El FBI señala a TraderTraitor

El FBI identificó a piratas informáticos estatales de Corea del Norte como responsables del mayor robo de activos digitales registrado, y el 31 de octubre dio a la operación el nombre de TraderTraitor, dos días después de que salieran sin autorización unos 6.340 millones de dólares de las carteras de Binance. La propia divulgación del incidente por parte del exchange, publicada como informe provisional de investigación, describe una intrusión que se desarrolló por etapas desde junio hasta finales de octubre. Según el relato de Binance, la cadena de acontecimientos comenzó en junio, cuando un ingeniero de software intentó instalar una herramienta de IA para programar y, en el proceso, descargó un instalador de Homebrew infectado con un troyano. La empresa detectó la anomalía, retiró el equipo y cambió las credenciales vinculadas a este. El atacante siguió al acecho. En septiembre, un ingeniero cuyo vínculo con Binance era visible en una plataforma de empleo recibió una propuesta de contratación de un falso responsable de selección, participó en una entrevista por videollamada y recibió una tarea de desarrollo con malware oculto en el archivo. Para el 20 de octubre, según informó el exchange, el intruso había usado la estación de trabajo infectada y las herramientas internas de IA para obtener los privilegios del personal de operaciones de carteras, y había identificado el token de acceso de un empleado con permisos para desplegar contenedores. El 29 de octubre se usaron las credenciales robadas para acceder al ordenador de otro empleado, desplegar un contenedor y ejecutar un script malicioso. Después, se accedió al sistema interno de firma de carteras y se aprobaron transacciones al margen del proceso estándar de retiro. Binance ha cifrado en unos 6.340 millones de dólares los activos afectados y ha dicho que asumirá la pérdida en lugar de trasladarla a los usuarios. La empresa también reconstruyó los sistemas de carteras y las herramientas internas de IA que formaban parte de la ruta del atacante. El FBI ya había usado el nombre TraderTraitor para el robo de 1.500 millones de dólares a Bybit en 2025, lo que convierte la pérdida de Binance en la segunda operación atribuida al mismo grupo y, al superar en más de cuatro veces el monto de Bybit, en el mayor botín individual de la historia del sector.

Del Colegio Mirim al puente Ronin

La capacidad detrás de la brecha no se construyó de la noche a la mañana. Corea del Norte empezó a seleccionar a estudiantes talentosos de matemáticas y ciencias para trabajar en ciberseguridad en la década de 1980, décadas antes de que existiera Bitcoin. Una tesis de 2004 de la Escuela Naval de Posgrado de EE. UU. señala que la Academia Mirim se fundó en 1984 y se convirtió en el Colegio Mirim de cinco años en 1986, y que admitía a los mejores graduados de secundaria y a soldados en servicio para estudiar informática, programación y guerra electrónica. La empresa de seguridad DTEX informa que los estudiantes de la Escuela Secundaria Geumseong n.º 1 reciben unas 1.660 horas de formación informática a lo largo de seis años, que abarcan Linux, C y C++, Windows, redes e inteligencia artificial; los graduados más destacados pasan a la Universidad Kim Il Sung o a la Universidad de Tecnología Kim Chaek. En 2024, las fuerzas armadas de Corea del Sur estimaron que la fuerza laboral de guerra cibernética del país rondaba las 8.400 personas, incluidos los hackers y el personal de apoyo. Las primeras operaciones tenían como objetivo obtener inteligencia y causar interrupciones, no ganar dinero. El Departamento de Justicia de EE. UU. ha vinculado a actores relacionados con Corea del Norte con el ataque informático de 2014 a Sony Pictures, el atraco de 2016 al Banco de Bangladesh, que extrajo 81 millones de dólares del sistema de pagos conectado a SWIFT, y la oleada del ransomware WannaCry de 2017. Los activos digitales ofrecieron entonces algo que el sistema bancario no podía: un valor que cruza una frontera en el momento en que se incauta una billetera de un exchange o la autoridad para realizar transferencias. El FBI atribuye a Lazarus y APT38 el robo de unos 620 millones de dólares en 2022 del puente Ronin del juego Axie Infinity, y a TraderTraitor la brecha de Bybit de 1.500 millones de dólares en 2025. Un tercer canal pasa por el empleo. En 2025, el Departamento de Justicia afirmó que trabajadores vinculados a Corea del Norte habían conseguido empleos remotos en más de 100 empresas estadounidenses usando identidades falsas o robadas, cobrando salarios y, en algunos casos, accediendo a datos confidenciales. Un informe de 2025 del Equipo Multilateral de Supervisión de Sanciones concluyó que probablemente los fondos robados a Bybit se habían convertido por completo en efectivo para septiembre de ese año mediante intermediarios en China, Rusia, Hong Kong y Camboya.

Solo el 1 % provino de fallos en el código

Las cifras explican la elección de los objetivos. El recuento de TRM Labs sitúa el total acumulado de criptomonedas robadas por Corea del Norte en unos 12.800 millones de dólares desde 2017, de los cuales 7.400 millones se sustrajeron este año hasta octubre, aproximadamente el 85 % de las pérdidas globales por hackeos. De los 100 ataques atribuidos al país, solo 13 aprovecharon vulnerabilidades en el código de contratos inteligentes, y estos representaron cerca del 1 % del valor robado; si se incluye Binance, el 88 % del dinero provino de claves privadas, servidores y sistemas de firma comprometidos. El análisis posterior al incidente de Binance encaja con ese patrón en cada etapa: un pretexto de reclutamiento, una herramienta de desarrollo infectada, el acceso a credenciales y, finalmente, la intrusión desde dentro en un sistema de firma de billeteras. Para los usuarios, la lección tiene tanto que ver con la elección de la plataforma como con la autocustodia; por eso, al comparar los mejores exchanges de criptomonedas, los controles de custodia merecen tanto peso como las comisiones.