Binance: TRM Labs estima el robo en 6.360 millones de dólares y lo atribuye a TraderTraitor

Diez cadenas en la reconstrucción del robo

TRM Labs estima que unos 6.360 millones de dólares en activos salieron de carteras atribuidas a Binance durante el ataque del 29 de octubre de 2026. Su análisis, cerrado a las 0:30 UTC del 30 de octubre, describe una operación ejecutada principalmente durante unos veinte minutos desde las 20:05 UTC. La firma atribuye el ataque con un alto grado de confianza a TraderTraitor, un grupo norcoreano. Esta atribución pertenece a TRM: por sí sola, no constituye una conclusión judicial ni un anuncio de las autoridades.

El cálculo abarca diez redes y valora las transferencias en el momento de su ejecución. TRM distingue así la cantidad robada del valor posterior de los mismos tokens, que varía con sus cotizaciones. Ethereum representa la mayor parte de las salidas identificadas, por delante de Bitcoin y Tron. El método explica las diferencias entre las primeras estimaciones publicadas durante el incidente. Sumarlas inflaría artificialmente el balance: generalmente describen ámbitos y horarios diferentes del mismo robo.

Una delegación de Ethereum utilizada contra una cartera

En Ethereum, la investigación describe el uso de EIP-7702 para delegar el comportamiento de una cartera en un contrato controlado por el atacante. El mecanismo permite normalmente que una cuenta incorpore funciones programables tras firmar una autorización. TRM identifica cincuenta autorizaciones preparadas para contadores de transacciones consecutivos. Bastaba una autorización que coincidiera con el contador efectivo para instalar el programa malicioso. El análisis se refiere, por tanto, al uso de firmas válidas obtenidas por el atacante, sin demostrar una ruptura del consenso de Ethereum.

En las demás redes, las salidas observadas utilizaron transferencias firmadas ordinarias. Para TRM, su coordinación sugiere una intrusión en la infraestructura de firma de las carteras operativas de Binance. Una cartera operativa sirve, entre otras funciones, para procesar retiradas y está más conectada a los sistemas del intercambio que una reserva fuera de línea. La investigación todavía debe precisar cómo se obtuvieron las autorizaciones y qué controles fallaron. Las transacciones, por sí solas, no reconstruyen todos los accesos internos de una plataforma.

Congelar activos no equivale a reembolsarlos

TRM informa de que unos 2.700 millones de dólares fueron inmovilizados por emisores de stablecoins y por el Consejo de Seguridad de Arbitrum. La congelación limita los movimientos de ciertos activos; no significa que Binance vuelva a poseerlos ni que los clientes hayan recibido un reembolso. Según el análisis, el atacante sigue controlando bitcoins y ethers. No todos los activos digitales disponen del mismo mecanismo de interrupción ni de un actor capaz de intervenir.

El informe también describe intercambios y préstamos destinados a transformar los activos antes de su inmovilización. Estos movimientos complican el seguimiento sin borrar automáticamente las huellas públicas. El próximo balance útil deberá conciliar los fondos robados, congelados, restituidos y eventualmente indemnizados, con una fecha para cada cifra. Por ahora, el análisis de TRM aporta una reconstrucción técnica y una atribución argumentada; no permite anunciar la recuperación íntegra ni una fecha segura de vuelta a la normalidad.