Hackeo de Binance: el FBI señala a Corea del Norte y lista más de 600 direcciones

El FBI ha atribuido oficialmente a Corea del Norte el robo de más de 6.000 millones de dólares en Binance y ha publicado una lista de direcciones que han custodiado parte del botín. Para los tenedores en Alemania es, sobre todo, una noticia sobre blanqueo de capitales y sobre qué ocurre cuando unas monedas marcadas llegan algún día a un exchange regulado. Tus propios saldos en Binance no están afectados por la lista: el exchange afirma haber reemplazado el 90 % de las existencias que faltaban con fondos propios y haber reabierto los retiros.

Qué dice el comunicado del FBI del 31 de octubre

La policía federal de Estados Unidos publicó su comunicado el sábado 31 de octubre de 2026, junto con el Servicio Secreto y los investigadores fiscales de IRS Criminal Investigation. Según varias agencias de noticias, en él se afirma que Corea del Norte es responsable del robo de más de 6.000 millones de dólares en activos virtuales en el exchange de criptomonedas Binance, cometido el 29 de octubre de 2026 o en torno a esa fecha. El organismo identifica al grupo responsable como TraderTraitor.

Hay dos cosas en el comunicado que van más allá de la simple atribución. Primero, una lista de direcciones en tres blockchains por las que han circulado fondos robados. Segundo, la petición a toda una serie de empresas de bloquear transacciones con esas direcciones. El FBI cuenta con que los atacantes sigan moviendo el botín a través de servicios de finanzas descentralizadas y servicios de intercambio instantáneo.

Hasta ese sábado, la atribución era una valoración de firmas de análisis privadas. TRM Labs y Chainalysis habían dirigido el rastro hacia Corea del Norte muy pronto, y resumimos el estado de esa sospecha el 30 de octubre. Desde el 31 de octubre hay detrás un organismo que investiga el caso.

TraderTraitor: cómo el FBI vincula al grupo con Corea del Norte

TraderTraitor es el nombre que las autoridades estadounidenses emplean desde 2022 para una campaña de ataques norcoreana sostenida por el Estado contra empresas de criptomonedas. Lo característico no es la intrusión técnica, sino el camino hasta ella: ofertas de empleo falsas, documentación de candidatura y software de trading manipulados, y contactos con empleados cultivados durante meses. Según las autoridades, al mismo grupo se le atribuye también el robo de alrededor de 1.460 millones de dólares en Bybit en 2025.

La firma de análisis Elliptic, que sigue el caso en la blockchain desde la noche del 29 de octubre, había llegado a la misma valoración antes que el FBI. Su razonamiento se apoya en tres observaciones. Los fondos robados se blanquean junto con lo obtenido en el ataque a Bitget, que Elliptic también atribuye a Corea del Norte. Los atacantes usan los mismos servicios que en robos anteriores de TraderTraitor en BigONE, WOO X y AFX. Y operaron once blockchains en paralelo en unas tres horas, algo que, según Elliptic, solo unos pocos actores saben coordinar.

Un punto importante para situarlo: una atribución oficial no es una sentencia judicial, y tampoco es una decisión de sanción. Una atribución de este tipo dice hacia dónde apuntan las pruebas desde el punto de vista de los investigadores.

Más de 600 direcciones de Ethereum, casi 20 para Bitcoin, una para Solana

Según varios medios especializados, la lista del FBI abarca más de 600 direcciones en Ethereum, casi 20 direcciones en Bitcoin y una sola dirección en Solana. Esa distribución no es casual: sigue la composición del botín.

Elliptic cifra el robo en 6.430 millones de dólares, Binance habla de unos 6.300 millones y TRM Labs de unos 6.360 millones. La horquilla surge de los precios usados en el momento de la valoración y de qué salidas se imputan al ataque. Elliptic, por ejemplo, deja fuera expresamente 169 millones de dólares que salieron después de la suspensión de los retiros y que la firma considera traspasos internos de Binance.

Según el desglose de Elliptic, a Ethereum correspondieron 3.800 millones de dólares en 186 tokens distintos, entre ellos 1.900 millones en USDT y 823 millones en USDC. En Bitcoin salieron 18.270 BTC por valor de 1.480 millones de dólares. Por Tron circularon 612,7 millones de USDT y por el XRP Ledger 233 millones de XRP. También se vieron afectadas Solana, NEAR, Base, Optimism, Arbitrum, Avalanche y Polygon. Cuatro partidas sumaron juntas el 74 % del robo: USDT en Ethereum, bitcoin, USDC y USDT en Tron.

Que en Ethereum haya más de 600 direcciones y en Solana una sola dice, por tanto, menos de las blockchains que de la técnica de los autores. En Ethereum, un atacante reparte el botín en muchos pasos pequeños a través de contratos y direcciones auxiliares. Una sola transferencia en Ethereum movió valor por 2.530 millones de dólares el 29 de octubre a las 20:24 UTC.

THORNodes, nodos RPC y servicios de intercambio instantáneo: a quién se dirige la petición de bloqueo

Los destinatarios de la petición son inusualmente concretos. Según CoinDesk, el FBI, el Servicio Secreto e IRS-CI se dirigieron a empresas privadas, entre ellas expresamente operadores de THORNodes y operadores de nodos RPC, además de servicios de intercambio instantáneo, servicios de finanzas descentralizadas, firmas de análisis de blockchain y otros proveedores de servicios de activos virtuales.

Un nodo RPC es el servidor a través del cual una cartera o una aplicación habla con una blockchain: acepta transacciones y las traslada a la red. Un THORNode es un nodo del protocolo THORChain, con el que se pueden intercambiar monedas entre blockchains sin un exchange en medio. Ninguno de los dos es un proveedor financiero en el sentido clásico, y ambos se sitúan en un punto en el que una transferencia se puede rechazar en la práctica antes de que llegue a la red.

Ahí está la verdadera novedad de este comunicado. Más allá de los exchanges y de los emisores de stablecoins, que pueden congelar saldos, las autoridades se dirigen a la infraestructura técnica que hay detrás. Quien opera un punto de acceso RPC cumple así una función que el legislador apenas ha abordado hasta ahora.

Una petición de bloqueo no es una incautación ni una sanción

La frase más importante sobre esta lista es la que describe lo que no consigue. El comunicado es una petición a las empresas, no una orden, y por lo informado hasta ahora no contiene ninguna decisión de sanción del Tesoro estadounidense que colocara las direcciones en la lista SDN, ni faculta a nadie para devolver saldos congelados a Binance o a sus clientes.

Es una diferencia con consecuencias prácticas. Una inclusión en una lista de sanciones obliga a toda empresa con vínculo estadounidense a abstenerse de operar con la dirección, y va más allá del derecho de Estados Unidos hasta alcanzar a bancos y proveedores de pagos. Una petición del FBI, en cambio, actúa a través de los departamentos de cumplimiento, del software de análisis y de la decisión de cada operador. Quien la sigue lo hace de forma voluntaria o porque su propio control antiblanqueo lo exige de todos modos.

Para devolver los fondos ya congelados hace falta una vía propia: resoluciones de incautación, procedimientos en los países de los respectivos emisores o acciones civiles. Esa parte del caso durará meses.

2.850 millones de dólares congelados: por qué las stablecoins están en otra situación que Bitcoin

Tras su propia revisión, Elliptic ha verificado 2.850 millones de dólares como congelados o asegurados, el 44 % del botín. Binance habla de unos 3.000 millones. Llama la atención la composición: el 94 % de la suma congelada son stablecoins.

La razón está en el diseño. Una stablecoin como USDT o USDC es una promesa de pago de una empresa plasmada en un contrato sobre una blockchain, y ese contrato conoce una función de bloqueo. Por eso Tether, Circle y Ripple pudieron inmovilizar con un clic los saldos de determinadas direcciones; el primer bloqueo de USDT se produjo la misma noche del ataque. En el protocolo Arbitrum intervino además el Security Council, y en Optimism, según varios informes, la gobernanza sacó fondos del alcance del atacante.

Las monedas nativas no funcionan así. En Bitcoin, XRP, Solana y NEAR no hay un emisor que pueda desactivar una dirección. Justamente esas tenencias siguen en manos del atacante, según el recuento de Elliptic: alrededor de 3.210 millones de dólares, entre ellos 519.104 ETH por valor de unos 1.160 millones de dólares y los 18.270 BTC por valor de unos 1.410 millones de dólares.

Esa resistencia a la censura es la misma propiedad que hace atractivo a Bitcoin para los inversores. En un robo trabaja en contra de los perjudicados. Una lista de bloqueo es, por tanto, la única herramienta que sirve de algo con las monedas nativas: no se pueden detener las monedas, solo las puertas por las que quieren entrar en el sistema financiero regulado.

EIP-7702: la delegación con la que firmaron los propios sistemas de Binance

Al día siguiente del ataque, Binance había señalado como posible vía de entrada el portátil comprometido de un ingeniero de DevOps, y al mismo tiempo declaró que en ese momento no había indicios de una clave privada filtrada. El análisis de Elliptic apunta a que el atacante no necesitaba una clave, sino una función que Ethereum solo conoce desde 2025. El desarrollo técnico en la hot wallet lo escribimos con detalle el mismo día del ataque.

EIP-7702 permite asignar por firma un contrato como representante a una cuenta normal. La cuenta se comporta después como una cartera programable. La función está pensada para la comodidad, por ejemplo para que una aplicación asuma comisiones o agrupe varios pasos en una transacción. Según Elliptic, una única transacción del 29 de octubre a las 20:20 UTC llevaba 50 de esas autorizaciones y entregó así el control de la hot wallet de Binance denominada «Binance 14» a un contrato sweeper, que después retiró los saldos por sí solo.

Un contrato sweeper es un programa que reenvía automáticamente a una dirección de destino los saldos entrantes o existentes. El consejero delegado de Binance, Richard Teng, dijo el 30 de octubre que el ataque «no lo ejecutó una sola persona». La primera transferencia desde carteras de Binance salió el 29 de octubre a las 20:05 UTC por el XRP Ledger, según la cronología de Elliptic.

Para los tenedores hay un punto notable en todo esto: el botín no salió del exchange porque fallara una blockchain, sino porque se eludió un proceso de autorización dentro de la empresa. Con una cartera de hardware en tus propias manos, esa autorización es tuya, y reside en un dispositivo que no acepta ninguna delegación que no hayas confirmado en la pantalla.

Aave, SunSwap y 546 transferencias: el blanqueo corre automatizado

Lo que hacen los atacantes desde el 30 de octubre explica por qué una lista de 600 direcciones queda desfasada rápido. Elliptic ha documentado varias vías por las que las stablecoins bloqueables se convierten en monedas que no se pueden bloquear.

434 millones de USDT se cambiaron por 160.451 ETH a través de exchanges descentralizados y creadores de mercado, con un descuento calculado del 12 al 26 % frente al precio de mercado. 59,9 millones de USDT entraron como garantía en el protocolo de préstamos Aave, contra lo que los atacantes tomaron prestados 19.762 ETH; Aave ha congelado los mercados afectados y el préstamo sigue abierto. Por Tron se cambiaron 234 millones de USDT en SunSwap por 638 millones de TRX, de los cuales entre 38 y 67 millones de dólares ya han salido de las direcciones que sigue Elliptic. Las tenencias de bitcoin corren por una peel chain, en la que de una suma grande se desgaja una parte pequeña en cada paso, repartida en 19 direcciones; según el estado de Elliptic, nada de eso ha llegado todavía a un proveedor de servicios.

El ritmo es especialmente revelador. La cartera de blanqueo principal en Tron emitió 546 transferencias a partir del 30 de octubre, con un intervalo mediano de 96 segundos y una pausa máxima de 39 minutos. Elliptic lo atribuye a software y escribe expresamente que no se puede determinar si hay agentes de inteligencia artificial implicados.

El consejero delegado de Chainalysis, Jonathan Levin, dijo a CoinDesk que los atacantes ya habían usado «miles de direcciones», y añadió: «Esperamos que en las próximas semanas sean decenas de miles». Ari Redbord, chief policy officer de TRM Labs, cuenta con que el botín se reparta y se cuele durante meses por exchanges más pequeños; ante la cadena australiana ABC calificó el robo en sí de «atraco a un banco, en este caso a la velocidad de internet». Ambas firmas subrayan que los fondos siguen siendo rastreables en tiempo real.

Monedas marcadas: cuándo se queda atascado un depósito en un exchange

La pregunta que de verdad afecta a los tenedores en Alemania en este caso es esta: ¿puede pasarme que las monedas de mi cuenta se consideren contaminadas porque en algún punto de su historia aparezca una de esas direcciones?

El término técnico para eso son las monedas marcadas, en inglés tainted coins: monedas cuyo origen rastreable toca una dirección señalada. El software de análisis con el que los exchanges revisan los depósitos asigna para ello un valor de riesgo, y además del remitente directo examina varias estaciones hacia atrás. Según el ajuste, basta una conexión indirecta a dos o tres pasos intermedios para que un depósito pase a revisión manual.

En la práctica, el riesgo para un comprador normal es bajo, pero no es nulo. Quien compra bitcoin en una plataforma regulada y lo custodia allí no tiene nada que ver con esa historia. Quien compra, en cambio, a través de exchanges descentralizados, servicios de intercambio instantáneo o comercio entre particulares se lleva consigo el historial de las monedas recibidas. Un importe que llegue por esa vía y se deposite después en un exchange puede quedar retenido temporalmente hasta que se aclare el origen.

En la práctica se ve así: la plataforma pide un justificante de origen, es decir, comprobantes de compra, extractos de cuenta o historiales de transacciones. Quien tiene esos documentos recupera por lo general su saldo. Quien no los tiene negocia con un departamento de cumplimiento. De esa mecánica se desprende el consejo sobrio de archivar los comprobantes de compra, al margen de este caso: los mismos documentos los necesitarás al final para Hacienda.

Supervisión antiblanqueo en Alemania: qué deben cumplir las plataformas MiCA

Para los proveedores que operan en Alemania rige, desde la plena entrada en vigor del reglamento MiCA, una red de obligaciones más densa que antes de 2025. Los proveedores de servicios de criptoactivos autorizados están sujetos a la ley de blanqueo de capitales, deben vigilar las transacciones, presentar comunicaciones de operaciones sospechosas a la Financial Intelligence Unit y retener provisionalmente activos cuando haya sospecha fundada.

Una lista del FBI no es un acto jurídico para una plataforma alemana, pero sí un indicio sólido. En cuanto un proveedor conoce una dirección atribuida por una autoridad, ya no puede alegar desconocimiento. En la práctica supervisora, eso lleva a que esas listas se incorporen en días a las reglas de revisión de los proveedores, incluso sin una orden de Bruselas o de Bonn.

Un segundo punto afecta a los emisores de stablecoins. Circle, emisor de USDC, y Tether, emisor de USDT, bloquearon fondos en este caso antes de que una autoridad lo pidiera. Bajo MiCA, los emisores de tokens de dinero electrónico necesitan autorización en la UE, y su práctica de bloqueo pasa así a formar parte de la actividad supervisada. Para los tenedores eso significa dos cosas: las stablecoins son la parte del mercado en la que es más probable recuperar lo robado, y son la misma parte en la que una instancia ajena puede inmovilizar técnicamente tu saldo.

Lista de bloqueo del FBI: 600 direcciones son solo el principio del rastro

La lista del FBI describe un estado intermedio a 31 de octubre, y Chainalysis cuenta ya con decenas de miles de direcciones. De ahí merece la pena dar tres pasos para tu propia cartera.

1. Revisa dónde están tus monedas y quién está regulado allí. Una plataforma con autorización en la UE está sujeta a la supervisión antiblanqueo y a la obligación de mantener separadas las tenencias de los clientes. Qué proveedores lo acreditan en Alemania figura en nuestro repaso de los exchanges de criptomonedas regulados.
2. Separa la tenencia a largo plazo del saldo de trading. Lo que quieras mantener durante años no tiene que estar en un exchange. El caso Binance muestra que incluso el proveedor más grande es un objetivo; que Binance cubra el daño con fondos propios fue una decisión de la empresa y no un derecho de los clientes. Las alternativas las compara nuestro repaso de las carteras de software.
3. Archiva los comprobantes de compra de cada posición. Los justificantes de origen son el único remedio frente a un depósito retenido, y son los mismos documentos que necesitas al cambiar de proveedor. Dónde se compra en Alemania y a qué costes lo muestra la comparativa de exchanges de criptomonedas.

Lo más importante queda abierto: si la petición se convertirá en una inclusión en la lista de sanciones. Si el Tesoro estadounidense pone las direcciones en la lista SDN, la situación pasa de voluntaria a obligatoria para toda empresa con vínculo estadounidense. Hasta entonces decide cada operador por su cuenta, y eso es precisamente lo que hace difícil medir el éxito de esta lista.

Las fuentes de este artículo: el análisis on-chain de Elliptic con el desglose por blockchain y la cronología del ataque, y el reportaje de la cadena australiana ABC sobre el comunicado del FBI con las declaraciones de TRM Labs. El propio comunicado del FBI está publicado en la web del organismo; fbi.gov rechaza las consultas automatizadas.

(1 de noviembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)