Introducción: un robo masivo de criptomonedas y una pista inesperada
El 29 de octubre de 2026, se robaron aproximadamente 6.360 millones de dólares de billeteras de Binance en 10 cadenas de bloques, y la mayor parte de los fondos se transfirió en unos 20 minutos. TRM Labs informó estas cifras a través de su investigación de la cadena de bloques.
Sin embargo, otro detalle llamó la atención: un posible error en una transacción de MetaMask que podría haber dejado un rastro para los investigadores. En debates virales se sugirió que una casilla marcada delató al hacker, pero esta teoría aún no está confirmada.
Fuentes: TRM Labs; Reuters; análisis de un desarrollador independiente.
1. La afirmación viral: ¿quedó expuesto el hacker por una sola casilla de verificación?
La afirmación sugiere que el atacante cometió un simple error al procesar una transacción a través de MetaMask. Sin embargo, no se ha identificado a ninguna persona a raíz de este supuesto error.
La teoría de la casilla de verificación surgió del análisis de un desarrollador independiente, no de un anuncio oficial de una investigación. Una revisión forense independiente de GCSA también advirtió que la teoría sigue siendo especulativa.
Fuentes: análisis de un desarrollador independiente; investigación forense de GCSA.
2. La transacción inusual: pagar las tarifas de gas en USDT en lugar de ETH
Un desarrollador independiente que examinaba las transacciones del atacante observó que la billetera había usado Gas Station de MetaMask para pagar las tarifas en USDT, pese a tener ETH.
Esta transacción inusual llamó la atención porque involucraba la infraestructura de MetaMask. Sin embargo, tener ETH disponible no demuestra que elegir USDT haya sido accidental.
Fuentes: análisis de un desarrollador independiente; investigación forense de GCSA; documentación de MetaMask.
3. Gas Station de MetaMask: cómo una transacción podría dejar un rastro digital
Gas Station de MetaMask procesa transacciones a través de la infraestructura de su servicio. Esto planteó la posibilidad de que los registros del servidor contuvieran información técnica útil, posiblemente incluso una dirección IP.
Según se informa, el desarrollador pidió a MetaMask que conservara los registros pertinentes. Sin embargo, no hay confirmación de que se obtuviera una dirección IP ni de que el servicio identificara al atacante.
Fuentes: análisis de un desarrollador independiente; investigación forense de GCSA.
4. La magnitud del incidente: entender las cifras
Según los informes iniciales y las actualizaciones posteriores:
6,36 mil millones de dólares: cantidad estimada robada, según TRM Labs.
20 minutos: tiempo aproximado en que se realizó la mayoría de las transferencias.
10 cadenas de bloques: redes afectadas, según TRM Labs.
Aproximadamente entre 2,7 y 2,85 mil millones de dólares: fondos congelados o incautados, según TRM Labs y Elliptic.
Descenso del precio de Bitcoin: aproximadamente un 5 %, según se informó en el material de origen original.
6 mil millones de dólares: reserva financiera que, según Binance, tenía para cubrir las pérdidas.
La congelación de las monedas estables robadas por parte de Tether y Circle demostró cómo los emisores centralizados pueden intervenir durante incidentes de seguridad importantes.
Fuentes: TRM Labs; Elliptic; comunicados de Binance; Al Jazeera (según se indica en el PDF original).
5. ¿Quién está detrás del ataque?
TRM Labs y Chainalysis vincularon inicialmente el ataque con TraderTraitor, grupo asociado al Grupo Lazarus de Corea del Norte.
El 1 de noviembre de 2026, el FBI atribuyó oficialmente el robo al grupo TraderTraitor de Corea del Norte, lo que reforzó la atribución más allá de las evaluaciones previas de análisis de cadenas de bloques.
Sin embargo, identificar a un grupo de hackers responsable no necesariamente revela quiénes fueron los operadores individuales detrás del ataque.
Fuentes: TRM Labs; Chainalysis; atribución pública del FBI, según informó BleepingComputer.
6. La gran lección de seguridad: la velocidad puede crear vulnerabilidades
Según los informes, el ataque requirió varios días de preparación, pero la mayoría de las transferencias de fondos se realizó en apenas unos 20 minutos.
La inusual transacción de MetaMask podría ofrecer una pista para la investigación, aunque no se ha demostrado que se debiera a un error humano.
El incidente pone de relieve por qué la seguridad de las criptomonedas debe abarcar no solo las transacciones en la cadena de bloques, sino también los sistemas internos, la infraestructura de las billeteras, los servicios de transacciones y la seguridad operativa.
Fuentes: TRM Labs; análisis de un desarrollador independiente; investigación forense de GCSA.
7. ¿Qué sucederá ahora?
Los investigadores aún deben determinar si los registros pertinentes de los servidores de MetaMask contienen pruebas útiles, si se registró algún identificador técnico y si esos registros pueden vincularse con los responsables.
Una mayor cooperación entre los exchanges, las empresas de análisis de cadenas de bloques, los proveedores de infraestructura y las fuerzas del orden podría ayudar a descubrir más pruebas.
Fuentes: investigación forense de GCSA; TRM Labs.
Conclusión: una posible pista no equivale a una identificación confirmada
El hackeo de Binance demuestra cómo los ciberataques sofisticados pueden dejar rastros digitales inesperados. La inusual transacción de tarifas de gas en USDT y los posibles registros de los servidores de MetaMask podrían aportar pistas útiles para la investigación, pero la teoría de la casilla de verificación no se ha confirmado.
El FBI ha atribuido el ataque al grupo TraderTraitor de Corea del Norte, pero identificar a los operadores individuales es un desafío aparte.
La gran pregunta sigue siendo: ¿podría una transacción inusual ayudar algún día a los investigadores a descubrir quiénes están detrás del mayor robo de criptomonedas de la historia?
#BinanceProcesses$4.65BWithdrawals #WithdrawalsBack: 15 networks live #BinanceUpdatesProofofReservesAddresses