas para dificultar la identificación de movimientos individuales.

La ruta de los fondos también se cruzó con una pausa de emergencia de THORChain, protocolo que facilita intercambios entre distintas cadenas de bloques. El servicio activó salvaguardas el 31 de octubre después de que una reorganización de Ethereum provocara un reembolso duplicado de un depósito de 10 ETH. Chainalysis sostuvo que el fallo retrasó involuntariamente el movimiento de fondos vinculado al ataque contra Binance.

El FBI señaló a un grupo norcoreano

El FBI atribuyó el robo a Corea del Norte y vinculó la actividad con Tradertraitor, un grupo de hackers patrocinado por ese Estado. La agencia trabajó con el Servicio Secreto de Estados Unidos y la unidad de Investigación Criminal del Servicio de Impuestos Internos, y señaló que los responsables habían convertido los fondos principalmente a ether.

Corea del Norte negó tener vínculos con el hackeo. La negativa fue reseñada en una cobertura de DiarioBitcoin sobre el caso.

Las autoridades instaron a exchanges, operadores de infraestructura y servicios de finanzas descentralizadas a bloquear transacciones relacionadas con las direcciones identificadas. La petición busca limitar las opciones para mover o liquidar los activos, aunque su eficacia depende de los tipos de criptomonedas utilizados y de la participación de los servicios que reciben o procesan las operaciones.

Las stablecoins ofrecen una herramienta particular porque sus emisores pueden aplicar controles de bloqueo o listas negras a direcciones designadas. Esos controles pueden impedir transferencias de los tokens incluso si sus titulares conservan las claves privadas; los exchanges, por su parte, pueden restringir depósitos o congelar cuentas, una vía distinta que también puede afectar los intentos de retiro.

Richard Teng, de Binance, dijo en un video compartido el 30 de octubre que el ataque incluyó puntos de entrada adicionales y que los responsables eludieron controles de aprobación. También explicó que la investigación se extendía más allá de la computadora portátil comprometida que inicialmente se había sospechado, mientras un mecanismo de autodestrucción eliminó herramientas del ataque y rastros, lo que complicó las pesquisas del exchange.

El balance incluye fondos congelados y activos aún rastreados

El gráfico de Elliptic registra el recorrido de los activos desde su forma original, el 29 de octubre, y distingue entre intercambios, congelaciones y fondos que permanecían en direcciones vinculadas al robo. Para el 2 de noviembre, la firma calculó que USD $2.850 millones habían sido congelados.

En su balance general para el momento de observación, Elliptic estimó que alrededor de USD $3.240 millones permanecían en direcciones vinculadas al robo, principalmente en ether y Bitcoin. Se trata de una estimación de los fondos rastreados en ese momento, no de una confirmación de que los activos hayan sido retirados o convertidos en dinero fuera del ecosistema cripto.

La firma anticipó que los responsables podrían intentar retirar los fondos a través de brókers extrabursátiles durante varios meses. Cambiar una criptomoneda por otra no demuestra que haya ocurrido una salida de efectivo, por lo que el seguimiento de los movimientos y la cooperación de los servicios que puedan recibirlos seguirán siendo centrales para determinar el destino final de los activos.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público

Este artículo fue escrito por un redactor de contenido de IA




ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados