Corea del Norte niega estar detrás del robo a Binance y califica de «grave provocación política» las acusaciones de Estados Unidos contra un grupo de hackers vinculado al país. Mientras tanto, Elliptic calcula que se han congelado o recuperado unos 2.850 millones de dólares de los 6.430 millones sustraídos, pero alrededor de 3.240 millones siguen en direcciones relacionadas con el ataque. El dinero se ha movido por varias redes y miles de carteras, lo que complica su seguimiento y recuperación.
Kim Yo Jong rechaza la atribución de Estados Unidos
Kim Yo Jong, hermana del líder norcoreano Kim Jong Un, criticó al FBI por atribuir el ataque a TraderTraitor, un grupo de hackers vinculado a Corea del Norte. Según medios estatales norcoreanos, afirmó que el FBI intenta presentar al país como un «Estado dedicado al ciberdelito» y acusó a Washington de manipular a la opinión pública internacional.
Pyongyang niega su responsabilidad, mientras que Estados Unidos mantiene su atribución. Más allá de la disputa sobre la autoría, la evolución de los fondos y la cantidad que puede recuperarse siguen siendo cuestiones centrales para los usuarios de Binance y para el conjunto del mercado cripto.
Unas 12.000 carteras en cuatro días
En un análisis publicado el lunes, Elliptic indicó que los responsables movieron los fondos a través de unas 12.000 carteras en 11 cadenas de bloques durante los cuatro primeros días tras el ataque. Realizaron más de 40.000 transacciones y activaron, de media, una cartera nueva cada 25 segundos. La firma describió la operativa como un proceso de transferencias automatizado y sofisticado.
Una parte importante del dinero pasó primero por la red Tron. Después se dividió entre unas 7.700 direcciones y se encaminó a Ethereum mediante puentes entre cadenas. Según Elliptic, al menos 147 millones de dólares salieron de Tron a través de esos puentes. El paso de activos entre redes amplía el alcance de la investigación: es necesario seguir direcciones y transacciones en distintas cadenas de forma conjunta.
Conversión de stablecoins y movimientos entre redes
Los atacantes utilizaron exchanges descentralizados para convertir stablecoins robadas en activos que sus emisores no podían congelar, entre ellos ether. Elliptic estima que se convirtieron unos 786 millones de dólares en stablecoins antes de que emisores como Tether y Circle congelaran los activos restantes.
Chainalysis señaló que actores vinculados a Corea del Norte iniciaron una nueva fase de blanqueo tras mover más de 500 millones de dólares a través de carteras intermediarias en Tron. Los fondos también se han distribuido en otras cadenas, entre ellas Solana. Elliptic detectó indicios iniciales de mezcla de bitcoin: a primera hora del lunes, unos 28 BTC, valorados en cerca de 2,2 millones de dólares, habían pasado por 18 operaciones de mezcla. Esta práctica puede dificultar el rastreo, aunque la información divulgada hasta ahora no apunta a que esos activos se hayan convertido en moneda fiduciaria.
Se ha congelado o recuperado el 44% de los fondos
Sobre una estimación de 6.430 millones de dólares robados, Elliptic calcula que se han congelado o recuperado unos 2.850 millones, equivalentes al 44%. Alrededor de 3.240 millones permanecen en direcciones vinculadas al ataque, principalmente en bitcoin y ether. La firma afirma que, hasta ahora, solo parece haberse convertido en dinero efectivo una parte muy pequeña; la mayoría de los movimientos corresponde a transferencias o conversiones entre criptoactivos.
Elliptic indicó que los fondos se están moviendo más despacio que tras el ataque de 1.500 millones de dólares a Bybit en febrero de 2025, cuando los hackers norcoreanos transfirieron todo el ether robado en un plazo de diez días. La firma considera que los fondos restantes de Binance podrían convertirse gradualmente en bitcoin durante varios meses, con posibles retiradas de dinero a través de intermediarios extrabursátiles o exchanges. Se trata de una hipótesis sobre posibles vías futuras, no de movimientos que ya se hayan confirmado.
Binance restablece las retiradas de forma gradual
Binance afirmó que está reanudando las retiradas por fases y advirtió a los usuarios sobre estafadores que aseguran poder acelerar las transacciones o gestionar compensaciones. El exchange también señaló que ha cubierto cerca del 95% del importe afectado. El 5% restante corresponde a tokens con menor liquidez, cuya obtención llevará más tiempo; la plataforma trabaja con socios del sector para conseguirlos.
Para los usuarios, las prioridades inmediatas son el ritmo de restablecimiento de las retiradas y la obtención de los activos pendientes. Para las firmas de análisis, los movimientos entre cadenas y las conversiones siguen dificultando la recuperación. La cifra de Binance refleja la respuesta de la plataforma, mientras que las estimaciones de las firmas de análisis describen el estado de los fondos robados en la cadena: miden aspectos distintos y no deben considerarse equivalentes.