Aunque las operaciones fraudulentas se extendieron durante casi cuatro horas, los registros de blockchain sitúan el grueso del robo en apenas 20 minutos, pero la investigación todavía debe esclarecer cómo consiguieron los responsables superar los controles internos y acceder a los sistemas de producción.
La primera hipótesis de Binance señala al portátil de un ingeniero DevOps, un perfil técnico con acceso a herramientas de desarrollo, despliegue y operación de sistemas informáticos. Según ha explicado Richard Teng, codirector ejecutivo de Binance, la posible vulneración de ese dispositivo habría permitido a los atacantes acceder a un contenedor de servicios desde el que enviaron órdenes de retirada de fondos sin autorización.
Sin embargo, la investigación posterior ha identificado otros puntos de compromiso y desde la firma aseguran que se trata de un ataque complejo, con múltiples factores implicados, y descarta por ahora que existan pruebas de una filtración de las claves privadas de sus monederos.
Los atacantes consiguieron comprometer la infraestructura de firma de transacciones, responsable de autorizar los movimientos de criptomonedas
Esta distinción es clave para comprender el incidente ya que según TRM Labs, los atacantes consiguieron comprometer la infraestructura de firma de transacciones, responsable de autorizar los movimientos de criptomonedas. De este modo, el sistema que debía validar las operaciones terminó autorizando transferencias fraudulentas, es decir, los atacantes podrían haber secuestrado el mecanismo que ordena abrir la caja fuerte, sin necesidad de robar su llave.
En concreto, los registros analizados por Bitquery sitúan las primeras transferencias fraudulentas a las 21:04 horas del jueves, en horario peninsular español. Hasta las 00:56 del viernes, los atacantes extrajeron fondos de 17 monederos calientes de Binance, es decir, los que permanecen conectados a Internet para procesar operaciones y retiradas de los usuarios, una característica que los diferencia de los sistemas de almacenamiento desconectados.
La mayor parte del dinero desapareció durante los primeros 20 minutos, según avanza la agencia Reuters. Posteriormente, los responsables distribuyeron los activos entre nuevas direcciones de nueve cadenas de bloques, principalmente Ethereum, Bitcoin y TRON.
El siguiente movimiento consistió en transformar y redistribuir las criptomonedas antes de que pudieran intervenir los emisores de activos digitales. Según Bitquery, los atacantes intercambiaron 729 millones de dólares en monedas estables antes de que comenzaran los bloqueos. Además, TRM Labs detectó que parte de los fondos robados se utilizó como garantía para obtener préstamos en ether.
La respuesta de Binance y las empresas del ecosistema blockchain permitió inmovilizar una parte considerable del dinero. Emisores de monedas estables como Tether y Circle participaron en el bloqueo de activos, junto con otras entidades. Las estimaciones sitúan los fondos congelados entre 2.700 y 3.000 millones de dólares, aunque su inmovilización no implica necesariamente su recuperación.
2.400 millones de dólares en Bitcoin y Ether permanecen fuera del alcance de los mecanismos habituales de congelación
El problema reside en las diferencias técnicas entre criptomonedas: los emisores de determinadas stablecoins pueden bloquear sus tokens, mientras que Bitcoin y Ether carecen de una autoridad central capaz de ejecutar esa medida y TRM Labs estima que unos 2.400 millones de dólares en estas dos criptomonedas permanecen fuera del alcance de los mecanismos habituales de congelación.
Asimismo, Chainalysis ha identificado miles de transacciones destinadas a dificultar el seguimiento del dinero. Los movimientos presentan patrones de automatización, con transferencias sucesivas entre direcciones que, en ocasiones, vuelven a recibir fondos procedentes de operaciones anteriores.
Con todo ello, TRM Labs atribuye el ataque con un alto grado de confianza a TraderTraitor, grupo vinculado a Corea del Norte y relacionado con Lazarus. La firma identifica similitudes con el robo de 1.500 millones de dólares sufrido por Bybit en febrero de 2025, cuya autoría atribuyó el FBI a ciberdelincuentes norcoreanos. Sin embargo, Binance todavía no ha identificado oficialmente a los responsables. Además, Corea del Norte niega habitualmente su participación en estas operaciones.
Binance ha suspendido temporalmente los depósitos y retiradas, revocado autorizaciones comprometidas y anunciado que cubrirá las pérdidas mediante su fondo de emergencia y recursos propios para lo cual la compañía ha reservado 6.340 millones de dólares para afrontar el incidente.
Asimismo, está colaborando con autoridades internacionales, entre ellas el FBI y el Servicio Secreto estadounidense y la Interpol, además de empresas especializadas en análisis blockchain. La plataforma prevé publicar un informe técnico detallado cuando concluya la investigación y actualizar posteriormente sus pruebas de reservas y también trabaja para restablecer las retiradas tras las comprobaciones de seguridad.
La recuperación de los fondos dependerá de la capacidad para rastrear las operaciones, bloquear activos adicionales e identificar a los responsables. Mientras tanto, el incidente vuelve a situar bajo examen la protección de los sistemas de autorización de transacciones y los controles de acceso privilegiado en las plataformas de criptomonedas.