TRM Labs y ZachXBT atribuyen ataque a Binance a Lazarus, Corea del Norte

Los investigadores apuntan a Pyongyang

La búsqueda del atacante de Binance cuenta ahora con un principal sospechoso, ya que la empresa de análisis de blockchain TRM Labs atribuye el ataque a Tradertraitor (parte del ecosistema Lazarus), a la que calificó como la unidad de piratería informática de élite de Corea del Norte. La empresa llegó a esa conclusión con un alto grado de confianza basándose en información tanto de la cadena de bloques como fuera de ella, y valoró el botín en unos 6.360 millones de dólares en el momento en que se sustrajeron cada uno de los activos. El investigador independiente ZachXBT llegó a una conclusión similar horas antes y, cuando se le preguntó quién estaba detrás de la sustracción, respondió:

«Probablemente sea el Grupo Lazarus (RPDC)».

Dicho esto, las publicaciones no confirman automáticamente la responsabilidad, y ningún gobierno ha señalado aún formalmente a un culpable. Ari Redbord, director global de políticas de TRM, declaró a Al Jazeera que el ataque no tiene precedentes y que, posteriormente, se considerará un punto de inflexión en la historia de las criptomonedas, y añadió:

«Cuando Corea del Norte roba a esta escala, el dinero se destina a la proliferación de armas y otras actividades desestabilizadoras».

Un modus operandi conocido, pero cuatro veces mayor

El equipo de TRM cree que los patrones de ejecución y las características distintivas coinciden con el robo a Bybit de principios del año pasado, que el FBI atribuyó al mismo grupo, junto con el hackeo a Kelpdao en abril de 2026. La empresa de análisis de blockchain Chainalysis estimó por su parte que se robaron unos 5.912 millones de dólares, casi cuatro veces la cuantía del robo a Bybit.

La preparación fue metódica: el investigador de la cadena de bloques 0xQuit descubrió que el relé del atacante se financió mediante tres retiradas de Tornade Cash de 0,1 ETH cada una durante los dos días anteriores, con un contrato delegado desplegado a las 15:59 UTC. Otro analista señaló que el atacante ensayó el vaciado seis horas antes en tres carteras nuevas, retirando cantidades de prueba de varios tokens. El ataque real se produjo a las 20:24 UTC, cuando 167 464 ETH salieron de la cartera caliente «Binance 14». Bitcoin.com News detalló ayer cómo funcionó la maniobra de delegación de carteras, así como cómo las propias conclusiones iniciales de Binance apuntaban al portátil comprometido de un ingeniero de DevOps.

Las redes sociales añadieron un toque burlón a todo el episodio, y un comentarista afirmó que el atacante lanzó una moneda meme llamada «LAZARUS» en Pump.fun. Bitcoin.com News no pudo verificar que el responsable del lanzamiento estuviera vinculado a las carteras del hacker.

Adónde va el dinero

A diferencia de Bybit, donde los fondos robados se desplazaron rápidamente a través de puentes, este blanqueo se ha basado en operaciones de gran volumen. TRM afirmó que el atacante vendió unos 325 millones de USDT a creadores de mercado a cambio de aproximadamente 122 300 ETH con un descuento de más del 10 %. También pidió prestados unos 19 760 ETH en Aave a cambio de 60 millones de USDT. Las congelaciones han permitido recuperar una gran parte y Binance ha indicado que el importe total congelado ha alcanzado aproximadamente los 3 000 millones de dólares. Aun así, TRM estima que el atacante posee más de 420 000 ETH y 18 270 BTC, unos 2 400 millones de dólares fuera del alcance de los emisores, y que los bitcoins se están moviendo a través de una «peel chain», un método de blanqueo que divide los fondos en una larga cadena de transferencias más pequeñas.

Onchain Lens informó de que el grupo estaba trasladando más de 1.000 millones de dólares en ETH a nuevas carteras, probablemente antes de proceder a su mezcla. TRM prevé que la siguiente fase implique puentes entre cadenas, servicios de intercambio y corredores extrabursátiles (OTC).

Un año récord para los robos de criptomonedas

El robo se produce en lo que Defillama califica como el año con más ataques de la historia de las criptomonedas, con más de 8.000 millones de dólares robados en lo que va de 2026. A modo de comparación, los ciberdelincuentes robaron 2.870 millones de dólares en casi 150 incidentes en 2025.

El ataque a Binance se produjo además pocas horas después de que Polymarket suspendiera la negociación debido a una vulnerabilidad distinta, lo que pone de manifiesto en cuántos frentes luchan a la vez los equipos de seguridad.

Las consecuencias podrían ser sin precedentes

TRM ha indicado que está alertando a sus socios a través de su red Beacon Network y ha instado a las plataformas de intercambio a filtrar los depósitos para detectar direcciones etiquetadas como pertenecientes a los atacantes. Al mismo tiempo, Binance ha prometido un análisis técnico detallado una vez que se complete su investigación preliminar.

La cuestión clave ahora es la rapidez, ya que cada hora que los ETH y BTC del atacante permanecen sin mezclar da a los investigadores más tiempo para detectar las vías de salida, mientras que el historial de Corea del Norte sugiere que el grupo intentará retirar los fondos a través de mesas OTC antes de que se pierda el rastro.