Según la firma, el responsable sería TraderTraitor, al que definió como la unidad de élite de piratería informática norcoreana, y aseguró que emite esa conclusión “con un alto grado de confianza”. El grupo está vinculado a Lazarus Group, la organización de ciberdelincuentes asociada a Pyongyang. TRM Labs detalló que el atacante movió cerca de USD 6.360 millones desde billeteras de Binance en diez cadenas de bloques, y que la mayor parte se trasladó en unos 20 minutos.
La compañía advirtió que el ataque coincide en varias características con robos anteriores atribuidos a Corea del Norte, como el que sufrió la plataforma Bybit en febrero del año pasado, cuando se perdieron USD 1.500 millones. En ese caso, el FBI responsabilizó a Corea del Norte y a TraderTraitor. Chainalysis, otra firma de análisis blockchain, coincidió: su cofundador y director ejecutivo, Jonathan Levin, afirmó que el ataque “probablemente fue realizado por el grupo norcoreano TraderTraitor”.
Desde Binance evitaron referirse a la pista norcoreana. Un vocero señaló únicamente que la empresa trabaja “estrechamente con nuestros socios de las fuerzas de seguridad para confirmar la identidad de los delincuentes y llevarlos ante la Justicia”. La plataforma aseguró además que no encontró pruebas de una filtración de claves privadas de ninguna billetera, y que dará más detalles técnicos cuando concluya su investigación.
El fundador de Binance, Changpeng Zhao, conocido como CZ, afirmó el jueves que “los fondos de los usuarios están seguros”, aunque reconoció que el episodio “parece efectivamente un ataque informático contra Binance”. Zhao creó la empresa en 2017 y dejó su conducción en 2023, tras declararse culpable de un delito grave por no haber evitado el lavado de dinero en la plataforma, y en 2025 fue indultado por el presidente estadounidense Donald Trump. Aunque ya no está al frente de la compañía, dijo que como accionista espera que todos los fondos de los usuarios queden completamente cubiertos.
Para Kok Tin Gan, cofundador y director ejecutivo de la firma de ciberseguridad NyxLab, el robo deja al descubierto la falta de controles de aprobación más estrictos. “Esto parece una sola firma que le otorgó al atacante un token de acceso total y sin vencimiento a una billetera caliente de Binance”, explicó. Las billeteras calientes son las que están conectadas a internet y almacenan digitalmente las “claves privadas” de los usuarios, es decir, sus autorizaciones únicas.
Los especialistas señalan que Corea del Norte usa el robo de criptomonedas como fuente de divisas para sostener su debilitada economía y financiar su programa nuclear, en medio de las duras sanciones de las Naciones Unidas. En diciembre de 2022, la inteligencia de Corea del Sur estimó que hackers norcoreanos habían robado unos USD 1.100 millones en activos virtuales en cinco años, más de la mitad solo en 2022, y consideró que su capacidad para robar activos digitales estaba entre las mejores del mundo.
Aravind Srinivasan, responsable del negocio extrabursátil de la creadora de mercado GSR, lo resumió sin vueltas: “Es el mayor ataque informático de la historia”. Los mercados reaccionaron de inmediato, y en Estados Unidos las acciones de Coinbase caían un 4,8%, mientras que las de Strategy, empresa dedicada a la compra de bitcoin, retrocedían casi un 6%.
