Dos firmas especializadas en seguridad digital y prevención de delitos financieros atribuyeron este viernes el hackeo a Binance, la mayor plataforma de criptomonedas del mundo, al grupo TraderTraitor, vinculado al gobierno de Corea del Norte. Si la autoría se confirma, el ataque se convertiría en el mayor robo de la historia del sector cripto.

Qué han concluido las firmas de seguridad

La consultora estadounidense de análisis de inteligencia blockchain TRM Labs vinculó el ciberataque con TraderTraitor. Según su valoración, por las cantidades implicadas sería el mayor robo de criptomonedas jamás registrado. La firma sostiene que superaría en unas cuatro veces el ataque de 1.500 millones de dólares sufrido por Bybit en febrero de 2025, que también se asoció a Corea del Norte.

Por su parte, la firma singapurense Pangolin Intelligence, que investiga las ciberamenazas al sector, indicó en un comunicado que, de forma «casi segura», Corea del Norte está detrás del ataque. En concreto, apunta a un grupo conocido como TraderTraitor/UNC4899.

Su atribución se basa en una comparación técnica con incidentes anteriores. Según Pangolin, en este caso se emplearon cuentas para el blanqueo de fondos que ya se habían utilizado para blanquear otros ataques vinculados a TraderTraitor, como el de Bitget en septiembre de 2026. En aquel episodio, Bitget notificó el robo de unos 351,6 millones de dólares.

Cómo habría ocurrido el ataque

Binance explicó en un comunicado en su página oficial que sus investigaciones preliminares indican que los atacantes pudieron comprometer el ordenador portátil de un ingeniero de operaciones. Desde ese equipo habrían accedido a uno de sus sistemas para ejecutar transacciones de retirada de fondos sin autorización.

Se trata de una hipótesis inicial, sujeta a las conclusiones finales de la investigación. Aun así, apunta a un vector de ataque conocido: no una vulnerabilidad del protocolo, sino el acceso a través de un empleado con permisos sobre sistemas críticos.

Quién es TraderTraitor

En abril de 2022, el Departamento de Seguridad de Estados Unidos identificó a TraderTraitor como la amenaza cibernética asociada con el robo de criptomonedas patrocinada por Corea del Norte desde, al menos, 2020. La describió como una serie de aplicaciones maliciosas que se hacen pasar por herramientas de predicción de mercados.

El contexto geopolítico es relevante. En 2025, Corea del Sur, Estados Unidos y Japón acusaron a Corea del Norte de haber robado unos 659 millones de dólares en criptomonedas durante 2024, como parte de sus actividades cibernéticas para financiar su programa militar.

Ni las autoridades de Seúl ni el régimen de Pionyang se han pronunciado por el momento sobre las acusaciones de las dos firmas.

Qué significa para las empresas y los inversores

La atribución a un actor estatal cambia la naturaleza del riesgo. Ya no se trata solo de delincuencia informática oportunista, sino de campañas persistentes, con recursos y con objetivos de financiación estratégica. Para cualquier plataforma que custodie activos digitales, esto eleva el nivel de amenaza que debe asumir en su planificación de seguridad.

Hay varias lecciones prácticas que se desprenden de lo conocido hasta ahora:

  • El eslabón humano sigue siendo crítico: el acceso a través del portátil de un ingeniero muestra que los equipos de los empleados con privilegios son un objetivo prioritario.
  • Los patrones de blanqueo dejan rastro: la reutilización de cuentas permitió a las firmas de análisis conectar este ataque con el de Bitget.
  • La reputación pesa tanto como la pérdida: un incidente de esta magnitud en la mayor plataforma del sector puede erosionar la confianza de usuarios, contrapartes y reguladores.

Conviene, además, mantener la cautela. La autoría procede de análisis de firmas privadas basados en comparaciones técnicas, y los organismos oficiales no han confirmado la atribución. Tampoco se ha detallado públicamente el importe exacto sustraído, más allá de la comparación de TRM Labs con el caso de Bybit.

El perfil de Binance

Binance fue fundada en 2017 en Shanghái por el empresario Changpeng Zhao. Ese mismo año trasladó sus operaciones fuera de China tras las restricciones impuestas al comercio de criptomonedas, y desde entonces opera internacionalmente sin una sede central única. Esa estructura global, con operaciones distribuidas, hace aún más relevante la protección de los accesos internos y de los sistemas de retirada de fondos.

En las próximas semanas será clave seguir la evolución de la investigación de la compañía, la posible reacción de las autoridades de los países que ya han acusado a Pionyang de actividades similares y el impacto en la confianza de los usuarios del mercado cripto.