Una respuesta coordinada en la que participaron emisores de stablecoins, agencias de aplicación de la ley de EE. UU., empresas de análisis de blockchain, redes y plataformas de trading congeló o incautó entre aproximadamente 2.800 y 3.000 millones de dólares en criptoactivos vinculados al robo de Binance de 6.300 millones de dólares reportado, en cuestión de días tras el ataque, según Chainalysis y Elliptic.
La respuesta se concentró en las stablecoins, donde los emisores pueden incluir direcciones en listas negras y detener transferencias. Tether congeló más de 1.567 millones de USDT, mientras que Circle bloqueó unos 823 millones de dólares en USDC, dejando más de 2.300 millones de dólares de las tenencias de stablecoins robadas fuera del alcance del atacante. Elliptic dijo que el monto congelado o incautado que había verificado alcanzaba unos 2.850 millones de dólares, frente a pérdidas totales estimadas de 6.430 millones de dólares.
La escala de la intervención refleja cómo los esfuerzos de recuperación dependen cada vez más de una coordinación rápida entre blockchains públicas y no de los controles internos de una sola empresa. Gran parte del cripto robado restante consistía en activos como ETH y BTC, que carecen de un emisor capaz de congelar saldos directamente.
Los emisores de stablecoins actuaron en cuestión de minutos
La acción de Tether representó la mayor parte de los activos congelados. La empresa bloqueó transferencias por más de 1.567 millones de USDT después de que los fondos llegaran a lo que el rastreo de blockchain identificó como la cartera principal de Ethereum del atacante. Los informes iniciales identificaron una congelación de aproximadamente 1.180 millones de USDT, seguida 17 minutos después por una segunda acción que afectó a cuatro direcciones vinculadas al atacante.
Circle congeló más de 800 millones de dólares en USDC vinculados al mismo incidente, y el total reportado alcanzó aproximadamente 823 millones de dólares. La acción sobre USDC siguió a la primera congelación de Tether por unos tres minutos y se coordinó con las fuerzas del orden, según el material proporcionado.
En conjunto, las congelaciones de USDT y USDC cubrieron alrededor del 94 % de las stablecoins identificadas entre los activos robados, concentradas en gran medida en Ethereum y TRON. El resultado demuestra los límites prácticos que enfrentan los atacantes que roban stablecoins emitidas centralmente: pueden controlar claves privadas, pero la transferibilidad puede desaparecer una vez que un emisor incluye una cartera en la lista negra.
El FBI atribuye la operación a TraderTraitor
La unidad de ciberdelincuencia del FBI atribuyó el robo a un grupo norcoreano que opera bajo la etiqueta TraderTraitor en un aviso público fechado el 31 de octubre. La oficina identificó más de 600 direcciones de Ethereum, casi 20 direcciones de Bitcoin y una dirección de Solana como vinculadas a la actividad.
Tras la atribución, el FBI, el Servicio Secreto de EE. UU. y la Investigación Criminal del IRS instaron a proveedores de infraestructura y empresas de criptomonedas a bloquear las transacciones asociadas con las carteras incluidas en la lista y cualquier dirección relacionada. La solicitud abarcó nodos de THORChain, operadores de llamada a procedimiento remoto (RPC), servicios de intercambio instantáneo, protocolos DeFi, empresas de análisis de blockchain y proveedores de servicios de activos virtuales.
El Servicio Secreto de EE. UU. dijo que había contactado con participantes del sector a los pocos minutos del incidente. También dijo que fiscales federales en Washington D. C. y el Distrito Central de California participaron junto con componentes del Departamento de Justicia.
Las operaciones de piratería norcoreanas han recurrido repetidamente a intercambios rápidos de activos, transacciones de puente y un gran número de carteras recién creadas para dificultar el rastreo. En este caso, la velocidad de las primeras congelaciones parece haber impedido que una parte sustancial del saldo en stablecoins pasara por ese proceso.
El rastreo se amplió de cientos a miles de carteras
Las empresas de inteligencia blockchain Elliptic, Chainalysis, TRM Labs y SlowMist recopilaron datos de direcciones y monitorearon el movimiento de los activos robados. Elliptic publicó una lista negra descargable que creció de cientos de direcciones a miles y, más tarde, a decenas de miles, a medida que los investigadores seguían las transacciones a través de nuevas carteras.
Chainalysis informó de que se habían congelado unos 2800 millones de dólares alrededor de las 11:30 a. m. hora del Este del 3 de noviembre. La firma dijo que los investigadores compartieron pistas con socios del sector para identificar y bloquear activos, y advirtió de que el uso de miles de direcciones por parte del atacante podría ampliarse a decenas de miles durante las semanas siguientes.
TRM Labs afirmó tener una alta confianza en la atribución a TraderTraitor, citando patrones que comparó con la brecha de Bybit de 2025 y el caso KelpDAO de abril de 2026. SlowMist describió una secuencia de ataque que implicaba EIP-7702, un estándar de Ethereum que puede permitir que una cuenta de propiedad externa use temporalmente código de contrato inteligente. Según SlowMist, el atacante ensayó durante horas antes de usar la técnica en un robo por lotes dirigido a tokens de carteras calientes.
El ataque reportado se situaría como el mayor robo de criptomonedas registrado, superando en más de cuatro veces los aproximadamente 1500 millones de dólares robados a Bybit en febrero de 2025. La comparación también muestra cuánto mayor se vuelve el desafío operativo cuando los atacantes comienzan con miles de millones de dólares repartidos entre varias cadenas y tipos de activos.
Las redes utilizaron poderes de gobernanza de emergencia
Arbitrum y Optimism utilizaron medidas de emergencia lideradas por la gobernanza para mover tokens desde direcciones controladas por el atacante a carteras de congelación. El consejo de seguridad de Arbitrum transfirió aproximadamente 8.426 ETH y alrededor de 74,56 millones de ARB el 30 de octubre, activos valorados en unos 30,5 millones de dólares según el material proporcionado.
La gobernanza de Optimism movió aproximadamente 44 millones de OP, valorados en unos 5 millones de dólares. Estas intervenciones totalizaron cerca de 35 millones de dólares y muestran que algunas redes de capa 2 pueden actuar de forma más directa que las redes de capa base cuando las estructuras de gobernanza autorizan controles de emergencia.
World Liberty Financial congeló por separado activos vinculados al ataque, incluidos unos 27 millones de dólares en USD1 y aproximadamente 2 millones de dólares en WLFI. La organización dijo que planeaba trabajar con BitGo para gestionar los activos afectados.
Estas medidas pueden preservar activos durante un robo en curso, pero también colocan la autoridad de emergencia en manos de consejos de seguridad, votantes de gobernanza o emisores de tokens. Esa disyuntiva se ha vuelto cada vez más visible a medida que las redes diseñan defensas contra exploits a gran escala.
Los protocolos DeFi contuvieron los fondos prestados
El atacante también utilizó fondos robados en finanzas descentralizadas antes de que se aplicaran restricciones a nivel de protocolo. Los datos on-chain mostraron unos 60 millones de USDT depositados en Aave V3, seguidos de un préstamo de aproximadamente 19.762 WETH, valorados en unos 44,6 millones de dólares en ese momento.
Aave respondió pausando nuevos depósitos y préstamos en cientos de reservas de mercado operadas por DAO en V3 y V4. Los retiros, reembolsos y liquidaciones siguieron disponibles, lo que permitió a los usuarios reducir posiciones y mantener la salud de los mercados existentes mientras se detenía nueva exposición vinculada a garantías comprometidas.
Las plataformas centralizadas, incluidas OKX, Coinbase y Bybit, también participaron en medidas destinadas a interceptar transferencias desde carteras comprometidas. Los activos que siguen siendo movibles presentan una vía de recuperación más difícil, especialmente si llegan a mesas extrabursátiles, servicios de mezcla o rampas de salida de exchanges antes de ser identificados.
Se informó que el atacante conservaba el control de aproximadamente 420.000 ETH y 18.270 BTC, valorados en el material proporcionado en cerca de 2.400 millones de dólares. A diferencia de USDT, USDC y los tokens controlados por gobernanza, Bitcoin y Ether no pueden ser congelados por un emisor de tokens. Su recuperación dependería del rastreo, las incautaciones de activos o la identificación de un punto en el que los fondos entren en un servicio regulado dispuesto o obligado a actuar.
Descubre cómo los exchanges protegen los fondos tras exploits importantes en esta detallada guía de recuperación.
Aviso legal: El contenido de esta página se proporciona únicamente con fines informativos generales y no representa las opiniones ni el asesoramiento financiero de Toobit. No garantizamos la exactitud ni la integridad de esta información y no seremos responsables de ningún error, omisión o resultado derivado de su uso. Invertir en activos digitales implica riesgos; los usuarios deben evaluar de forma independiente su situación financiera y los riesgos asociados. Para obtener más detalles, consulte nuestros Términos de servicio y Divulgación de riesgos.
