Corea del Norte hackeó Binance por $6.3 mil millones

TRM Labs ha atribuido el robo récord de $6.3 mil millones en Binance a TraitorTrader, un grupo de hackers norcoreanos ya vinculado a la brecha de $1.5 mil millones en Bybit en febrero de 2025. La firma de inteligencia blockchain citó lo que describió como pruebas irrefutables, tanto on-chain como off-chain, que conectan el ataque con operadores patrocinados por el Estado.

El análisis forense de Binance del 3 de noviembre reveló que los atacantes usaron ingeniería social para comprometer el dispositivo de trabajo de un ingeniero, haciéndose pasar por reclutadores para instalar malware. Los intrusos luego explotaron una herramienta interna de IA comprometida para acceder al servicio de firma de wallets del exchange.

Ari Redbord, director global de políticas y asuntos gubernamentales de TRM Labs, advirtió que, a pesar de una respuesta industrial sin precedentes, estos incidentes solo se intensificarán.

Congelamiento coordinado captura el 40 por ciento de los activos robados

La reacción de la industria ante la brecha de Binance marcó un punto de inflexión en velocidad y coordinación. Tether congeló 971.1 millones de USDt apenas 37 minutos después del primer barrido de fondos, como parte de un total combinado de $2.67 mil millones en stablecoins inmovilizados por múltiples emisores. Redbord enfatizó que ningún incidente previo había visto una acción tan rápida, con el 40 por ciento del monto robado bloqueado antes de que los hackers pudieran moverlo off-chain.

Beacon Network de TRM, lanzada en 2025 para facilitar el intercambio de inteligencia en tiempo real entre empresas, jugó un papel central en la respuesta. Redbord señaló que el volumen de alertas a través de la plataforma se disparó de un puñado típico por día a cientos, posiblemente mil, en los días posteriores al ataque. El sistema permitió a las empresas actuar en conjunto, inmovilizando fondos antes de que pudieran iniciarse esfuerzos de incautación.

El impulso de coordinación siguió a la disolución a finales de agosto de la T3 Financial Crime Unit, una alianza que TRM había establecido con Tron y Tether en septiembre de 2024. Bloomberg informó el 4 de noviembre que respuestas lentas y mala coordinación llevaron a la disolución del grupo. Tether confirmó que mantendría su colaboración con TRM a través de Beacon Network.

Redbord advirtió que incluso los esfuerzos exitosos de recuperación pueden no disuadir futuros ataques. El robo del 29 de octubre representó aproximadamente un tercio del PIB de Corea del Norte y la mitad de los $12.5 mil millones robados por hackers patrocinados por el Estado desde 2017. Incluso si los atacantes sólo recuperan $1 mil millones del hackeo a Binance, el posible retorno sigue siendo lo suficientemente sustancial como para justificar la continuación de sus operaciones.

Llamado a operaciones ofensivas lideradas por el gobierno

Redbord argumentó que las medidas defensivas por sí solas no pueden contrarrestar campañas de hacking patrocinadas por el Estado. Solicitó que los gobiernos respondan con operaciones cibernéticas ofensivas dirigidas a la infraestructura de hacking de Corea del Norte, así como a las redes de lavado y las instituciones financieras que los hackers utilizan para convertir los activos robados en moneda utilizable.

El informe de brecha de capacidades de TRM identificó una creciente disparidad entre atacantes y defensores, impulsada por la rápida adopción de tecnologías emergentes como la IA por parte de los hackers. Redbord subrayó que las fuerzas de seguridad y los equipos de cumplimiento requieren capacidades de IA para identificar y remediar vulnerabilidades al mismo ritmo que sus adversarios las explotan.

Enmarcó la situación como un conflicto que requiere una respuesta de nivel militar. Los gobiernos deberían responder con ciberataques cada vez que Corea del Norte lleve a cabo un hackeo, señaló, caracterizando la campaña en curso como una guerra cibernética más que una actividad criminal. Sin acciones ofensivas dirigidas al aparato estatal detrás de estas operaciones, argumentó, Corea del Norte seguirá explotando las recompensas financieras mientras el modelo siga siendo efectivo.