Binance: US$6.300M robados y la sombra de Corea del Norte

Qué pasó con Binance y por qué el rastro apunta a Corea del Norte

Atacantes vaciaron unas 6.360 millones de dólares de las carteras de Binance en diez blockchains distintas, y la mayor parte de las transferencias se ejecutó en apenas 20 minutos, según el seguimiento de TRM Labs que recoge Latin Times. Es el mayor robo de criptomonedas registrado: casi cuadruplica los 1.500 millones que se esfumaron de Bybit en febrero de 2025.

La investigación preliminar de Binance apunta a un portátil comprometido de un ingeniero de DevOps como puerta de entrada. Desde ahí, el atacante habría alcanzado un contenedor de servicio y lanzado retiros no autorizados. La firma aseguró que no encontró evidencia de fuga de claves privadas.

La respuesta de la industria fue inusualmente rápida: Tether bloqueó unos 1.600 millones y Circle más de 800 millones en USDC, según el artículo original. Binance cifró el total congelado en unos 3.000 millones y prometió cubrir todas las pérdidas con su fondo SAFU y fondos propios.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

TraderTraitor: el grupo que roba cripto para financiar un Estado

TRM Labs atribuye el ataque "con alta confianza" a TraderTraitor, el nombre que usa el FBI para una operación norcoreana vinculada al grupo Lazarus. Chainalysis llegó a una conclusión similar, según recoge FinanceFeeds, y el investigador ZachXBT lo describió como "probablemente Lazarus".

El detalle que conecta ambos casos: parte de las direcciones usadas en el robo a Binance ya se habían visto en el de Bybit. La preparación fue meticulosa. TRM detectó que los atacantes empezaron a montar la operación al menos 36 horas antes, financiando la wallet del operador con pequeños retiros de Tornado Cash.

TraderTraitor no entra por la puerta de la criptografía, sino por la de las personas. El nombre apareció por primera vez en un aviso conjunto del FBI, CISA y el Tesoro de EE UU en abril de 2022, y su método favorito es el social engineering: operadores que se hacen pasar por reclutadores y convencen a empleados de firmas cripto de ejecutar software malicioso.

En el robo de DMM Bitcoin en 2024, según el FBI, todo empezó con un supuesto reclutador de LinkedIn que contactó a un empleado de la empresa japonesa Ginco y lo convenció de correr código Python alojado en GitHub bajo la excusa de una prueba de contratación. El resultado fueron 4.502,9 bitcoins, unos 308 millones de dólares en ese momento.

El dinero tiene destino conocido. Tulsi Gabbard, directora de Inteligencia Nacional de EE UU, declaró ante el Congreso que estos robos ayudan a financiar al régimen de Kim Jong-un y su programa de armas estratégicas. Un informe de la ONU de 2024 estimó que el robo de criptomonedas podía aportar hasta la mitad de las divisas que recibe el país.

Operación FlashHole: cuando los atacantes usan cifrado poscuántico

Aquí está la parte que debería interesar a cualquier CTO. Kaspersky documentó la Operación FlashHole, activa desde al menos julio de 2025 y dirigida a empresas surcoreanas de software, construcción y telecomunicaciones. El señuelo fue un currículum falso con una foto probablemente generada con IA.

Lo relevante no es el phishing, sino la herramienta: Lazarus protege la descarga de nuevos programas con ML-KEM-1024, un algoritmo poscuántico. Sojun Ryu, investigador de Kaspersky, señaló que esta tecnología "se considera la criptografía del futuro, está diseñada para seguir siendo segura contra computadoras cuánticas". ML-KEM es uno de los tres estándares que NIST finalizó en agosto de 2024.

El mensaje para los defensores es incómodo: mientras la mayoría de las empresas sigue postergando la migración a criptografía poscuántica, un grupo estatal ya la usa para que sus cargas maliciosas no queden expuestas ante investigadores.

Las "granjas de portátiles": el fraude laboral que puede tocar a tu startup

Corea del Norte tiene una segunda fuente de divisas mucho más discreta: el teletrabajo. Informáticos norcoreanos consiguen empleo remoto con identidades robadas y usan portátiles de la empresa alojados en casas de cómplices en EE UU, las llamadas "granjas de portátiles".

El Departamento de Justicia detalló un esquema que afectó a más de 70 empresas y generó unos 3 millones de dólares. En Texas, el FBI registró más de 40 viviendas y se incautó de unos 187 dispositivos.

Si tu startup contrata desarrolladores remotos en distintos países, esto no es una historia lejana: es un riesgo operativo, de propiedad intelectual y de compliance.

¿Qué significa esto para tu startup?

Tres lecciones concretas que puedes aplicar esta semana:

Tu mayor vulnerabilidad son las personas, no el código. TraderTraitor entra por reclutadores falsos y pruebas técnicas maliciosas. Si tu equipo evalúa candidatos con código de terceros, aísla ese código en un sandbox y nunca lo ejecutes en una máquina con acceso a producción o a las claves del negocio.
Verifica la identidad de tus contratistas remotos. El esquema de las granjas de portátiles funcionó en más de 70 empresas. Pide videollamadas con verificación de identidad, valida documentación y desconfía de perfiles que evitan aparecer en cámara o que trabajan desde dispositivos enviados por terceros.
Abre el ítem de migración poscuántica en tu roadmap. Que un grupo estatal ya use ML-KEM-1024 para proteger su malware significa que el cifrado actual tiene fecha de vencimiento. No es urgente mañana, pero sí conviene empezar a inventariar dónde usas criptografía y cuánto te costaría rotarla.

Y una cuarta, más de fondo: si tu startup opera con cripto, asume que el riesgo de custodia no es teórico. La industria congeló casi 3.000 millones en horas, pero TRM estimó que más de 420.000 ETH y 18.270 BTC — unos 2.400 millones — quedaron fuera del alcance de cualquier emisor. El siguiente paso del blanqueo, según la misma firma, pasa por puentes cross-chain, servicios de swap y brokers over-the-counter.

Conclusión

El robo a Binance no es solo una noticia de cripto: es la demostración de que un Estado con recursos limitados puede competir en la liga de los ataques más sofisticados del mundo y financiarse con ellos. Para un founder, la lectura práctica es que la seguridad dejó de ser un tema exclusivo de infraestructura y pasó a ser un tema de personas, de procesos de contratación y de roadmap tecnológico. La atribución sigue siendo preliminar y el FBI no se ha pronunciado oficialmente, así que la cautela es obligatoria. Pero el patrón —reclutadores falsos, portátiles comprometidos, criptografía de última generación— ya es lo bastante claro como para revisar tus propios procesos hoy.