Los autores del exploit de 6.300 millones de dólares a Binance han transferido aproximadamente el 81% de los 970.522 SOL sustraídos, blanqueando el producto del robo a través de THORChain después de que el protocolo cross-chain restableciera la operativa el miércoles. Las carteras vinculadas al hack conservan aún 182.443 SOL (16,9 millones de dólares), lo que representa el 18,8% del botín, según datos de Arkham citados por Lookonchain.
Puntos Clave
- Los hackers movieron el 81% de los 970.522 SOL robados (hack total de 6.300 millones) vía THORChain tras reanudarse los swaps el miércoles.
- El FBI atribuyó el ataque al grupo norcoreano TraderTraitor; instó a operadores de THORNode a bloquear flujos ilícitos.
- 182.443 SOL (16,9 millones, 18,8% del botín) permanecen en carteras de los hackers según datos de Arkham.
- Binance repuso el 98% de los tokens de usuarios; registró 2.300 millones en entradas netas tras el hack.
- La parada de THORChain (sábado-miércoles) por bug de reorg en Ethereum interrumpió temporalmente el blanqueo.
Resumen Ejecutivo de Inteligencia
Mecánica del blanqueo y papel de THORChain
El investigador blockchain Lookonchain informó el miércoles de que los atacantes fraccionaron los SOL en múltiples carteras, vendiéndolos por USDC, puentearon a Ethereum para comprar Ether y, finalmente, intercambiaron ETH por Bitcoin (BTC) a través de THORChain. Este enrutamiento cross-chain explota la funcionalidad nativa de swap de activos de THORChain, que no depende de tokens envueltos (wrapped), dificultando el rastreo y la congelación a los equipos de cumplimiento.
La actividad de blanqueo se vio inadvertidamente retrasada durante el fin de semana cuando THORChain detuvo sus servicios el sábado. Una reorganización de bloques en Ethereum expuso un bug de reembolsos, lo que llevó al protocolo a pausar la operativa en Bitcoin, Ethereum y varias cadenas más. Chainalysis confirmó que la parada frenó el flujo de los hackers. Los servicios se reanudaron el miércoles, reabriendo la principal vía de blanqueo.
Atribución y respuesta de las autoridades
El Buró Federal de Investigación (FBI) de EE. UU. atribuyó el ataque al grupo de hackers norcoreano TraderTraitor el sábado, instando a los proveedores de servicios cripto —incluidos los operadores de THORNode— a bloquear transacciones vinculadas a los activos robados. Corea del Norte desestimó las acusaciones; Kim Yo Jong, hermana del líder Kim Jong Un, tachó los cargos de 'retórica absurda'. Se sospecha que TraderTraitor también utilizó THORChain para lavar los fondos del hack de 1.400 millones de dólares a Bybit.
Remediación de Binance e impacto en mercado
Binance declaró el martes que había repuesto el 98% de los tokens de los usuarios afectados y absorbería las pérdidas restantes. El exchange rastreó la brecha a dispositivos de empleados comprometidos mediante falsas entrevistas de trabajo y descargas de software malicioso. Por separado, Binance registró 2.300 millones de dólares en entradas netas, señalando el retorno de la confianza de los usuarios pese a la brecha histórica. Chainalysis estimó en aproximadamente 500 millones de dólares el valor total movido a través de la red Tron durante el proceso de blanqueo, mientras el investigador SomaXBT calcula que el 54% de las más de 47.600 transacciones de los atacantes en Tron y Solana fueron automatizadas.
Perspectivas: cumplimiento de nodos y riesgo residual
La variable crítica es si los operadores de THORNode —quienes validan y ejecutan los swaps cross-chain— implementarán la petición del FBI de filtrar flujos ilícitos. El modelo de gobernanza descentralizada de THORChain complica la ejecución; ninguna entidad puede censurar transacciones unilateralmente sin consenso. Los 182.443 SOL restantes (16,9 millones de dólares) en carteras controladas por los hackers representan la exposición residual inmediata. Los participantes del mercado deben monitorizar los flujos on-chain para detectar nuevos puentes a Ethereum y conversión a BTC, así como cualquier guía regulatoria dirigida al conjunto de validadores de THORChain.
