El hackeo de Binance, valorado en 6.300 millones de dólares, ha acelerado la preocupación de que la próxima ola de robos de criptomonedas esté aún más coordinada —y sea más disruptiva— que todo lo que la industria ha visto hasta ahora. Tras el ataque, la firma de inteligencia blockchain TRM Labs afirma que se apresuró a identificar a los perpetradores y señala pruebas que vinculan el incidente con TraitorTrader, un grupo de hackers vinculado al Estado norcoreano.
Mientras tanto, Binance describió la vía de intrusión en un análisis posterior publicado el 3 de noviembre. Según explicó, los atacantes se hicieron pasar por reclutadores para instalar malware en el ordenador de trabajo de un ingeniero y luego aprovecharon una herramienta interna de IA comprometida para acceder a las funciones de firma de billeteras. Ari Redbord, responsable de políticas de TRM Labs, declaró a Cointelegraph que, aunque la respuesta coordinada de la industria fue inusualmente rápida, las organizaciones deberían esperar más intentos de este tipo.
Conclusiones principales
TRM Labs atribuye el hackeo de Binance al grupo norcoreano TraitorTrader y cita pruebas tanto on-chain como off-chain.
Binance dijo que los atacantes usaron «falsas entrevistas de trabajo» para instalar malware y luego aprovecharon una herramienta interna de IA comprometida para acceder al servicio de firma de billeteras.
Tether y otros emisores de monedas estables congelaron tokens por unos 2.670 millones de dólares tras el principal barrido de fondos; Tether congeló 971,1 millones de USDT en 37 minutos.
Según se informó, Beacon Network de TRM permitió inmovilizar fondos mucho más rápido de lo habitual en incidentes anteriores.
TRM advierte que incluso una coordinación sólida podría no impedir futuros hackeos y sostiene que los defensores deben pasar a la acción ofensiva y respaldada por los gobiernos.
Por qué importa el debate sobre la atribución
En los hackeos de criptomonedas de alto perfil, la atribución no es solo un titular: puede influir en cómo los exchanges, los emisores de monedas estables y las fuerzas del orden evalúan la exposición al riesgo y presionan a quienes participan en el proceso de blanqueo de fondos. TRM Labs dijo que fue una de las primeras entidades en atribuir el ataque a Binance a TraitorTrader, y anteriormente había vinculado al mismo grupo con un importante robo a Bybit en febrero de 2025.
En sus informes sobre el incidente de Binance, TRM presentó su conclusión como basada en pruebas «irrefutables» tanto on-chain como off-chain. Esto es importante para los participantes del mercado porque contribuye a orientar las evaluaciones de riesgos y las prioridades de respuesta a incidentes, especialmente cuando los fondos robados siguen circulando y las contrapartes deben decidir con qué intensidad congelarlos, vigilarlos o cooperar.
La versión de Binance sobre cómo entraron los atacantes
Binance dijo que la intrusión comenzó mediante ingeniería social. Según su análisis posterior, fechado el 3 de noviembre, los atacantes se hicieron pasar por reclutadores para infectar con malware el ordenador de trabajo de un ingeniero. Desde allí, presuntamente utilizaron una herramienta interna de IA comprometida para acceder al servicio de firma de billeteras del exchange.
Esta cadena de acontecimientos pone de relieve un patrón que se ha convertido en una preocupación central para las principales infraestructuras de criptomonedas: los atacantes combinan cada vez más tácticas dirigidas a personas con el acceso a herramientas internas, en lugar de depender únicamente de explotar directamente sistemas de acceso público.
Coordinación rápida y magnitud de las congelaciones de monedas estables
Según Ari Redbord, de TRM, uno de los aspectos más impactantes de la respuesta de Binance fue la rapidez y la magnitud del esfuerzo por impedir que los fondos robados pasaran a redes off-chain. Según se informó, Tether congeló 971,1 millones de USDT apenas 37 minutos después del principal barrido de fondos. TRM también estimó que, en conjunto, los emisores de monedas estables congelaron tokens por un valor aproximado de 2.670 millones de dólares.
Redbord calificó de inédita la acción coordinada con monedas estables y añadió que las primeras congelaciones permitieron al sector recuperar cerca del 40 % «desde el primer momento». En la práctica, la inmovilización rápida puede dar tiempo a los defensores, tanto para investigar como para tomar las medidas operativas necesarias para contener los fondos antes de que puedan convertirse, transferirse entre cadenas o dispersarse.
TRM también señaló su Beacon Network, un sistema de intercambio de información lanzado en 2025, como un elemento clave para facilitar una coordinación rápida. Redbord dijo que, aunque las alertas de Beacon suelen ser relativamente poco frecuentes, en los días cercanos al hackeo de Binance, según se informó, hubo cientos —quizá incluso hasta mil—, lo que refleja un gran aumento de la actividad sincronizada entre las organizaciones participantes.
De una respuesta coordinada a una amenaza persistente
Redbord, de TRM, sostuvo que, aunque la respuesta coordinada ha sido excepcionalmente sólida, a largo plazo quizá no disuada a los atacantes vinculados a Estados. Advirtió que la capacidad de Corea del Norte para robar sigue siendo eficaz y económicamente significativa.
Describió el robo del 29 de octubre como equivalente, aproximadamente, a un tercio del PIB del país y dijo que representaba la mitad de los 12.500 millones de dólares robados por hackers respaldados por Estados desde 2017. Incluso si solo se recuperaran 1.000 millones de dólares, argumentó, la posibilidad de obtener grandes beneficios seguiría siendo suficiente para sostener intentos repetidos.
Este contexto es importante para quienes siguen de cerca si las respuestas a las crisis «funcionan». El sector puede mejorar la detección y las operaciones de congelación, pero si el modelo de los atacantes es resistente —y si se siguen descubriendo vulnerabilidades ofensivas más rápido de lo que los defensores pueden corregirlas—, cada gran hackeo puede convertirse en un incentivo económico recurrente para los atacantes.
Qué cambió: herramientas de coordinación y límites de la defensa
El relato de TRM sugiere que la respuesta del sector está evolucionando: pasa de gestionar incidentes de forma aislada a compartir información de inteligencia con mayor rapidez. Beacon Network parece estar concebida como un mecanismo para reducir el tiempo entre la detección y la acción, y la descripción de Redbord da a entender que el hackeo de Binance desencadenó un ritmo operativo excepcionalmente intenso.
Al mismo tiempo, los informes externos citados en el artículo indican que una colaboración anterior de TRM, llamada T3 Financial Crime Unit y creada junto con Tron y Tether en septiembre de 2024, se disolvió a finales de agosto, según el informe de Bloomberg citado por Cointelegraph. La misma referencia señaló que, según fuentes, el cierre se debió a la lentitud de las respuestas y a una coordinación deficiente. Al parecer, Tether dijo que seguiría trabajando con TRM a través de Beacon.
En conjunto, la historia pone de relieve una tensión en el enfoque operativo del sector: las iniciativas de coordinación amplia pueden ser difíciles de mantener, pero los sistemas de intercambio de información más acotados y rápidos podrían ser más eficaces durante las crisis que evolucionan con rapidez.
Un giro hacia las medidas ofensivas
El responsable de políticas de TRM Labs fue más allá de la respuesta a incidentes. Sostuvo que detener los hackeos vinculados a Corea del Norte exige que los gobiernos emprendan acciones ofensivas, y no solo que las empresas privadas apliquen medidas defensivas. A juicio de TRM, Corea del Norte utiliza a los hackers como brazo del Estado, lo que cambia cuáles son las contramedidas adecuadas.
El informe de TRM sobre la brecha de capacidades, citado en el artículo, presenta el desafío como una brecha cada vez mayor entre atacantes y defensores. La empresa afirmó que esta diferencia se debe a que los atacantes adoptan pronto tecnologías de vanguardia, incluida la IA, y sostuvo que los equipos de cumplimiento normativo y de las fuerzas del orden necesitan capacidades de IA para detectar y corregir vulnerabilidades con suficiente rapidez como para seguir el ritmo.
La conclusión de Redbord fue contundente: pidió a los defensores que «contraataquen mediante hackeos», combinando operaciones cibernéticas ofensivas con acciones contra las redes de blanqueo de dinero y los canales bancarios que utilizan los atacantes para cobrar. Según su planteamiento, no se trata simplemente de ciberseguridad: es «guerra cibernética».
Mientras el sector asimila el análisis posterior de Binance y la atribución de TRM, es probable que las próximas preguntas de inversores y desarrolladores se centren en la implementación: si las redes de intercambio de información como Beacon pueden mantener congelaciones rápidas y a gran escala, y si los responsables políticos atenderán el llamado de TRM a adoptar medidas ofensivas en lugar de depender principalmente de una defensa reactiva.
Este artículo se publicó originalmente como «Un ejecutivo de TRM Labs califica el hackeo de Binance de evento de “guerra cibernética”» en Crypto Breaking News, tu fuente de confianza de noticias sobre criptomonedas, Bitcoin y novedades sobre blockchain.