3.100 millones de dólares del hackeo a Binance siguen sin lavar, según Elliptic

Aproximadamente 3.110 millones de los 6.430 millones sustraídos a Binance el 29 de octubre permanecen en direcciones controladas por hackers norcoreanos, informó el viernes la firma de análisis blockchain Elliptic. Los emisores de stablecoins Tether y Circle congelaron 2.850 millones (el 44% del botín) en una hora, una tasa de recuperación que supera con creces el 3% inmovilizado tras el hackeo de 1.500 millones a Bybit en febrero.

Puntos Clave

3.110 millones (48%) de los 6.430 millones del hackeo a Binance siguen sin lavar en carteras vinculadas a Corea del Norte según Elliptic (informe 6 nov)
2.850 millones (44%) congelados por Tether/Circle en una hora — frente al 3% de tasa de congelación en el hackeo de Bybit
18.270 BTC y 89% del ETH robado estáticos desde el 30 oct; 124 millones ya convertidos a BTC vía THORChain
Lavado usó 20.000+ carteras en 16 cadenas, 65.000+ txns; Elliptic ve automatización pero no agentes de IA
Binance apunta a reapertura total de retiradas para finales de la próxima semana con verificación ZK proof-of-reserves activa

INTELLIGENCE

Resumen Ejecutivo de Inteligencia

Qué Sucedió: Blockchain analytics firm Elliptic reports that approximately $3.11 billion of the $6.43 billion stolen from Binance on October 29 remains unlaundered in addresses linked to North Korean hackers, while $2.85 billion has been frozen by stablecoin issuers.

Por Qué Importa: The unprecedented 44% freeze rate contrasts sharply with the 3% recovery in the Bybit hack, demonstrating improved industry coordination, while the remaining funds pose a sustained over-the-counter liquidation risk to Bitcoin and Ethereum markets over coming months.

Qué Vigilar: Monitor Binance withdrawal reopening schedule for end of next week; track OTC desk flows and Bitcoin conversion rates for the remaining 18,270 BTC and 89% of stolen ETH; watch for further Treasury sanctions on identified laundering infrastructure across 16 blockchains.

Mecánica del lavado y flujos actuales de fondos

La operación de lavado ha sido "altamente compleja y claramente automatizada", según Elliptic, utilizando más de 20.000 carteras en 16 blockchains, al menos 36 servicios y unas 65.000 transacciones —aproximadamente una nueva cartera cada 30 segundos. A pesar de la velocidad, Elliptic no halló evidencia de toma de decisiones impulsada por IA.

La mayor actividad se ha centrado en Tron, donde una única cartera de distribución envió 684,6 millones de TRX (220 millones de dólares) a cientos de direcciones en 51 horas, incluidas las horas nocturnas en Pyongyang. Casi todo el TRX fue puenteado a Ethereum. Los fondos robados en Solana (87 millones) se han intercambiado, puenteado o mezclado por completo. El lavado de XRP ha comenzado con 50 millones convertidos vía THORChain a Bitcoin y 226 millones pendientes. El total de Bitcoin convertido desde otros activos asciende a unos 1.650 BTC (124 millones), casi el doble que la víspera.

Algunos fondos han entrado en servicios de mezcla: aproximadamente 33 BTC (2,5 millones) mediante coinjoins estilo Wasabi y 1,1 millones en ETH y SOL en el pool de Privacy Cash, que pausó los depósitos durante aproximadamente un día.

Contraste en la congelación de activos y coordinación del sector

La tasa de congelación del 44% representa una mejora dramática frente al hackeo de Bybit, donde solo se interceptó el 3%. La capacidad de Tether y Circle para congelar stablecoins en una hora tras el robo demuestra la creciente eficacia de los controles a nivel de emisor. Sin embargo, los activos nucleares —18.270 BTC (valorados en ~1.500 millones en el momento del robo) repartidos en 19 direcciones el día del hackeo, y nueve direcciones de Ethereum que retienen el 89% del ETH sustraído— no se han movido desde el 30 de octubre, lo que indica que los atacantes guardan los activos más líquidos para su conversión posterior.

Atribución y patrones operativos

El FBI ha atribuido el robo a TraderTraitor, un grupo de hackers norcoreano. Pyongyang ha negado su implicación. Elliptic señala que el tempo operativo —incluida la actividad nocturna alineada con la hora de Pyongyang— y los patrones de distribución automatizados son consistentes con operaciones norcoreanas previas. La firma espera que el ETH restante se intercambie por Bitcoin y se liquide a través de brokers over-the-counter durante un período de meses, replicando el patrón de Bybit donde 499.000 ETH se lavaron en 10 días pero la salida a efectivo llevó meses.

Recuperación del exchange e implicaciones de mercado

Binance continúa la restauración de servicios. El viernes, el exchange habilitó a los usuarios para verificar que los saldos están respaldados 1:1 mediante prueba de conocimiento cero en su última instantánea de prueba de reservas, apuntando a la reapertura total de retiradas para todos los tokens en redes restauradas para finales de la próxima semana. La conversión sostenida de altcoins robadas a Bitcoin vía THORChain y su posterior liquidación OTC crea un exceso estructural para los mercados de BTC, mientras que las stablecoins congeladas retiran efectivamente 2.850 millones de liquidez de la circulación. Bitcoin prueba el soporte de 75.000 $ tras la caída del 6 % por el hackeo de Binance y el hackeo expone brechas en el control de carteras calientes.