Binance, el mayor exchange de criptomonedas del mundo por volumen diario de negociación, empezó este domingo 1 de noviembre a reabrir las retiradas de fondos de sus clientes, congeladas desde que el jueves sufrió el robo de unos 6.300 millones de dólares en criptoactivos, el mayor de la historia del sector. La empresa asegura que ya ha repuesto el 90 % de lo sustraído con dinero propio y que cubrirá el resto.
A la vez, el FBI ha puesto nombre al atacante: TraderTraitor, un grupo vinculado a Corea del Norte. El caso deja preguntas importantes sobre cómo se custodian los fondos en las grandes plataformas y sobre qué pasa con el dinero de los usuarios cuando algo falla.
Qué ha pasado y cuánto se llevaron
Según CNBC, los atacantes vaciaron monederos «calientes» de Binance, es decir, carteras conectadas a internet que el exchange usa para atender las operaciones del día a día. En un primer momento la compañía apuntó a «un portátil comprometido de un ingeniero de DevOps», que habría permitido entrar en un contenedor de servicio y enviar órdenes de retirada no autorizadas. Más tarde, su codirector ejecutivo, Richard Teng, matizó que fue un «ataque complejo» que incluyó un software malicioso diseñado para borrar las huellas de su actividad, lo que complica la investigación.
El golpe se notó en el mercado: según The Guardian, el bitcoin cayó casi un 5 % tras conocerse el robo, el ether alrededor de un 6 % y BNB, el token propio de Binance, cerca de un 10 %.
El FBI señala a Corea del Norte
El sábado, el FBI confirmó lo que ya sospechaban analistas privados: Corea del Norte es responsable del robo de «más de 6.000 millones de dólares en activos virtuales» a Binance «en torno al 29 de octubre», en palabras de la agencia recogidas por The Guardian. TraderTraitor está considerado parte del Grupo Lazarus, conocido desde el hackeo a Sony Pictures en 2014.
El FBI explica que los atacantes están convirtiendo lo robado en ether y que espera nuevas fases de blanqueo a través de servicios de finanzas descentralizadas e intercambio instantáneo. Por eso pide a las empresas del sector que bloqueen las transacciones relacionadas con las direcciones que usa el grupo. La firma de análisis de cadenas de bloques TRM Labs, que fue de las primeras en apuntar a Corea del Norte, señaló a CNBC parecidos con robos anteriores como los de Bybit y KelpDAO: preparación iniciada mucho antes del ataque y firmas obtenidas por adelantado y ejecutadas de golpe.
Cómo está tapando Binance el agujero
Binance dice haber reservado unos 6.340 millones de dólares de fondos propios para cubrir las pérdidas. El dinero sale de su tesorería corporativa, de una parte de su fondo de seguro de futuros y de un uso parcial de SAFU (Secure Asset Fund for Users), el fondo de emergencia de unos 1.000 millones creado para proteger a los clientes ante incidentes de seguridad. Según CoinDesk, esos recursos son independientes de los cerca de 3.000 millones en activos robados que otras empresas del sector han conseguido congelar.
La compañía afirma que bitcoin, ether, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD y ZEC ya están respaldados al 100 %. El 10 % pendiente corresponde a tokens menos líquidos, fuera de esos diez, que tardará más en comprar en el mercado y en operaciones extrabursátiles. «Binance absorberá el impacto financiero de estos fondos robados, no nuestros usuarios», asegura la empresa en su comunicado.
Reponer no es recuperar
Conviene no confundir los términos. Como subraya CNBC, que Binance haya restaurado el respaldo del 90 % de los activos no significa que haya recuperado ese dinero de los atacantes: lo ha comprado de nuevo con sus propios fondos para que los saldos de los clientes sigan cubiertos. El dinero robado sigue en manos de los hackers, salvo la parte congelada.
Para reforzar la confianza, Binance tomó una nueva instantánea de sus reservas a las 00:00 GMT del 31 de octubre. Según CoinDesk, la prueba criptográfica de esas reservas, que permitirá a los usuarios comprobar que sus activos están respaldados al menos uno a uno, se publicará el 3 de noviembre.
Las retiradas vuelven por fases
La reapertura de este domingo es escalonada. CNBC informa de que las primeras redes habilitadas han sido la de bitcoin y, después, Ethereum y BNB Smart Chain; The Guardian detalla que la primera fase permite retirar ether, USDT y USDC en la red de Ethereum, además de algunos activos en BNB Smart Chain. La investigación sobre el ataque sigue abierta y Teng reconoció que se han encontrado puntos de entrada adicionales al portátil inicialmente sospechoso.
Para quien guarde criptomonedas en un exchange, el caso es un recordatorio práctico: el saldo que se ve en la aplicación depende de la seguridad y de la solvencia de la plataforma. Esta vez Binance tiene músculo para cubrir el golpe; no todas las empresas del sector podrían hacerlo.
Fuentes
- CNBC – Binance resumes withdrawals following $6.3 billion hack, says 90% of stolen user assets are covered
- The Guardian – Binance resumes customer withdrawals after record $6.3bn hack
- CoinDesk – Binance says it has replaced 90% of stolen crypto after massive $6.3 billion breach
- The Verge – Binance CEO says 90 percent of stolen assets have been ‘replenished’
