Corea del Norte roba US$6.300M a Binance: el mayor hackeo

¿Qué pasó con el hackeo a Binance?

Binance reportó el 29 de octubre que cerca de US$6.300 millones en activos de wallets de su plataforma habían sido comprometidos, en lo que las firmas de análisis consideran el mayor robo de criptoactivos registrado hasta la fecha. Según TRM Labs, los atacantes movieron la mayor parte de los fondos desde wallets distribuidas en 10 blockchains en unos 20 minutos.

El origen, según la investigación interna de la compañía, fue el portátil comprometido de un ingeniero desde el cual se enviaron retiros no autorizados. Binance dijo que congeló alrededor de US$3.000 millones de los activos afectados y que cubrió US$6.000 millones con fondos propios —equivalentes al 95% de lo robado— usando parte de su Secure Asset Fund for Users (SAFU), un fondo de reserva de US$1.000 millones, además del fondo de seguros de futuros y la tesorería corporativa, según Reuters.

La escala de lo que estaba en juego explica el impacto: el exchange declara 335 millones de usuarios registrados en todo el mundo y alrededor de US$162.800 millones en activos bajo custodia en su reporte anual de 2025, de acuerdo con Reuters. Los retiros de bitcoin, ether y varias stablecoins se reanudaron el 1 de noviembre, de forma escalonada.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

¿Quién es TraderTraitor y por qué importa?

El FBI atribuyó el ataque el 31 de octubre a TraderTraitor, una unidad de ciberespionaje patrocinada por el Estado norcoreano. Se trata de un nombre en clave del FBI para una unidad que nació entre 2016 y 2017 dentro de la agencia de espionaje de Pyongyang, según el Multilateral Sanctions Monitoring Team, el grupo de 11 países que monitorea el cumplimiento de las sanciones contra Corea del Norte, citado por el Wall Street Journal.

Los registros de esa unidad son difíciles de comparar con cualquier actor criminal privado. Entre enero de 2024 y septiembre de 2025 había sustraído unos US$2.600 millones en criptomonedas; con el ataque a Binance, el acumulado supera los US$5.000 millones, según el Wall Street Journal. Solo en 2025 los atacantes robaron US$2.900 millones en casi 150 ataques, de acuerdo con TRM Labs (Reuters).

Tom Robinson, fundador de la firma de análisis Elliptic, describió el fenómeno como robo con respaldo estatal a una escala a la que ningún grupo criminal se acerca, con las ganancias financiando los programas de armamento de Pyongyang.

El historial viene de lejos: en 2016 operadores norcoreanos intentaron robar US$1.000 millones al banco central de Bangladesh y lograron sustraer US$81 millones; en 2017 protagonizaron el ransomware WannaCry, que afectó a cientos de miles de computadoras en más de 150 países. Después migraron a las criptomonedas por la facilidad para transferir y blanquear valor entre fronteras. En febrero de 2025 el mismo grupo se llevó US$1.500 millones de la plataforma Bybit —el récord anterior— y US$387 millones de Bitget, según Chainalysis (Wall Street Journal).

¿Qué son las granjas de portátiles y por qué funcionan?

El segundo frente de esta red no necesita vulnerar un servidor: se sienta a trabajar dentro de la empresa. Según el Departamento de Justicia de Estados Unidos, trabajadores norcoreanos usan identidades robadas o fabricadas, VPNs e infraestructura proxy para aparentar que son ciudadanos estadounidenses trabajando desde dentro del país, y así consiguen empleos remotos en empresas occidentales.

El mecanismo tiene un eslabón clave. La empresa contrata a distancia y envía la notebook corporativa a una dirección física local, gestionada por cómplices o intermediarios. Esos equipos se centralizan en centros improvisados —las granjas de portátiles— donde quedan encendidos y conectados de forma permanente. Desde Corea del Norte, los operadores acceden de forma remota a esas computadoras: para los sistemas de seguridad corporativos, todo el tráfico, la dirección IP y el inicio de sesión provienen legítimamente de un empleado dentro del país.

La escala ya es concreta. En octubre, el Departamento de Justicia anunció detenciones y el registro de más de 40 granjas de portátiles en Texas, con más de 180 computadoras incautadas, según TechCrunch. La operación, bautizada Lonestar Roundup, se ejecutó entre el 21 y el 25 de septiembre y terminó con unos 187 portátiles y dispositivos KVM secuestrados, según Help Net Security. El esquema, activo entre 2019 y julio de 2025, habría afectado a más de 70 empresas de salud, comunicaciones, retail, manufactura y soporte ciber en 17 estados, y generado cerca de US$3 millones para el régimen.

CrowdStrike, que colaboró con el FBI, rastrea a estos trabajadores y sus facilitadores como Famous Chollima, y sostiene que las granjas de portátiles son vitales porque resuelven tres problemas que el régimen no puede superar desde el exterior: el físico, el financiero y el legal. El FBI calcula que hay miles de trabajadores IT controlados por el Estado norcoreano empleados en empresas occidentales, y que el régimen se queda con entre el 85% y el 90% de los ingresos que generan. Los casos siguen acumulándose: en abril de 2026, dos hombres de Nueva Jersey fueron condenados a nueve y casi ocho años de prisión por un esquema que generó US$5 millones para Corea del Norte.

¿Por qué la IA generativa cambió la ecuación?

Vijay Balasubramaniyan, experto en seguridad de Pindrop Security, señala que la automatización y la IA generativa son los pilares que permiten a Corea del Norte expandir sus operaciones globales. Las herramientas de audio y video basadas en IA hicieron posible sostener entrevistas, llamadas y presencia en cámara con identidades falsas a un costo marginal casi nulo.

Los números de esa infiltración laboral muestran el salto: si hace un año estos perfiles representaban 1 de cada 343 solicitudes de empleo, hoy escalan a 1 de cada 47. El patrón de atribución también maduró: CrowdStrike sostiene que los hackers norcoreanos estuvieron detrás de alrededor de la mitad de todas las intrusiones documentadas con teclado humano —no automatizadas— durante el último año, según TechCrunch. Y los investigadores ya detectaron trabajadores norcoreanos en puestos de ventas, marketing y salud, además de tecnología, según Help Net Security.

¿Qué significa esto para tu startup?

Para un founder hispanohablante, la noticia se traduce en dos riesgos muy concretos: quién tiene acceso a tus sistemas y quién tiene acceso a tu tesorería.

Verificación de identidad en cada contratación remota. No alcanza con revisar un perfil de LinkedIn: el FBI advierte que estos operadores usan correos verosímiles y perfiles manipulados. Pide entrevistas en vivo con validación de identidad, verifica referencias por canales independientes y aplica controles de postura del dispositivo y geolocalización sobre las notebooks corporativas. Si tu equipo es 100% remoto y repartido por el mundo, este control debería ser un estándar, no una excepción.
No dejes la tesorería en una sola canasta. El caso Binance demuestra que incluso el mayor exchange del mundo puede tener un portátil comprometido. Para una startup con criptoactivos en balance, eso implica separar custodia en cold storage con multifirma, limitar cuánto capital vive en wallets calientes y definir por escrito quién puede firmar una transacción y con cuántas aprobaciones.
Ten un plan de congelamiento antes de necesitarlo. Lo que evitó una pérdida total fue la velocidad: según Reuters, se congelaron alrededor de US$3.000 millones en cuestión de horas. Eso solo ocurre si existe contacto previo con exchanges, custodios y firmas de análisis de blockchain, y un procedimiento claro sobre a quién llamar cuando el reloj corre.
Prepara la respuesta si vendes a empresas. La infiltración de proveedores es hoy un vector de riesgo para tus clientes. Tener políticas documentadas de verificación de personal y control de dispositivos se está volviendo parte de la evaluación de compras, no solo de la auditoría de seguridad.

Conclusión

Corea del Norte convirtió el ciberdelito en una línea de ingresos industrial: unidades con respaldo estatal, automatización, IA generativa y un ecosistema de facilitadores locales. El ataque a Binance es el titular, pero las granjas de portátiles son la advertencia más útil para el ecosistema emprendedor, porque atacan el punto más blando de cualquier empresa moderna: la confianza en una contratación remota.

La buena noticia es que los controles son accesibles: verificación de identidad real, higiene de dispositivos, custodia separada de la tesorería y un plan de respuesta probado. Ninguna startup necesita un ejército de seguridad para implementarlo, pero tampoco puede seguir asumiendo que el riesgo es de otros.