Por Canuto  

SomaXBT estima que se movieron cerca de US$242 millones en activos relacionados con el robo de Binance durante dos días. El FBI atribuyó el ataque al grupo TraderTraitor y pidió a THORChain y otros servicios bloquear direcciones asociadas con el caso. Las cifras describen movimientos y saldos distintos, por lo que no deben sumarse como si fueran un único balance.
***

  • SomaXBT calculó que cerca de US$194 millones salieron de Tron mediante puentes y servicios de intercambio; otros US$26 millones permanecieron en la red, según su desglose.
  • Relay, THORChain, Chainflip y Symbiosis trasladaron cerca de US$140 millones en conjunto, de acuerdo con el analista. Relay encabezó esos flujos, con unos US$48 millones.
  • El FBI atribuyó el ataque a TraderTraitor y solicitó bloquear direcciones. La lista publicada incluía 608 direcciones de Ethereum, 19 de Bitcoin y una de Solana, pero ninguna de Tron.

SomaXBT estima que se movieron US$242 millones vinculados al robo de Binance

SomaXBT estimó que se movieron aproximadamente US$242 millones en activos relacionados con el robo de Binance durante dos días, utilizando Tron y varios servicios de intercambio entre cadenas. El analista calculó que cerca de US$194 millones salieron de Tron a través de puentes y protocolos, mientras el FBI pedía a operadores de THORChain y otros proveedores que bloquearan direcciones asociadas con el caso.

La cobertura del caso señaló que Tether congeló US$378,7 millones en USDT y que algunas plataformas contaban con filtros para detectar direcciones riesgosas. Según el desglose de SomaXBT, parte de los flujos pasó por Relay, THORChain, Chainflip y Symbiosis. Las cifras corresponden a estimaciones de movimientos y saldos en distintos servicios; no deben interpretarse como categorías necesariamente aditivas ni como un balance único.

El recorrido de los fondos desde Tron

SomaXBT calculó que los atacantes tenían aproximadamente US$628 millones en activos en Tron. Tras el congelamiento de US$378,7 millones en USDT atribuido a Tether, el analista estimó que quedaban cerca de US$249 millones por mover. Durante dos días se registraron movimientos por unos US$242 millones, según su seguimiento. En un desglose separado, SomaXBT indicó que alrededor de US$26 millones permanecían en Tron y calculó pérdidas cercanas a US$22 millones por comisiones, deslizamiento de precios y variaciones de mercado. Estas estimaciones describen distintos aspectos de la actividad y no ofrecen una conciliación completa de los fondos.

Los servicios de intercambio entre cadenas y puentes mencionados por el analista trasladaron en conjunto unos US$140 millones fuera de Tron. Relay gestionó cerca de US$48 millones, THORChain alrededor de US$44 millones, Chainflip US$32,1 millones y Symbiosis unos US$16 millones, de acuerdo con su desglose. Bitget Wallet procesó otros US$41,7 millones, pero SomaXBT dijo que todavía no estaba claro dónde terminó ese dinero.

Los movimientos muestran cómo los atacantes pueden dividir activos y cambiar de red para complicar el seguimiento, aunque ese recorrido también deja huellas públicas en las cadenas de bloques. El paso por distintos protocolos no eliminó la posibilidad de rastrear las transacciones, pero planteó una carrera entre los investigadores y quienes intentaban convertir o dispersar los fondos antes de que los servicios pudieran actuar.

La cobertura del caso también lo calificó como el mayor hackeo cripto registrado y le atribuyó un monto de US$6.300 millones, pero no explicó cómo se relaciona esa cifra con los US$628 millones descritos para los activos en Tron. No deben confundirse: la primera aparece como el valor total del robo en esa cobertura y la segunda corresponde al monto señalado para los fondos que los atacantes tenían en Tron.

El FBI pide bloqueos y THORChain evita comprometerse

El FBI atribuyó el robo al grupo norcoreano TraderTraitor en una alerta publicada junto con el Servicio Secreto de Estados Unidos y la División de Investigación Criminal del IRS. La agencia dijo que los atacantes convertían activos robados principalmente en ETH y advirtió que los fondos podían seguir moviéndose por protocolos DeFi y servicios de intercambio instantáneo. Por ello, pidió a operadores de THORNode, proveedores de nodos RPC, plataformas DeFi y otros intermediarios bloquear transacciones vinculadas al caso.

La lista publicada por el FBI incluía 608 direcciones de Ethereum, 19 de Bitcoin y una de Solana, pero ninguna de Tron. Un aviso conjunto de 2022 describió a TraderTraitor como un grupo patrocinado por el Estado norcoreano y activo desde al menos 2020, que roba y lava criptomonedas para apoyar al régimen. En la industria también se lo rastrea bajo nombres como Lazarus Group, APT38 y BlueNoroff.

El FBI ya había responsabilizado a TraderTraitor por el robo de US$1.500 millones de Bybit en febrero de 2025. La alerta sobre Binance no detalló las pruebas que sustentaban su atribución, aunque Chainalysis, Elliptic y TRM Labs habían conectado el ataque con Corea del Norte mediante relaciones onchain con robos anteriores atribuidos a ese país, según la información citada en el reporte.

Chad Barraford, cofundador técnico de THORChain, sostuvo que los operadores de THORNode no disponen de información no pública y que pueden consultar datos disponibles en tiempo real. También señaló que no serían necesarias citaciones judiciales para colaborar con las investigaciones. Sus declaraciones, sin embargo, no confirmaron si los operadores bloquearían las direcciones incluidas en la lista del FBI.

Los puentes exhiben filtros con límites

THORChain también enfrentó una pausa de emergencia después de que una reorganización de Ethereum provocara el reembolso duplicado de un depósito de 10 ETH, según Chainalysis. La interrupción impidió temporalmente que usuarios, incluidos los atacantes, intercambiaran activos a través de la mayoría de los puentes de THORChain. En el momento descrito en el reporte, el comercio seguía detenido en 10 de sus 13 cadenas conectadas, entre ellas Tron, Ethereum y Bitcoin, mientras los intercambios desde Tron permanecían suspendidos desde el mediodía del sábado.

SomaXBT afirmó que los atacantes enviaron 185,1 millones de TRX y 3,83 millones de USDT a THORChain en 2.697 depósitos. Según el analista, el protocolo pagó 17.019 ETH a 170 direcciones y 53,25 BTC a 20 direcciones. SomaXBT calculó que los atacantes perdieron cerca del 12% en comisiones y deslizamiento; las interfaces front-end habrían recibido unos 145.800 RUNE, equivalentes a aproximadamente US$95.000, en comisiones de afiliados.

Relay recibió 37,64 millones de USDT y 39,28 millones de TRX en 735 depósitos, indicó SomaXBT. El protocolo había dicho que filtraba las transacciones con datos de riesgo de terceros, incluidos los de Chainalysis, y una lista interna de bloqueo. Pese a esos controles, el analista Specter afirmó que los atacantes movieron US$38 millones por Relay en siete horas, lo que puso en duda la eficacia práctica de los filtros ante un flujo rápido y coordinado.

Una dirección de Ethereum recibió 2.804 ETH y 1,02 millones de USDT mediante el enrutador y los solvers de Relay en 97 pagos durante unos 80 minutos, de acuerdo con datos de Etherscan citados en la cobertura. Esa billetera convirtió el USDT a ETH en CoW Protocol y luego envió unos 3.257 ETH, valorados en aproximadamente US$7,4 millones, a cuatro direcciones nuevas. Ninguna de esas cinco direcciones figuraba en la lista del FBI.

Más rutas, automatización y activos congelados

El reporte indicó que los atacantes también comenzaron a cambiar 970.522 SOL, valorados entonces en unos US$95,9 millones, por BTC a través de Relay, según Lookonchain. La billetera de Solana vinculada al grupo —la única dirección de esa red en la lista del FBI— había movido 486.970 SOL, equivalentes a US$46,4 millones, durante la hora anterior al aviso. Luego conservaba unos 466.700 SOL, saldo que no había cambiado entre dos consultas posteriores citadas en la nota.

Chainflip recibió 49,47 millones de USDT en 571 depósitos, aunque SomaXBT dijo que numerosos intercambios fallaron. Los fondos reembolsados regresaron a nuevas billeteras de Tron y sumaron 17,91 millones de USDT. El protocolo había planeado una actualización para bloquear a los atacantes del robo de Bybit en su plataforma de intercambio entre cadenas, un antecedente relevante frente a la actividad observada en este caso.

Symbiosis reconoció que había detectado intentos de mover fondos del caso a través de su protocolo y dijo que estaba en contacto con Binance. La plataforma explicó que su filtrado estaba diseñado para flujos normales y no para rastrear intentos rápidos y sofisticados, por lo que algunos mecanismos tenían vacíos que intentaba cerrar. SomaXBT atribuyó a Symbiosis 49,71 millones de TRX distribuidos en 1.367 depósitos pequeños.

Elliptic describió una distribución automatizada que pagaba cada hora durante 31 horas consecutivas y nunca se detenía más de 46 minutos. Los montos de intercambio se repetían, en un caso 19 veces, y cuando un puente rechazaba un depósito, nuevas billeteras reenviaban automáticamente los fondos al mismo destino. El cofundador de la firma, Tom Robinson, dijo que ese patrón repetitivo parecía depender de scripts para las tareas rutinarias, pero no mostraba señales de agentes de inteligencia artificial.

Elliptic verificó US$2.850 millones en fondos robados congelados o incautados, cerca del 44% de los US$6.430 millones que contabilizaba como robados, y señaló que el 94% de ese monto correspondía a stablecoins. En contraste, no se habían congelado fondos en Bitcoin, XRP Ledger, Solana ni NEAR, y aproximadamente US$3.250 millones, incluidos 18.327 BTC y 233 millones de XRP, estaban en activos que ningún emisor podía inmovilizar.

El seguimiento también mostró que los atacantes buscaron sortear congelamientos mediante protocolos DeFi en Tron. Chainalysis dijo que depositaban stablecoins para obtener tokens de recibo que no podían congelarse y luego los canjeaban desde nuevas direcciones. TRM Labs, por su parte, señaló que US$300 millones en USDT llegaron a una billetera que comenzó a suministrarlos a JustLend, aunque los datos citados también mostraban intercambios por TRX y una transferencia de US$65,99 millones a una de las billeteras congeladas.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados