TraderTraitor, el grupo de Corea del Norte sospechado del hackeo a Binance

El grupo de hackers TraderTraitor, vinculado con Corea del Norte, es el principal sospechoso del robo de unos US$6.300 millones a Binance, la mayor plataforma de intercambio de criptomonedas. La firma de inteligencia blockchain TRM Labs atribuyó el ataque a esta organización con un alto grado de confianza, aunque la empresa afectada todavía no confirmó la identidad de los responsables.

El ciberataque ocurrió el jueves 29 de octubre y afectó billeteras digitales de Binance en diez redes blockchain. Según TRM Labs, la mayor parte del dinero salió en apenas 20 minutos, lo que convirtió al episodio en el mayor robo de criptomonedas registrado.

Binance informó que cerca de US$3.000 millones fueron congelados gracias al trabajo con otras compañías del sector. También aseguró que cubrirá las pérdidas con recursos propios y fondos de emergencia, mientras continúa la investigación.

Quién es TraderTraitor, el grupo señalado por el ataque

TraderTraitor no es una persona, sino una red de ciberdelincuentes vinculada con Corea del Norte que las autoridades estadounidenses investigan desde hace años. El FBI también identifica su actividad con los nombres Jade Sleet, UNC4899 y Slow Pisces.

Sus operaciones se caracterizan por apuntar a empleados de empresas que manejan criptomonedas para conseguir acceso a sus sistemas. En lugar de atacar directamente la tecnología blockchain, los delincuentes pueden aprovechar credenciales, dispositivos comprometidos y mecanismos de autorización de transferencias.

Los robos millonarios que ya le atribuyó el FBI

En febrero de 2025, el FBI responsabilizó a Corea del Norte por el robo de aproximadamente US$1.500 millones a la plataforma Bybit y vinculó esa operación con TraderTraitor.

El organismo también lo relacionó con la sustracción de US$308 millones a la firma japonesa DMM Bitcoin, en mayo de 2024. En ese caso, los investigadores reconstruyeron una maniobra que comenzó con un falso reclutador laboral que contactó por LinkedIn a un empleado de otra compañía tecnológica.

La supuesta oferta de trabajo incluía una prueba de programación maliciosa que permitió comprometer el equipo del trabajador. El acceso obtenido habría facilitado después la manipulación de una operación de criptomonedas.

Las pistas que relacionan al grupo con Binance

TRM Labs detectó similitudes entre los movimientos vinculados con el hackeo a Binance y operaciones anteriores atribuidas a TraderTraitor. Entre ellas aparecen la preparación anticipada de las transferencias y el uso de herramientas para dificultar el rastreo de fondos.

Binance señaló inicialmente que los atacantes podrían haber comprometido la computadora de un ingeniero, aunque después identificó otros puntos de intrusión. La compañía aclaró que todavía no pudo reconstruir por completo cómo se produjo el ataque y trabaja con las autoridades para determinar la autoría.

Qué pasará con los fondos robados

Una parte de los activos quedó inmovilizada mediante la cooperación de emisores de criptomonedas y firmas de análisis blockchain. Sin embargo, congelar fondos no implica recuperarlos y todavía hay miles de millones de dólares cuyo destino se intenta rastrear.

Mientras tanto, Binance mantiene controles extraordinarios sobre los retiros y sostiene que los saldos de los clientes están protegidos. La investigación deberá determinar si TraderTraitor estuvo efectivamente detrás del ataque y quiénes participaron en su ejecución.