Elliptic calculó que el atacante que robó criptomonedas de Binance controlaba unos 3,230 millones de dólares en activos que ningún emisor puede congelar, según su seguimiento actualizado el 30 de octubre. Por separado, Chainalysis detectó miles de transferencias vinculadas al robo que sugieren el uso de automatización para dificultar el rastreo.
Chainalysis, empresa dedicada al análisis de cadenas de bloques, observó que los fondos circulaban repetidamente entre direcciones y, en algunos casos, regresaban a billeteras que ya habían aparecido en la secuencia. Para la firma, la cantidad de transacciones en poco tiempo sugiere que se emplearon procesos automatizados.
La empresa dice que se trata de patrones de lavado que no había observado antes. La automatización es su evaluación del comportamiento de las transferencias; su análisis no afirma que se usara inteligencia artificial.
Seguir el dinero no equivale a congelarlo
Las cadenas de bloques permiten examinar el recorrido de muchas transacciones, pero ver dónde están los activos no garantiza que puedan inmovilizarse de inmediato. Algunos emisores pueden congelar las monedas estables que administran. Bitcoin y ether, en cambio, no tienen un emisor central que pueda aplicar esa medida a sus activos nativos.
En su análisis actualizado a las 19:30 UTC del 30 de octubre, Elliptic situó en unos 3,230 millones de dólares el valor de los activos que el atacante controlaba y que no podían congelarse por un emisor. La cifra incluía bitcoin, ether y XRP, y dependía de las cotizaciones usadas por la firma en ese momento.
Eso no significa que esos fondos sean imposibles de recuperar. Elliptic sostiene que el seguimiento puede ayudar a identificar los activos cuando lleguen a plataformas u otros servicios capaces de intervenir. Tampoco se ha demostrado que todo el botín haya sido convertido en dinero convencional.
Binance estimó el impacto total del ataque en unos 6,300 millones de dólares y afirmó que, junto con sus socios, había congelado aproximadamente 3,000 millones. La plataforma prometió cubrir las pérdidas con su fondo SAFU y recursos propios. Congelar activos impide ciertos movimientos, pero no equivale por sí solo a devolverlos a la empresa o a sus clientes.
Gerardo Pavez
La pista que apunta a Corea del Norte tiene límites
Chainalysis atribuye el ataque a TraderTraitor, un grupo vinculado a Corea del Norte. La firma señala que parte de los fondos de Binance se mezcló con activos procedentes del robo a Bitget de septiembre, también atribuido por investigadores a actores norcoreanos.
Elliptic encontró una conexión entre ambos flujos y considera probable la participación de actores vinculados a Corea del Norte. Pero advierte que la coincidencia afecta a una parte pequeña de los fondos y que una misma red de lavado podría prestar servicios a varios clientes. El vínculo, por sí solo, no demuestra que el mismo grupo cometiera ambos robos.
Hasta la actualización de Elliptic del 30 de octubre, ninguna autoridad gubernamental había confirmado públicamente la atribución y Binance no había identificado a los responsables. La conclusión de las firmas sigue siendo una evaluación privada.
Una primera salida en minutos y movimientos posteriores
TRM Labs calculó que la mayor parte de los aproximadamente 6,360 millones de dólares que rastreó salió de billeteras de Binance en unos 20 minutos el 29 de octubre. Elliptic también registró una segunda oleada de retiros horas después: el intervalo inicial no describe toda la actividad del ataque.
El análisis de Elliptic muestra que los movimientos continuaron el 30 de octubre, incluso entre distintas cadenas de bloques. Los investigadores siguen esas operaciones mientras Binance y otras entidades trabajan para recuperar los activos inmovilizados.
