El seguimiento en la blockchain indica que el equipo detrás del enorme hackeo de Binance de 2026 ha seguido moviendo y convirtiendo gran parte de los fondos robados vinculados a Solana, y que los flujos de blanqueo se canalizan cada vez más a través del protocolo de intercambio entre cadenas THORChain.
Según datos de Arkham citados en informes, las billeteras asociadas al grupo de «hackers de Binance» ahora tienen 182,443 SOL (unos 16,9 millones de dólares), y el grupo más amplio de atacantes ya ha movido aproximadamente el 81 % de los 970,522 SOL que, según se informó, fueron robados durante el exploit; una cantidad vinculada al menos a parte del circuito de blanqueo descrito por los investigadores.
Conclusiones clave
Los grupos de billeteras vinculados al hackeo de Binance, según Arkham, poseen 182.443 SOL, valorados en unos 16,9 millones de dólares.
El seguimiento citado por Lookonchain sugiere que los atacantes han avanzado en una secuencia de conversión que incluye SOL → USDC → puente a Ethereum → ETH → BTC a través de THORChain.
THORChain reanudó los swaps en varias redes tras una pausa provocada por una reorganización de bloques de Ethereum que dejó al descubierto un error en el mecanismo de reembolso.
Chainalysis ha señalado que la pausa retrasó involuntariamente la actividad de blanqueo, mientras que otros analistas de la cadena estiman que una gran proporción de las transacciones relacionadas fueron automatizadas.
Las autoridades atribuyeron el hackeo a actores vinculados a Corea del Norte, algo que funcionarios norcoreanos negaron, mientras los investigadores siguen vigilando el papel de THORChain en el blanqueo de fondos procedentes de otras brechas importantes.
Fondos de los atacantes y la «escalera de conversión»
Los patrones de movimiento más recientes surgen mientras los investigadores analizan cómo se dividen los activos robados entre billeteras, se convierten y se transfieren mediante puentes entre cadenas. La supervisión a nivel de entidad de Arkham, según se cita en el informe, vincula un grupo de billeteras con el exploit de Binance y sitúa sus tenencias de SOL en 182.443 SOL, aproximadamente el 18,8 % de los 970.522 SOL atribuidos al hackeo.
En su actualización del miércoles, Lookonchain describió una ruta de varios pasos utilizada por los atacantes: distribuyeron SOL entre varias billeteras y luego lo vendieron por USDC; después, transfirieron las ganancias en stablecoins mediante un puente a Ethereum para comprar ether (ETH). El último paso descrito consiste en intercambiar ETH por bitcoin (BTC) a través de THORChain, un exchange entre cadenas diseñado para permitir la conversión de activos sin depender de los libros de órdenes centralizados tradicionales.
Para los inversores y operadores, estos detalles son importantes porque ilustran cómo los hackers pueden convertir un gran botín de criptomonedas volátil en múltiples representaciones líquidas en distintos ecosistemas, a menudo antes de que los defensores puedan reaccionar o congelar los fondos. También ayudan a explicar por qué las vías de liquidez entre cadenas como THORChain suelen ser objeto de vigilancia durante incidentes importantes.
Detalles de la brecha de Binance y la búsqueda de responsables
Binance reveló que sus sistemas fueron vulnerados después de que los atacantes obtuvieran acceso a los dispositivos de empleados mediante señuelos de falsas entrevistas de trabajo y descargas de software malicioso. El exchange calificó el incidente como un hackeo sin precedentes y más tarde afirmó que había repuesto el 98 % de los tokens afectados y que asumiría las pérdidas restantes.
En el plano de la investigación, el sábado la Oficina Federal de Investigación de Estados Unidos (FBI) atribuyó el ataque a los hackers TraderTraitor de Corea del Norte e instó a los proveedores de servicios de criptomonedas —incluidos explícitamente los operadores de THORNode— a bloquear las transacciones vinculadas a los activos robados.
La respuesta de Corea del Norte fue inmediata. Kim Yo Jong, hermana del líder norcoreano Kim Jong Un, desestimó las acusaciones del FBI y las calificó de «retórica absurda», según la cobertura enlazada en las fuentes del informe.
Aunque las disputas sobre la atribución no son inusuales en casos de ciberataques, lo destacable aquí es la especificidad operativa: los reguladores e investigadores han presionado para que se bloqueen transacciones específicas en partes de la infraestructura entre cadenas, lo que sugiere que las autoridades creen que la ruta de blanqueo no es meramente incidental.
La pausa de los swaps de THORChain y por qué ralentizó (y luego reanudó) el blanqueo
La capacidad de THORChain para procesar swaps pasó a formar parte de la historia cuando se suspendieron los servicios y luego se restablecieron. La cobertura anterior citada en el informe señala que THORChain detuvo las operaciones con Bitcoin, Ethereum y otras cadenas tras un problema relacionado con Ethereum: una reorganización de bloques dejó al descubierto un error en el mecanismo de reembolso.
Cuando THORChain reanudó las operaciones el miércoles, el reinicio permitió que los swaps entre cadenas continuaran en varias redes. Chainalysis, según se cita en el informe, afirmó que la pausa retrasó involuntariamente la actividad de blanqueo vinculada a los atacantes de Binance, un dato práctico importante. Incluso cuando los hackers preparan planes de varios pasos, las interrupciones operativas en las vías de las que dependen pueden dar tiempo para la vigilancia, la coordinación y la posible aplicación de controles de riesgo.
Paralelamente, los analistas intentaron cuantificar el estilo operativo de los atacantes. SomaXBT estimó que alrededor del 54 % de las más de 47.600 transacciones de los atacantes en Tron y Solana fueron automatizadas, lo que subraya la probabilidad de que se usaran intercambios y distribuciones programados, en lugar de movimientos exclusivamente manuales.
Ampliación de las rutas de blanqueo y qué vigilar a continuación
El patrón de blanqueo descrito también apunta a una flexibilidad geográfica y entre cadenas. Según los informes, los hackers de Binance ampliaron su actividad a Solana el domingo, después de vaciar la mayoría de sus billeteras temporales de almacenamiento en Tron. Chainalysis estimó que por Tron se movieron en total unos 500 millones de dólares, incluidas transferencias repetidas entre billeteras, un comportamiento compatible con intentos de ocultar el origen de los fondos mediante movimientos rápidos e iterativos.
El informe también sitúa a THORChain dentro de una narrativa más amplia y persistente sobre el blanqueo. Se sospecha que grupos de hackers vinculados a Corea del Norte han usado THORChain para blanquear ganancias de otros hackeos importantes, incluido el ataque de 1.400 millones de dólares a Bybit mencionado en la fuente.
Para los lectores, la principal incógnita de cara al futuro es si las autoridades podrán interrumpir eficazmente la cadena de blanqueo sin perjudicar el uso legítimo de las operaciones entre cadenas. Los aspectos inmediatos que conviene vigilar son (1) si la conversión de activos robados sigue desplazándose hacia otros proveedores de liquidez y (2) con qué rapidez las herramientas de control operativo y vigilancia pueden identificar y disuadir el uso reiterado de rutas similares entre cadenas.
Este artículo se publicó originalmente con el título «Los hackers de Binance trasladan el 81 % de los SOL robados y usan THORChain para canalizar los fondos», en Crypto Breaking News, tu fuente de confianza para noticias sobre criptomonedas, Bitcoin y novedades sobre blockchain.