Los investigadores y firmas del sector de las criptomonedas están compitiendo por rastrear miles de millones de dólares en efectivo digital robado tras lo que parece ser el mayor asalto de criptoactivos en la historia. El jueves 29 de octubre, comenzando alrededor de las 4 p.m. hora del Este, los hackers comenzaron a desviar aproximadamente $6.300 millones en criptomonedas desde billeteras pertenecientes a la plataforma de intercambio Binance. El robo abarcó múltiples cadenas de bloques y se ejecutó con una velocidad notable, drenando fondos en un período de aproximadamente 20 minutos según el análisis de TRM Labs.
En respuesta a la violación, Binance suspendió inmediatamente todos los depósitos y retiros para facilitar su investigación. La empresa declaró que está trabajando para identificar a los responsables y ha coordinado con otras empresas de criptomonedas para congelar aproximadamente la mitad de los fondos robados. Esta acción detuvo efectivamente cualquier movimiento adicional o intentos de retirar efectivo por una parte significativa de los activos, aunque gran parte de la criptomoneda restante puede ser imposible de recuperar.
Tres grandes firmas de rastreo de criptomonedas han vinculado el ataque a hackers norcoreanos, señalando específicamente al notorio grupo conocido como TraderTraitor. Tom Robinson, científico jefe y cofundador de Elliptic, señaló que si Corea del Norte es realmente responsable, este solo robo duplicaría casi la cantidad total que el régimen ha robado en criptomonedas hasta la fecha. Si bien ni Binance ni los funcionarios de aplicación de la ley han nombrado oficialmente a un sospechoso, los investigadores destacan superposiciones significativas con ataques anteriores atribuidos a TraderTraitor.
TRM Labs detalló la metodología del atacante, revelando que la preparación comenzó al menos 36 horas antes del robo. El grupo probó su código en dos billeteras a principios del 29 de octubre y ensayó la versión final en una tercera billetera más tarde ese día antes de redirigir los fondos de prueba hacia sí mismos. Cuatro horas después de este ensayo, el mismo código se instaló en una billetera caliente de Binance, que son cuentas conectadas a internet utilizadas por las plataformas para manejar los retiros de los clientes. El ataque drenó estas billeteras calientes en al menos diez cadenas de bloques, incluidas Ethereum, Bitcoin, Tron y Solana.
TraderTraitor se ha hecho conocido por atacar empresas de criptomonedas y finanzas descentralizadas con ataques sofisticados y de alto perfil. El año pasado, el FBI atribuyó un hackeo de $1.500 millones contra la plataforma Bybit a este grupo. Rafe Pilling, director senior de inteligencia de amenazas en Sophos, describió al grupo como artistas en la infiltración de organizaciones de finanzas distribuidas, señalando su historial de desarrollar aplicaciones falsas para obtener acceso.
Chainalysis y TRM Labs basaron su atribución tanto en el análisis de actividad on-chain como off-chain. Los investigadores de Chainalysis observaron en tiempo real que los fondos robados a Binance se mezclaban con fondos de un exploit de Bitget del mes pasado, que ya había sido atribuido a actores norcoreanos. Robinson de Elliptic agregó que el atacante financió su billetera a través de Tornado Cash y ensayó el ataque con antelación, reflejando tácticas utilizadas en el incidente de Bybit.
Binance sugirió inicialmente que el incidente de seguridad involucraba la laptop comprometida de un ingeniero, pero más tarde descubrió puntos adicionales de violación en un ataque complejo. La empresa se ha comprometido a cubrir todas las pérdidas derivadas del hackeo mientras coopera con las autoridades policiales. Sin embargo, los esfuerzos de recuperación enfrentan obstáculos significativos; si bien aproximadamente $2.800 millones, o el 44 por ciento del monto total robado, han sido congelados —compuestos principalmente por stablecoins—, los restantes $3.300 millones son principalmente Bitcoin, Ether y XRP.
Robinson explicó que estos activos específicos no pueden ser congelados directamente y solo pueden detenerse cuando llegan a una plataforma de intercambio u otro servicio. Aunque algunos fondos pueden ser capturados en los próximos meses, los expertos no esperan que la parte congelada aumente significativamente más allá de lo actual. Los investigadores de Chainalysis notaron patrones de lavado de dinero sin precedentes, con miles de transacciones procesadas rápidamente utilizando automatización para oscurecer el rastro de los fondos robados.
Fuentes: WIRED.