El FBI vincula al grupo norcoreano TraderTraitor con el robo récord de 6430 millones de dólares a Binance

La Oficina Federal de Investigación de EE. UU. (FBI) ha atribuido oficialmente el robo de unos 6430 millones de dólares en activos virtuales de Binance a TraderTraitor, un grupo de hackers alineado con Corea del Norte que también se conoce como Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces y UNC4899. Se trata del mayor robo de criptomonedas registrado: más de cuatro veces el récord anterior.

Qué ocurrió

Junto con el Servicio Secreto de EE. UU. y la unidad de investigación criminal del IRS, el FBI observó cómo los atacantes convertían la mayor parte de los fondos robados en Ether (ETH). Los investigadores prevén que el siguiente paso sea blanquearlos mediante protocolos de finanzas descentralizadas (DeFi) y servicios de intercambio instantáneo, y el FBI ha publicado una lista de direcciones de monedero vinculadas a la operación para que exchanges y proveedores puedan bloquearlas.

Las cifras clave:

• 6430 millones de dólares robados en 11 blockchains, con cerca del 82 % en Ethereum y Bitcoin.
• Unos 2850 millones ya han sido congelados on-chain por emisores de stablecoins y redes como Tether, Circle, Ripple, Arbitrum y Optimism.
• El botín supera con creces el robo de 1460 millones a Bybit en febrero de 2025, el récord hasta ahora.
• Por sí solo, casi duplica el total estimado de criptomonedas robadas por actores norcoreanos en los últimos años, que superaba los 6500 millones antes de este incidente.

Binance suspendió los retiros tras la brecha y ha iniciado una reapertura por fases, habilitando la primera ola en una franja matinal limitada (UTC) mientras continúan las comprobaciones de seguridad. Los depósitos no se vieron afectados.

Quién es TraderTraitor

TraderTraitor opera al menos desde 2020 y tiene un largo historial de ataques contra la industria Web3, normalmente convenciendo a empleados para que instalen aplicaciones con malware. El grupo ya había sido vinculado a robos contra DMM Bitcoin, Bybit, KelpDAO y Bitget.

Su manual de operaciones sigue evolucionando. La actividad reciente muestra que el grupo:

• Envenena herramientas de desarrollo: proveedores de Terraform troyanizados entregan un cargador Bash que descarga malware adaptado al sistema operativo de la víctima. Entre ellos figura un implante multiplataforma llamado FLATROOF, que usa un infostealer en Python para extraer datos sensibles, antes de desplegar la puerta trasera ROOFDECK para el control remoto total. Windows, macOS y Linux están en el punto de mira.
• Crea empresas y ofertas de empleo falsas: empresas pantalla, dominios a medida, perfiles en redes sociales y reclutadores ficticios convincentes (incluida una supuesta firma de inteligencia blockchain basada en IA) sirven para contactar a profesionales de cripto, IA, blockchain y selección de personal y convencerlos de ejecutar código malicioso como parte de una «prueba técnica».
• Usa IA para escalar el engaño: la IA generativa ayuda a crear señuelos y perfiles falsos persuasivos y a evadir la detección.

Estas tácticas recuerdan a otras campañas norcoreanas basadas en ofertas de empleo, como Operation Dream Job y Contagious Interview.

Por qué importa

La brecha demuestra que el eslabón débil rara vez es la propia blockchain, sino las personas, los portátiles y los pipelines de compilación que la rodean. Un solo desarrollador que instale un proveedor de infraestructura como código comprometido, o que complete una prueba de programación falsa, puede abrir a los atacantes la puerta a sistemas que controlan miles de millones. Y como los fondos se congelan cada vez más rápido, los atacantes intentan blanquearlos a toda prisa: la velocidad de detección lo es todo.

Qué hacer

• Proteja la cadena de suministro. Fije los proveedores y módulos de Terraform a fuentes y sumas de verificación confirmadas, replíquelos internamente y revise cualquier proveedor nuevo o desconocido antes de que llegue al pipeline de CI/CD.
• Trate las ofertas de empleo no solicitadas y las «pruebas de código» como vector de ataque. Nunca ejecute código facilitado por un reclutador en un equipo corporativo; utilice entornos aislados y desechables.
• Aísle las operaciones de firma y tesorería. Mantenga las claves de hot wallets, la infraestructura de firma y las consolas de administración en dispositivos dedicados y reforzados, con MFA por hardware y aprobación multiparte.
• Busque los indicadores publicados. Contraste contrapartes y flujos de transacciones con las direcciones de monedero difundidas por las autoridades estadounidenses y configure alertas ante transferencias inusuales.
• Vigile los endpoints en todas las plataformas. Asegúrese de que la cobertura EDR incluya los equipos macOS y Linux que usan los desarrolladores, con alertas ante cargadores Bash inesperados, procesos Python sospechosos y nuevos mecanismos de persistencia.

Los proveedores y dependencias envenenados son justo el tipo de problema que se escapa en una revisión superficial. La revisión de código asistida por IA de nuestro equipo analiza repositorios de código fuente, infraestructura como código y dependencias de terceros para detectar componentes no fiables, secretos incrustados y cambios de riesgo antes de que lleguen a producción, frenando a tiempo este tipo de compromiso de la cadena de suministro.