El responsable global de política y asuntos gubernamentales de TRM Labs, Ari Redbord, ha caracterizado el robo de 6.300 millones de dólares a Binance como "ciberguerra" y ha instado a los Gobiernos a realizar operaciones cibernéticas ofensivas contra la infraestructura de hackeo norcoreana, argumentando que el éxito sin precedentes de la industria al congelar el 40% de los fondos sustraídos no disuadirá a un régimen para el que el robo de criptoactivos constituye aproximadamente un tercio de su PIB.
Puntos Clave
- El grupo norcoreano TraitorTrader atribuido como autor del hackeo de 6.300 millones a Binance (intrusión de ocho semanas mediante ingeniería social de reclutadores y herramienta de IA comprometida) y del hackeo de 1.500 millones a Bybit en febrero de 2025.
- La industria congeló ~2.670 millones (40% de los fondos robados) en una coordinación sin precedentes; Tether congeló 971,1 millones de USDT en 37 minutos a través de la red Beacon de TRM.
- El ataque equivale a ~1/3 del PIB de Corea del Norte y al 50% de todo el robo cripto estatal desde 2017 (12.500 millones total); Redbord argumenta que el congelamiento defensivo por sí solo no disuade.
- La Unidad de Delitos Financieros T3 (TRM, Tron, Tether) se disolvió en agosto de 2025 citando fallos de coordinación; Tether continúa vía Beacon.
- Redbord pide operaciones cibernéticas ofensivas gubernamentales, paridad defensiva habilitada por IA y acción contra redes de blanqueo; Fed/OCC revisando exposición de bancos estadounidenses.
Resumen Ejecutivo de Inteligencia
Mecánica del ataque y atribución
Binance reveló en un post-mortem del 3 de noviembre que los atacantes se hicieron pasar por reclutadores para instalar malware en el ordenador de trabajo de un ingeniero y, a continuación, explotaron una herramienta interna de IA comprometida para acceder al servicio de firma de carteras del exchange. La ventana de intrusión abarcó ocho semanas antes del exploit, según la firma de seguridad blockchain SEAL. TRM Labs atribuyó el ataque a un grupo norcoreano al que rastrea como TraitorTrader, citando pruebas "indiscutibles" tanto onchain como offchain. El mismo grupo fue vinculado al hackeo de 1.500 millones de dólares a Bybit en febrero de 2025.
Redbord señaló que el robo del 29 de octubre por parte de Corea del Norte representó la mitad de los 12.500 millones robados por hackers estatales desde 2017. "Incluso si los atacantes recuperan solo 1.000 millones, la recompensa potencial sigue siendo enorme", dijo. "Corea del Norte seguirá haciéndolo mientras sea efectivo."
Coordinación industrial sin precedentes
La velocidad de la respuesta de la industria marcó un punto de inflexión. Tether congeló 971,1 millones de USDT en 37 minutos tras la retirada principal. Las congelaciones combinadas de emisores de stablecoins totalizaron aproximadamente 2.670 millones de dólares, lo que representa el 40% del monto sustraído. "Nunca se había hecho nada parecido", dijo Redbord. "Lograron recuperar el 40% directamente desde el principio."
La coordinación fue facilitada por la red Beacon de TRM, un sistema de intercambio de inteligencia lanzado en 2025. "Normalmente veo unas pocas alertas de Beacon al día. He visto, no sé, cientos o quizá incluso mil alertas de Beacon en los últimos días", dijo Redbord. La red permitió a las empresas inmovilizar fondos antes de trabajar para incautarlos.
Brechas estructurales y la disolución de la unidad T3
A pesar del éxito de la coordinación, persisten debilidades estructurales. Bloomberg informó el 4 de noviembre que la Unidad de Delitos Financieros T3 —formada por TRM, Tron y Tether en septiembre de 2024— se disolvió a finales de agosto de 2025, con fuentes que citan respuestas lentas y mala coordinación. Tether dijo que continuará trabajando con TRM a través de Beacon. La disolución plantea dudas sobre la durabilidad de las asociaciones público-privadas sin una gobernanza formal.
El informe de brecha de capacidad de TRM halló que la asimetría entre atacantes y defensores se ensancha, impulsada por la adopción temprana de tecnologías de frontera como la IA por parte de los hackers. Redbord argumentó que las fuerzas del orden y los equipos de cumplimiento necesitan capacidades de IA equivalentes para encontrar y parchear vulnerabilidades a la velocidad a la que los atacantes las explotan.
Implicaciones de política y perspectivas futuras
"Cada vez que Corea del Norte hackea, deberíamos hackearlos a ellos", dijo Redbord, pidiendo operaciones cibernéticas ofensivas y acción contra redes de blanqueo y bancos utilizados para el cobro. La Fed y la OCC habrían comenzado a revisar la exposición de los bancos estadounidenses tras el hackeo. Es probable que se intensifique el escrutinio regulatorio sobre los controles de carteras calientes de los exchanges y la gobernanza de herramientas internas de IA. La atribución a TraitorTrader, si es confirmada por las autoridades, podría desencadenar designaciones de sanciones y aislar aún más las redes financieras norcoreanas.
