Criptomonedas robadas a Binance siguieron pasando por THORChain después de que el FBI pidiera a los operadores de esa red bloquear transacciones vinculadas con el ataque, según el rastreo de Elliptic. La firma identificó movimientos posteriores a la reanudación de intercambios que habían sido suspendidos por una falla técnica.
El caso enfrenta una petición de las autoridades con los límites que los responsables del protocolo atribuyen a su diseño. También pone cifras a las comisiones generadas por operaciones relacionadas con dos robos: el de Binance y el sufrido por Bybit en 2025.
El FBI atribuyó el ataque a Binance, ocurrido el 29 de octubre de 2026, a la actividad norcoreana que denomina TraderTraitor. Junto con el Servicio Secreto y la división de investigación criminal del Servicio de Impuestos Internos de Estados Unidos, pidió a operadores de nodos de THORChain y a otros servicios del sector que bloquearan las transacciones asociadas con las direcciones identificadas.
La agencia publicó una alerta preventiva, no una orden judicial en ese aviso. Tampoco detalló allí las pruebas que sustentan su atribución. Corea del Norte rechazó la acusación.
Gerardo Pavez
Qué pasó después de la alerta
THORChain permite intercambiar activos entre distintas cadenas de bloques. La red interrumpió operaciones en varias de ellas el 31 de octubre por una falla técnica; Elliptic señala que la pausa detuvo temporalmente los depósitos de una parte de los fondos rastreados. La suspensión ocurrió antes de la petición pública del FBI y no se presentó como respuesta a ella.
Los intercambios se reanudaron a última hora del 3 de noviembre. Para la tarde del día siguiente, Elliptic había identificado el paso por THORChain de unos 12,200 ether, valorados en ese momento en 29 millones de dólares, que se cambiaron por bitcoin. La firma indicó que la mayor parte de esos ether procedía de la venta de SOL sustraídos en el ataque.
Por separado, Bitquery calculó que unos 113 millones de dólares vinculados con el robo habían pasado por THORChain en las rutas de Tron y XRP hasta las 10:00 UTC del 6 de noviembre. Su estimación incluye 56 millones procedentes de Tron y 57 millones de XRP. La firma advierte que algunas atribuciones de billeteras y movimientos que no siguió pueden modificar su cálculo.
Las cifras describen períodos y conjuntos de operaciones distintos. No deben sumarse entre sí: los rastreos pueden abarcar movimientos relacionados en diferentes etapas.
Las comisiones del caso Binance y el antecedente de Bybit
Chainalysis estimó que más de 46 millones de dólares en activos robados a Binance pasaron por THORChain durante las primeras 72 horas posteriores al ataque. Esas operaciones generaron más de 200,000 dólares en comisiones para quienes operan su infraestructura, según el reportaje de The Wall Street Journal reproducido por Mint.
Ese período incluye horas anteriores al aviso del FBI, de modo que los 46 millones no corresponden exclusivamente a operaciones posteriores a la petición. Tampoco son una medida de todo lo que se movió después.
El protocolo ya había aparecido en el seguimiento del robo a Bybit en febrero de 2025. Según el mismo reportaje, Chainalysis calculó que THORChain facilitó entonces transacciones por casi 1,000 millones de dólares vinculadas con el caso y que sus operadores obtuvieron al menos 12 millones de dólares en comisiones. El FBI atribuyó aquel ataque, valorado por la agencia en unos 1,500 millones de dólares, a Corea del Norte.
Una pausa general y el bloqueo de una dirección
Los desarrolladores de THORChain sostienen que el protocolo no cuenta con una función para detener selectivamente una transacción o billetera concreta. En una explicación publicada antes del ataque a Binance, el proyecto distinguió ese control de las pausas generales que sus operadores pueden aplicar para proteger la red ante una falla.
El cofundador Chad Barraford dijo a The Block que la interfaz oficial de THORChain había bloqueado las direcciones señaladas por el FBI. Esa afirmación se refiere a la interfaz; las operaciones que Elliptic observó después muestran que los fondos vinculados con el robo siguieron atravesando el protocolo.
La discusión no termina en si existe hoy un botón para una transacción individual. En una entrevista de octubre con Unchained, Barraford sostuvo que coordinar una respuesta a tiempo sería difícil sin alterar el grado de centralización de la red. También reconoció que, si suficientes operadores quisieran bloquear el lavado, podrían hacerlo. La investigadora de seguridad Taylor Monahan señaló en esa misma conversación las pausas anteriores y planteó desactivar rutas utilizadas casi por completo para mover fondos robados.
El 7 de noviembre, Elliptic calculó que unos 3,130 millones de dólares permanecían en direcciones vinculadas con el robo a Binance. La firma estimó que probablemente solo una cantidad insignificante se había convertido en dinero convencional. Cambiar las criptomonedas de una cadena a otra puede dificultar su inmovilización, pero no demuestra por sí solo que hayan sido cobradas ni recuperadas.
