Por Canuto  

Los atacantes vinculados al exploit de Binance habrían movido cerca del 81% del SOL robado y encadenado conversiones entre varias redes hasta llegar a BTC. El recorrido se produjo mientras THORChain reanudaba sus intercambios después de una pausa técnica que, según Chainalysis, retrasó la actividad.
***

  • Arkham identificó 182.443 SOL, valorados en USD $16,9 millones, en billeteras agrupadas bajo la entidad de los atacantes: cerca del 18,8% de los 970.522 SOL sustraídos.
  • Lookonchain describió una ruta de SOL a USDC, luego a ETH en Ethereum y finalmente a BTC mediante THORChain.
  • El FBI atribuyó el ataque al grupo norcoreano TraderTraitor y pidió a servicios cripto, incluidos operadores de THORNode, bloquear transacciones vinculadas a los activos robados.

El rastro del SOL sustraído

Los atacantes vinculados al exploit de Binance movieron alrededor del 81% del SOL sustraído, mientras mantenían una parte menor en billeteras que las plataformas de análisis asociaron con el grupo. Arkham registró 182.443 SOL, valorados en USD $16,9 millones, en direcciones agrupadas bajo la entidad de los piratas informáticos. Esa tenencia equivale a cerca del 18,8% de los 970.522 SOL robados durante el exploit, por lo que los movimientos descritos apuntan a que la mayor parte de ese saldo ya había salido de las billeteras rastreadas.

El recorrido de los fondos no consistió en una transferencia directa de Solana a Bitcoin, sino en una secuencia de conversiones entre activos y redes. Lookonchain informó que los atacantes distribuyeron el SOL entre varias billeteras, lo vendieron por USDC, trasladaron los fondos a Ethereum para comprar ETH y, después, cambiaron ese activo por BTC a través de THORChain. Esa cadena de operaciones fragmenta el trayecto en distintos pasos, aunque no elimina la posibilidad de seguirlo mediante análisis de blockchain.

La nota de Cointelegraph que difundió TradingView caracteriza el episodio como un hackeo de Binance de USD $6.300 millones. En cuanto al activo de Solana, la cifra detallada por Arkham ofrece un punto concreto para dimensionar el movimiento: el total identificado fue de 970.522 SOL, y las billeteras agrupadas todavía conservaban menos de una quinta parte de esa cantidad. Las dos cifras describen escalas distintas y no deben confundirse: una alude al valor que la nota atribuye al ataque y la otra al saldo de SOL analizado.

El movimiento de los activos tuvo varias etapas y abarcó más de una red, de modo que las cifras de una sola billetera no resumen por sí mismas toda la actividad atribuida a los atacantes. La información disponible distingue entre el SOL sustraído, los fondos que todavía permanecían en direcciones agrupadas y las conversiones posteriores a USDC, ETH y BTC. Esa separación es importante para interpretar el 81%: se refiere al SOL movido, no a una confirmación de que todos los fondos hayan llegado a una misma dirección o se hayan convertido íntegramente en Bitcoin.

La pausa de THORChain y el recorrido entre redes

THORChain volvió a habilitar intercambios de Bitcoin, Ethereum y varias otras cadenas el miércoles, después de una interrupción iniciada el sábado. El servicio se detuvo tras una reorganización de un bloque de Ethereum que dejó al descubierto un error relacionado con los reembolsos. Según Chainalysis, la pausa también retrasó involuntariamente la actividad de lavado atribuida a los atacantes de Binance, un efecto indirecto de la suspensión de operaciones del protocolo.

La reanudación devolvió la disponibilidad de intercambios entre las cadenas mencionadas, pero no altera por sí sola el rastro anterior de los activos ni confirma el destino final de cada moneda. En el caso descrito, THORChain aparece como el tramo empleado para cambiar ETH por BTC, después de que los fondos hubieran pasado por USDC y Ethereum. La pausa, por tanto, afectó el ritmo de esa ruta reportada, mientras que las conversiones y transferencias siguieron siendo objeto de observación en la cadena.

La actividad también se extendió a Solana después de que los atacantes vaciaran la mayoría de sus billeteras de tenencia temporal en Tron. La nota sitúa esa expansión el domingo, luego de que el grupo hubiera trasladado fondos por Tron, y atribuye el seguimiento de esos movimientos a firmas de análisis de blockchain. El cambio de una red a otra forma parte del patrón descrito: los activos se distribuyen, se convierten y se trasladan, lo que complica presentar el flujo como una única operación lineal.

Chainalysis estimó que el valor total movido a través de Tron rondó los USD $500 millones, cifra que incluye transferencias repetidas entre billeteras. Ese matiz evita interpretar el monto como una cantidad única de fondos robados o como un saldo que permaneciera en una dirección: el total agrega movimientos que pueden volver a contabilizarse al circular entre distintas billeteras. Por su parte, SomaXBT calculó que aproximadamente el 54% de más de 47.600 transacciones atribuidas a los atacantes en Tron y Solana eran automatizadas, una estimación sobre la actividad observada en esas redes.

La atribución del ataque y la respuesta de Binance

Binance informó que el ataque ocurrió después de que los responsables comprometieran dispositivos de empleados mediante falsas entrevistas de trabajo y descargas de software malicioso. La descripción sitúa el punto de entrada en el engaño dirigido al personal, antes de que los atacantes comenzaran a mover los activos. La noticia presenta el episodio como un hackeo récord y señala que ocurrió el jueves, aunque no aporta una fecha calendario para ese día.

El martes, Binance dijo que había repuesto el 98% de los tokens afectados y que asumiría las pérdidas. Esa declaración se refiere a la respuesta del exchange frente a los activos comprometidos, mientras el rastreo de las billeteras y las conversiones entre redes continuaba por separado. La reposición anunciada no significa que los fondos sustraídos hubieran sido recuperados ni que el movimiento del SOL hubiera concluido, dos asuntos que la información trata como hechos distintos.

El FBI atribuyó el sábado el ataque al grupo TraderTraitor, vinculado con Corea del Norte, e instó a proveedores de servicios de criptomonedas, incluidos operadores de THORNode, a bloquear transacciones relacionadas con los activos robados. La atribución corresponde a la agencia estadounidense y no a una conclusión independiente de la información de rastreo citada. Kim Yo Jong, hermana del líder norcoreano Kim Jong Un, rechazó las acusaciones y las calificó como «retórica absurda».

La noticia también señala que grupos de hackers vinculados con Corea del Norte han sido sospechados de utilizar THORChain para lavar ganancias de grandes ataques, incluido el de Bybit, que involucró USD $1.400 millones. Esa referencia ofrece contexto sobre la preocupación en torno al uso del protocolo, pero no demuestra por sí misma quién ejecutó otros incidentes ni establece una relación adicional con el caso de Binance. En este episodio, el dato central sigue siendo el seguimiento de los fondos y el pedido del FBI a los servicios cripto para que bloqueen transacciones asociadas con los activos robados.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados