El FBI confirmó que el grupo de hackers norcoreanos "TraderTraitor" (Lazarus Group) realizó el mayor robo de criptomonedas de la historia, sustrayendo 6,300 millones de dólares de Binance. El ataque se logró mediante la vulneración de la computadora de un ingeniero de DevOps, permitiendo transacciones no autorizadas en tiempo récord. Binance ha asegurado que cubrirá las pérdidas financieras para no afectar a sus usuarios y ya prepara la reactivación de los retiros.





El FBI ha confirmado que los hackers patrocinados por el estado de Corea del Norte, conocidos como TraderTraitor, estuvieron detrás del ataque de robo de criptomonedas de 6.300 millones de dólares en Binance, convirtiéndolo en el mayor robo de criptomonedas registrado hasta la fecha.

En una alerta de seguridad publicada el sábado, la agencia atribuyó el ataque a TraderTraitor, un grupo de hacking norcoreano también rastreado como Lazarus Group, Jade Sleet y APT38, vinculado a numerosos robos de criptomonedas.

"La Oficina Federal de Investigación (FBI) publica información advirtiendo que la República Popular Democrática de Corea (Corea del Norte) fue responsable del robo de más de 6.000 millones de dólares en activos virtuales del exchange de criptomonedas Binance, el 29 de octubre de 2026 o alrededor de esa fecha", afirmó el FBI [http://www.fbi.gov/investigate/cyber/alerts/2026/north-korea-responsible-for-6-billion-binance-attack].




Esta atribución oficial sigue a las firmas de inteligencia de blockchain TRM Labs y Chainalysis, que ya habían vinculado el robo con TraderTraitor.

Según se informó anteriormente, Binance vinculó la brecha a la computadora comprometida de un ingeniero de DevOps, lo que permitió a los atacantes acceder a un contenedor de servicio y enviar transacciones de retiro no autorizadas.

Los atacantes robaron aproximadamente 6.360 millones de dólares en criptomonedas a través de diez blockchains, y la mayoría de los fondos fueron transferidos en solo 20 minutos.

El FBI afirma haber observado que TraderTraitor convierte los activos robados principalmente en Ethereum (ETH), los cuales espera que sean lavados posteriormente a través de plataformas de finanzas descentralizadas (DeFi) y servicios de intercambio instantáneo de criptomonedas.

El FBI, el Servicio Secreto de EE. UU. y la Investigación Criminal del IRS están solicitando ahora a los exchanges de criptomonedas, operadores de blockchain y otros proveedores de servicios de activos virtuales que bloqueen las transacciones vinculadas a las direcciones que los hackers utilizaron para lavar los fondos robados.

La agencia también publicó una lista de 628 direcciones de criptomonedas asociadas con el robo, incluyendo 608 direcciones de Ethereum, 19 de Bitcoin y una de Solana.

TraderTraitor tiene un largo historial de atacar a empresas de criptomonedas y sus empleados, con hackers norcoreanos vinculados a numerosos ataques de robo de criptomonedas, incluyendo el robo de 387,5 millones de dólares de Bitget en septiembre de 2026, el hackeo de Drift de 280 millones de dólares en abril de 2026, el robo de Bybit de 1.500 millones de dólares en febrero de 2025 y el robo de DMM Bitcoin de 308 millones de dólares en mayo de 2024.

Una táctica utilizada por los hackers de Lazarus de Corea del Norte es una campaña prolongada conocida como 'Operation DreamJob', en la cual se hacen pasar por reclutadores y se acercan a desarrolladores de software y empleados de criptomonedas con ofertas de trabajo falsas para engañarlos y lograr que instalen malware.

Tanto los ataques a DMM como a Bybit implicaron el compromiso de computadoras pertenecientes a empleados o desarrolladores con acceso a la infraestructura de criptomonedas.

En el ataque a DMM Bitcoin, los hackers suplantaron la identidad de un reclutador en LinkedIn y engañaron a un empleado de la empresa de billeteras de criptomonedas Ginco para que ejecutara un código Python malicioso disfrazado de prueba de preempleo.

El robo de Bybit también se originó a partir de la computadora comprometida de un desarrollador de Safe{Wallet}, lo que permitió a los hackers acceder a la plataforma de la billetera y manipular una solicitud de transacción legítima de un empleado de DMM, redirigiendo 1.500 millones de dólares en criptomonedas a billeteras que ellos controlaban.

Más recientemente, el ataque a Drift de abril de 2026 implicó una operación de ingeniería social de seis meses en la que personas que fingían ser representantes de una firma de trading de criptomonedas se reunieron en persona con colaboradores de Drift en múltiples conferencias de la industria.

Se cree que los atacantes pasaron meses construyendo relaciones y que comprometieron los dispositivos de los empleados a través de un repositorio de código malicioso o una aplicación de TestFlight.

En un comunicado compartido hoy, Binance dijo que se estaba preparando para reanudar la primera fase de retiros el 1 de noviembre entre las 06:00 y las 09:00 UTC, mientras continúa trabajando para restaurar los servicios y cubrir los activos robados.

El exchange afirma que ya ha cubierto aproximadamente el 95% del monto afectado, frente al 90% en su actualización anterior. El 5% restante consiste en tokens menos líquidos que Binance continúa comprando a través de canales de mercado y extrabursátiles.

Binance también señaló que los saldos de BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD y ZEC están totalmente respaldados, y que los servicios de depósito no se han visto afectados por el incidente.

"Nuestro compromiso permanece inalterado: Binance asumirá el impacto financiero de los fondos robados. Estas pérdidas no serán trasladadas a los usuarios", dijo Binance.

"Reanudar los retiros es un hito importante, pero nuestro trabajo continúa. Seguiremos reforzando nuestras salvaguardas, completando el proceso de recuperación y proporcionando actualizaciones a medida que avance el progreso".



Fuente:
BleepingComputer