Detectan movimientos de BTC y XRP robados de Binance; $3.1B sin blanquear: Elliptic

En un análisis actualizado el viernes, Elliptic reveló que, desde el jueves por la tarde, se habían transferido unos 42 millones de XRP, por valor de 50 millones de dólares, desde carteras vinculadas al ataque del 29 de octubre. La mayor parte de esos fondos se canjearon por bitcoin a través del protocolo de intercambio entre cadenas THORChain, lo que dejó aproximadamente 192 millones de XRP, por valor de 226 millones de dólares, en poder de los hackers.

Las últimas transacciones elevaron la cantidad de criptomonedas robadas convertidas en bitcoin a aproximadamente 1 650 BTC, valorados en 124 millones de dólares a primera hora del viernes. Ese total casi se duplicó con respecto al día anterior, y el XRP representó gran parte de ese aumento.

A pesar de la aceleración de la actividad, Elliptic estimó que aún quedan 3.11 mil millones de dólares en direcciones asociadas al robo, principalmente en bitcoin y ether. Los 18 270 BTC originales robados a Binance, valorados en aproximadamente 1 400 millones de dólares en ese momento, no se han movido desde que se distribuyeron entre 19 carteras poco después del ataque. Las mayores tenencias de ether también permanecen intactas. Elliptic estimó que solo unos 3 millones de dólares de los aproximadamente 1.33 mil millones de dólares en ETH robados se habían movido a través de canales de blanqueo, mientras que las nueve carteras de ETH más grandes han permanecido inactivas desde el 30 de octubre. Estos hallazgos marcan una nueva fase en los esfuerzos de los hackers por ocultar los activos robados. Tal y como informó anteriormente Bitcoin.com News, los atacantes transfirieron los 233,46 millones de XRP robados a seis nuevas carteras el 2 de noviembre, después de que los fondos hubieran permanecido inactivos durante unas 80 horas. Dos de esas carteras comenzaron a distribuir XRP a docenas de direcciones adicionales el jueves, y gran parte de la criptomoneda se cambió posteriormente por bitcoin.

Los activos de Solana también han sido objeto de la operación de blanqueo. Elliptic descubrió que prácticamente todo el SOL robado, con un valor aproximado de 87 millones de dólares a precios actuales, ya ha sido canjeado, transferido entre cadenas de bloques o mezclado a través de servicios de privacidad. Gran parte del valor convertido acabó finalmente en carteras de bitcoin.

Los investigadores también identificaron aproximadamente 2,5 millones de dólares en bitcoin procesados a través de transacciones «coinjoin» al estilo Wasabi, que combinan monedas de múltiples usuarios para complicar el seguimiento en la cadena de bloques. Otros 1,1 millones de dólares en ETH y SOL robados entraron en el protocolo Privacy Cash a partir del 3 de noviembre, lo que llevó al servicio a suspender temporalmente los depósitos mientras reforzaba sus procedimientos de filtrado.

La red de blanqueo se ha expandido drásticamente desde la filtración. Elliptic ha identificado ya más de 20 000 carteras repartidas en 16 cadenas de bloques, lo que implica al menos 36 servicios y 65 000 transacciones. Bitcoin.com News informó el lunes de que, en ese momento, la operación había involucrado a aproximadamente 12 000 carteras y 40 000 transacciones.

Una semana después del ataque a Binance

De los 6.430 millones de dólares robados inicialmente, se han congelado o incautado aproximadamente 2.850 millones, en gran parte gracias a la intervención de los emisores de stablecoins. Elliptic cree que solo una cantidad insignificante se ha convertido realmente en fondos disponibles para su gasto. Trasladar activos entre monederos o cambiar una criptomoneda por otra no significa necesariamente que se haya conseguido convertir el botín en dinero en efectivo. El FBI ha atribuido el ataque a la operación de piratería «TraderTraitor» de Corea del Norte, aunque Pyongyang ha negado su responsabilidad.

Binance reveló el martes que la brecha de seguridad se produjo tras una campaña de varios meses que incluyó software malicioso para desarrolladores, entrevistas de trabajo fraudulentas y herramientas internas de inteligencia artificial comprometidas. Los atacantes acabaron accediendo a la infraestructura de firma de carteras y ejecutaron transacciones no autorizadas en numerosas cadenas de bloques.

Elliptic prevé que las existencias restantes de ether se conviertan gradualmente en bitcoin, a lo que seguirán intentos de cambiar la criptomoneda por dinero convencional a través de corredores extrabursátiles y plataformas de negociación.

La empresa estableció comparaciones con el hackeo de Bybit de febrero de 2025 —el anterior robo de criptomonedas de mayor cuantía, con unos 1 500 millones de dólares sustraídos—, cuando los atacantes norcoreanos convirtieron aproximadamente 499 000 ETH robados en un plazo de 10 días, mientras que el proceso de liquidación se prolongó durante varios meses.

Por ahora, la mayor parte de los fondos de Binance sigue siendo rastreable, lo que brinda a las plataformas de intercambio y a los investigadores oportunidades adicionales para identificar y, potencialmente, interceptar los fondos antes de que puedan convertirse en efectivo utilizable.