Dos robos de criptomonedas ocurridos con menos de una semana de diferencia presentan una secuencia similar: salir rápidamente de las stablecoins que sus emisores pueden congelar, dividir los fondos, trasladarlos entre cadenas y recurrir después a monedas de privacidad o a operaciones extrabursátiles para dificultar su rastreo. El volumen de stablecoins congelado y los ETH y BTC que siguen bajo control de los atacantes son relevantes tanto para valorar las opciones de recuperación como para estimar una posible presión vendedora futura.
Binance: congelan miles de millones en stablecoins
El 29 de octubre, unos atacantes sustrajeron activos por valor de aproximadamente 6.360 millones de dólares de las carteras calientes de Binance en varias cadenas de bloques. Estas carteras están conectadas a internet y las plataformas las utilizan para operaciones como procesar retiradas de clientes. La firma de análisis blockchain TRM Labs indicó que la mayor parte de los fondos se movió en unos 20 minutos. El FBI atribuyó el ataque al grupo norcoreano de piratería TraderTraitor. Se trata del mayor robo de criptomonedas conocido hasta la fecha.
Los emisores de stablecoins pueden congelar los tokens que se encuentran en direcciones concretas, por lo que USDT y USDC pueden quedar sujetos a esa medida. Según TRM, Tether congeló unos 971 millones de USDT en las carteras receptoras de los atacantes alrededor de 37 minutos después de que llegaran los principales fondos. Más tarde, Circle congeló aproximadamente 823 millones de USDC. TRM calcula que, sumando las actuaciones de Tether, Circle, Ripple, World Liberty Financial y el Consejo de Seguridad de Arbitrum, se bloquearon unos 2.700 millones de dólares. Binance situó la cifra en torno a los 3.000 millones.
Para evitar nuevas congelaciones, los atacantes vendieron unos 325 millones de USDT a creadores de mercado a cambio de cerca de 122.300 ETH. La operación se cerró con un descuento superior al 10% respecto al precio de mercado de ese momento. También depositaron alrededor de 60 millones de USDT como garantía en el protocolo de préstamos Aave y tomaron prestados unos 19.760 ETH. La fuerte rebaja aceptada para trasladar los fondos a activos que los emisores no pueden congelar directamente apunta a la rapidez con la que reaccionaron ante el riesgo de bloqueo.
Los BTC se fragmentan mientras los fondos cambian de cadena
Una vez convertidos en activos como ETH y BTC, que los emisores no pueden congelar directamente, los fondos resultaron más difíciles de rastrear. TRM señaló que los 18.270 BTC retirados de Binance se dividieron en el mismo bloque en múltiples transferencias de 1.000 y 100 BTC, lo que generó numerosas rutas de menor tamaño. Los investigadores también detectaron movimientos automáticos de ida y vuelta entre varias carteras, incluidas direcciones utilizadas anteriormente, algo que podría complicar el seguimiento.
Los puentes entre cadenas permiten trasladar activos de una blockchain a otra, por lo que los investigadores deben seguirlos en una red distinta. La firma de monitorización Onchain Lens indicó que, en otro posible caso del que se tuvo conocimiento el lunes, fondos de una cartera vinculada a King —un bot de arbitraje de Solana— pasaron por varias carteras de Solana antes de llegar a Ethereum mediante el servicio de interoperabilidad Mayan. El operador de King no ha confirmado que se produjera una brecha; por tanto, la ruta de los fondos no demuestra por sí sola que el bot o una parte relacionada fueran comprometidos.
TRM indicó que, en las primeras fases del caso de Binance, los atacantes recurrieron más a creadores de mercado y protocolos de préstamo que a puentes entre cadenas. Estos últimos tuvieron un papel más destacado tras el robo de 1.500 millones de dólares a Bybit en 2025. La firma prevé que los puentes, los servicios de intercambio y los intermediarios extrabursátiles también podrían utilizarse a medida que sigan moviéndose los fondos sustraídos a Binance.
Un posible robo en la UE superaría los 106 millones
El investigador de blockchain ZachXBT afirmó el lunes que una entidad de la Unión Europea no identificada podría haber sido víctima de un robo el domingo, con pérdidas superiores a 106 millones de dólares repartidas entre varias cuentas de exchanges. No se ha identificado a la presunta víctima ni a las plataformas implicadas, y el caso sigue sin confirmarse. ZachXBT dijo que los fondos se transfirieron en USDC y USDT, y que el USDC se convirtió en ETH, una secuencia parecida a las primeras etapas del caso de Binance.
Según ZachXBT, los fondos también pasaron por servicios de intercambio instantáneo como WellWallet y Kyrrex antes de convertirse en Monero a través de un servicio llamado Wagyu. Estos servicios permiten cambiar tokens con rapidez. Monero oculta por defecto quién envía y recibe una transacción, así como su importe. Cuando los fondos pasan a Monero, rastrearlos mediante los registros públicos de la blockchain se vuelve considerablemente más difícil.
Los saldos restantes podrían aumentar la oferta disponible
TRM calcula que los atacantes de Binance aún controlaban más de 420.000 ETH y 18.270 BTC, con un valor combinado de unos 2.400 millones de dólares. Estos activos no están sujetos directamente a los mecanismos de congelación de los emisores de stablecoins. Si grandes cantidades de ETH o BTC llegaran al mercado, podrían aumentar la oferta disponible. Sin embargo, se desconocen el calendario y la vía de cualquier venta: los movimientos podrían distribuirse a lo largo de semanas o meses, por lo que los saldos actuales no demuestran que se avecine una liquidación concentrada.
He Yi, codirectora ejecutiva de Binance, afirmó que la plataforma había destinado más de 6.340 millones de dólares de fondos propios a cubrir los activos robados. Según la información disponible, el plan incluye compras mediante operaciones extrabursátiles y transacciones en exchanges, que podrían generar demanda en el otro lado del mercado. El volumen, el calendario y la ejecución de esas compras siguen siendo relevantes para evaluar los flujos de fondos.
Binance ha dicho que asumirá las pérdidas y no ha comunicado a sus clientes que vayan a soportarlas. El incidente afectó a carteras calientes de la propia plataforma, pero también pone de relieve que la seguridad de los activos depositados en un exchange depende de las medidas de protección de la empresa. Las congelaciones de stablecoins limitaron el movimiento de los fondos sustraídos en este caso y, al mismo tiempo, mostraron que los emisores pueden controlar los tokens almacenados en direcciones concretas.
Las transferencias y las congelaciones, bajo seguimiento
Los investigadores estarán atentos a las grandes transferencias desde las carteras de ETH y BTC de los atacantes, en particular a los movimientos hacia exchanges o canales extrabursátiles. TRM sigue las transferencias fragmentadas y las carteras en las que se reúnen los fondos. Un movimiento de gran tamaño podría indicar que los activos robados se acercan a una venta, aunque una transferencia por sí sola no significa que se hayan convertido en dinero.
Binance no ha detallado la causa completa del fallo que afectó a su sistema de firma. Una explicación pormenorizada del incidente será importante para valorar si otras plataformas afrontan riesgos similares. El posible robo a la entidad de la UE también está pendiente de confirmación por parte de la víctima o de los exchanges, así como de una cifra verificada de pérdidas; por ahora, los más de 106 millones de dólares son una estimación no confirmada. Cualquier actualización sobre los fondos congelados o recuperados modificaría también el cálculo de cuánto sigue bajo control de los atacantes.