Corea del Norte conserva 1.4B de dólares en bitcoins robados a Binance

Hackers norcoreanos detrás del robo de 6.3 mil millones de dólares a Binance

Una vez más, Pyongyang se enfrenta a la acusación de haber orquestado un robo de 6.3 mil millones de dólares contra la mayor plataforma de intercambio de criptomonedas del mundo por volumen de operaciones. La investigación preliminar de Binance sugirió que la intrusión se originó a partir del ordenador portátil de un ingeniero de software que había sido comprometido. Posteriormente, esta brecha proporcionó a los atacantes un punto de acceso a uno de los servicios internos de la plataforma.

Sin embargo, los hallazgos forenses posteriores revelaron otros sistemas comprometidos, lo que sugiere una operación mucho más sofisticada que el simple robo de las credenciales de un único empleado. Varias empresas de inteligencia de blockchain, entre ellas Chainalysis, Elliptic y TRM Labs, atribuyeron el robo a Tradertraitor, una valoración que se vio reforzada el 31 de octubre, cuando el FBI identificó a la operación de piratería norcoreana como responsable del ataque.

Tradertraitor está estrechamente vinculado al Grupo Lazarus, del que forma parte como un subgrupo especializado con motivaciones económicas, y es una denominación que se aplica al malware y a las campañas de ciberespionaje asociados dentro del amplio aparato de piratería informática patrocinado por el Estado de Corea del Norte. El Grupo Lazarus ha controlado históricamente importantes reservas de bitcoins, y el último robo de 18 270,2 BTC sitúa aparentemente a Corea del Norte como el tercer Estado más grande del mundo en cuanto a tenencia de esta criptomoneda.

Aunque la liquidación de bitcoins adquiridos ilícitamente se considera generalmente un reto formidable, Pyongyang ha demostrado en repetidas ocasiones una aparente capacidad para convertir los activos robados en fondos utilizables con relativa facilidad.

Los entresijos del robo de bitcoins que vació el 95 % de una cartera caliente de Binance

El último robo a Binance plantea un misterio especialmente intrigante, ya que el mecanismo exacto detrás de la extracción de bitcoins sigue sin estar claro. Los fondos robados, valorados actualmente en 1.400 millones de dólares, pasaron por 11 transferencias distintas antes de distribuirse en carteras que contenían cantidades variables de BTC.

En total, los fondos se encuentran ahora repartidos en 19 monederos distintos, y todas las transacciones se han confirmado en la altura de bloque 973732 de Bitcoin. Los fondos robados procedían de un monedero «en caliente» de Binance identificado como bc1qm34lsc65zpw79lxes69zkqmk6ee3ewf0j77s3h, que actualmente conserva aproximadamente 5,495 BTC, valorados en 426 000 dólares.

Desde su creación en 2021, esta dirección excepcionalmente activa ha procesado la asombrosa cifra de 16 517 012,48 BTC en transferencias entrantes y 16 517 006,98 BTC en transacciones salientes. En junio de 2022, el monedero contaba con un saldo de 138 000 BTC y ha mantenido conexiones transaccionales con los principales participantes del sector, incluidas plataformas de intercambio centralizadas (CEX) como Kraken, OKX, Bullish, Bybit, Coinbase y docenas más.

Las direcciones supuestamente asociadas a Wintermute, el creador de mercado algorítmico de criptomonedas, también han interactuado con la cartera en 76 ocasiones, lo que ha supuesto un valor de más de 900 millones de dólares en bitcoins. Cuando Tradertraitor comprometió la cartera, esta contenía aproximadamente 19 200 BTC, y el grupo de hackers se apropió de casi el 95 % de sus activos en menos de 20 minutos. De las 19 carteras atribuidas a los hackers de Pyongyang, 17 contienen exactamente 1 000 BTC cada una, mientras que las dos restantes albergan 832,5 BTC y 437,7 BTC, respectivamente.

Los bitcoins robados permanecen inactivos mientras el historial de blanqueo de Corea del Norte suscita dudas

Por ahora, los bitcoins robados permanecen intactos en estas direcciones, aunque su inactividad actual no garantiza que vayan a permanecer inactivos de forma permanente. La división del botín generó más salidas que supervisar, pero no borró su origen. Los investigadores de la cadena de bloques y las empresas de inteligencia de blockchain sin duda analizarán minuciosamente estas direcciones de bitcoins, ya que los BTC robados suelen permanecer inactivos durante largos periodos antes de su eventual movimiento, aunque tales retrasos distan mucho de ser la norma.

Mientras tanto, las carteras atribuidas directamente al Grupo Lazarus por Arkham Intelligence contienen actualmente una cantidad relativamente modesta de 23,38 BTC, lo que supone un cambio drástico respecto a los aproximadamente 14 000 BTC que controlaban en marzo de 2025. Esto sugiere que Corea del Norte ha demostrado una capacidad considerable para dispersar sistemáticamente miles de bitcoins y, en última instancia, encontrar vías para liquidar los activos ilícitos. Aunque se está llevando a cabo un amplio esfuerzo de recuperación para ayudar a Binance a recuperar sus activos robados, Bitcoin no ofrece ningún mecanismo para congelar simplemente los fondos.

Las reglas inquebrantables de Bitcoin dejan a los investigadores en vilo

Los emisores de stablecoins pueden inmovilizar activos mediante restricciones incorporadas en los contratos de sus tokens, pero el bitcoin no cuenta con una autoridad central equivalente capaz de incluir direcciones en una lista negra o de revertir transacciones confirmadas. En consecuencia, los investigadores deben identificar posibles puntos de intervención, como plataformas de intercambio, corredores u otros intermediarios por los que podrían pasar finalmente los fondos robados. Por otra parte, obtener el control de las claves privadas correspondientes podría proporcionar un medio para incautar los bitcoins. Sin embargo, ninguno de estos enfoques constituye una anulación administrativa de una transacción registrada en la cadena de bloques de Bitcoin.

Por ahora, el libro mayor transparente proporciona un rastro probatorio detallado sin otorgar control sobre los propios activos. Los investigadores pueden rastrear cada movimiento de los bitcoins robados, pero la visibilidad por sí sola no les confiere autoridad para transferirlos.