Las autoridades estadounidenses han señalado formalmente al régimen de Pionyang por la intrusión contra la plataforma Binance ocurrida el 29 de octubre de 2026. Según las fuentes del incidente, la cifra del ataque se sitúa entre 6.300 millones de dólares, según los datos recogidos por The Verge a partir del comunicado del FBI, y 6.430 millones de dólares, de acuerdo con la información publicada por The Hacker News. La operación supera los 1.460 millones de dólares robados a Bybit en febrero de 2025 y se posiciona como el mayor ataque contra una plataforma de intercambio de activos digitales.
La agencia federal identificó a los responsables bajo la denominación TraderTraitor, una designación utilizada por las autoridades estadounidenses para este grupo que la industria de la ciberseguridad también rastrea como Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces o UNC4899. La investigación, desarrollada de forma conjunta entre el FBI, el Servicio Secreto de Estados Unidos (USSS) y la división de Investigación Criminal del Servicio de Impuestos Internos (IRS-CI), confirmó que los atacantes comenzaron a convertir la mayor parte de los fondos sustraídos a Ethereum para luego dispersarlos en servicios de finanzas descentralizadas y herramientas de intercambio instantáneo.
Alcance del ataque y bloqueo de activos
El botín fue extraído a través de 11 cadenas de bloques distintas. Un 82 % de los fondos sustraídos correspondía originalmente a activos alojados en las redes de Bitcoin y Ethereum. Según datos proporcionados por la firma de análisis de cadenas de bloques Elliptic, los grupos asociados a la República Popular Democrática de Corea habían acumulado más de 6.500 millones de dólares en criptoactivos en los últimos años, por lo que esta única intrusión prácticamente duplica el balance total atribuido al régimen.
Pese a la magnitud del desvío, la colaboración entre emisores y redes permitió contener parte del impacto inicial. De los 6.430 millones de dólares comprometidos, las empresas y fundaciones gestoras de Tether, Circle, Ripple, Arbitrum y Optimism aplicaron bloqueos directos sobre las direcciones involucradas, inmovilizando 2.850 millones de dólares en tokens en las propias cadenas. Por su parte, el consejero delegado de Binance afirmó el 31 de octubre de 2026 que el 90 % de los activos sustraídos ya había sido repuesto.
El vector técnico de TraderTraitor
TraderTraitor mantiene actividad continuada en el sector de las aplicaciones descentralizadas desde al menos 2020, acumulando antecedentes de ataques contra plataformas como DMM Bitcoin, Bybit, KelpDAO y Bitget. Investigaciones técnicas previas de firmas de seguridad como SentinelOne, Zscaler ThreatLabz y Microsoft señalan que la célula utiliza módulos troyanizados de Terraform, una herramienta de infraestructura como código que permite definir y aprovisionar recursos en la nube mediante archivos de configuración legibles.
A través de estos proveedores modificados, los atacantes distribuyen un ejecutable Bash que selecciona y descarga componentes específicos para el sistema operativo de la víctima, sea macOS, Linux o Windows. Entre las herramientas documentadas figura FLATROOF, un implante diseñado para sustraer credenciales y datos confidenciales mediante scripts en Python, y la puerta trasera ROOFDECK, que otorga a los operadores acceso remoto persistente sobre la infraestructura comprometida.
Ingeniería social apoyada en inteligencia artificial
El acceso inicial a los entornos corporativos no se basó exclusivamente en vulnerabilidades de software, sino en campañas coordinadas de ingeniería social. Informes de Microsoft detallan que el grupo utilizó señuelos de contratación laboral muy específicos, dirigidos a desarrolladores e ingenieros de firmas vinculadas a la inteligencia artificial, la ciberseguridad y la tecnología de cadenas de bloques.
Para dar credibilidad a las propuestas de empleo falsas, los atacantes operaron empresas pantalla y crearon perfiles ficticios en redes profesionales apoyándose en herramientas de inteligencia artificial generativa, con las que redactaron ofertas personalizadas y programaron entrevistas técnicas simuladas. Una vez captada la confianza del profesional, el señuelo culminaba con el envío de proyectos de código o pruebas técnicas que contenían las dependencias maliciosas encargadas de desplegar la carga útil en las máquinas corporativas.
Tras pausar las operaciones de salida de forma preventiva en el momento del compromiso, Binance reanudó la primera fase de retiradas de fondos el 1 de noviembre de 2026, entre las 6:00 y las 9:00 UTC, manteniendo operativos los depósitos. La atención del sector queda ahora fijada en la capacidad de las autoridades y las casas de cambio para rastrear los monederos señalados por el FBI e interceptar los fondos restantes antes de que concluya su proceso de mezclado y fragmentación.
