🛡 CIBERCRIMEN 🛡

El FBI culpa a Corea del Norte por el robo de criptomonedas de Binance valorado en 6 mil millones de dólares.

⏰2 de noviembre de 2026🛡CyberObservatorio

Idioma

◢ CIBERCRIMEN ◣

El FBI culpa a Corea del Norte por el robo de criptomonedas de Binance valorado en 6 mil millones de dólares.

⟫ 01/11/2026 ⟫ Pierluigi Paganini

Fuente: Security Affairs

**El FBI Señala a Corea del Norte como Responsable del Robo de Más de 6,3 Mil Millones de Dólares en Criptomonedas de Binance**

El reciente ataque a la plataforma de intercambio de criptomonedas Binance ha puesto de manifiesto la creciente amenaza que representan los actores estatales en el ámbito del cibercrimen. El FBI ha identificado a Corea del Norte como el autor del robo de más de 6,3 mil millones de dólares en activos virtuales, un acontecimiento ocurrido el 29 de octubre de 2026. Este incidente subraya la magnitud del problema, ya que los ataques a exchanges de criptomonedas no solo afectan a las plataformas y sus usuarios, sino que también representan un desafío significativo para la seguridad global y la economía digital.

La alerta emitida por el FBI señala específicamente al grupo de amenazas persistentes avanzadas (APT) conocido como "TraderTraitor", también reconocido como Lazarus Group y APT38, todos vinculados a Corea del Norte. Esta designación resalta la conexión entre el cibercrimen y la actividad estatal en un contexto donde la creciente sofisticación de los ataques plantea riesgos tanto para individuos como para instituciones financieras.

Desde el lado de Binance, aunque no se ha señalado un culpable de manera oficial, la firma de análisis blockchain TRM fue la primera en atribuir el ataque a TraderTraitor. La compañía Chainalysis también ha confirmado su confianza en esta conclusión, lo que añade un nivel adicional de credibilidad a las afirmaciones del FBI.

El FBI ha declarado: "El Buró Federal de Investigaciones (FBI) está emitiendo información que indica que la República Popular Democrática de Corea (Corea del Norte) es responsable del robo de más de 6.000 millones de dólares en activos virtuales de la plataforma de criptomonedas Binance, alrededor del 29 de octubre de 2026. El FBI se refiere a esta actividad cibernética maliciosa específica de Corea del Norte como 'TraderTraitor'".

El modus operandi de los atacantes fue particularmente ingenioso; lograron acceder a la infraestructura de Binance a través de la computadora portátil de un ingeniero, permitiéndoles enviar solicitudes de retiro no autorizadas. A pesar de la magnitud del robo, Binance ha afirmado que no se encontraron evidencias de que los atacantes hayan robado claves privadas de las billeteras, lo que indica que la seguridad de las billeteras en sí mismas no fue comprometida, sino que fue un ataque a las operaciones internas de la plataforma.

El FBI, junto con el Servicio Secreto de EE. UU. (USSS) y la División de Investigación Criminal del IRS (IRS-CI), ha observado que los actores de TraderTraitor han estado convirtiendo los activos robados principalmente en Ethereum (ETH). Se prevé que estos activos sean blanqueados adicionalmente mediante el uso de servicios de finanzas descentralizadas (DeFi) y plataformas de intercambio instantáneo, preparando así los fondos para etapas de blanqueo posteriores. Este proceso de conversión y ocultamiento es crítico, ya que permite a los atacantes operar con un nivel de anonimato que complica la recuperación de los fondos robados.

La alerta del FBI está dirigida no solo a las fuerzas del orden, sino también a empresas del sector privado. Se han solicitado colaboraciones de diversos tipos de negocios, incluyendo operadores de nodos de THORChain, operadores de nodos RPC y plataformas de intercambio de criptomonedas, así como empresas de análisis blockchain. La petición es clara: estas empresas deben bloquear cualquier transacción asociada con las direcciones de billetera utilizadas por TraderTraitor, así como cualquier fondo que se pueda rastrear hasta ellas. Según el FBI, estas direcciones han recibido fondos robados y están controladas o asociadas de cerca con los atacantes norcoreanos. La lista completa de direcciones ha sido incluida en la alerta.

Para aquellas empresas que operan en este espacio, el primer paso es verificar sus listas de bloqueo contra la lista proporcionada por el FBI. El segundo paso es examinar los flujos de transacciones que toquen esas direcciones de manera indirecta, ya que el FBI ha indicado que se deben bloquear todos los fondos "derivados" de ellas, no solo las transferencias directas. Las firmas de análisis blockchain son fundamentales en este contexto, ya que su trabajo consiste precisamente en rastrear los fondos derivados.

El FBI ha reiterado su compromiso con la protección de la comunidad de activos virtuales, enfatizando su intención de identificar, mitigar y desarticular las actividades ilícitas de cibercrimen y robo de activos virtuales provenientes de Corea del Norte. "El FBI mantiene su compromiso de proteger la comunidad de activos virtuales identificando, mitigando y perturbando las actividades de cibercrimen y robo de activos virtuales de Corea del Norte", concluye el informe. Se insta a cualquier persona que posea información relevante a que se comunique con la oficina local del FBI o con el Centro de Quejas de Delitos por Internet (IC3) en ic3.gov.

TRM ha detallado que el atacante movió aproximadamente 6.36 mil millones de dólares de las billeteras de Binance a través de diez blockchains el 29 de octubre, la mayor parte en un intervalo de aproximadamente 20 minutos que comenzó a las 20:05 UTC. Este evento se convierte en el mayor robo de criptomonedas registrado hasta la fecha, aproximadamente cuatro veces mayor que el hackeo de 1.5 mil millones de dólares de Bybit ocurrido en febrero de 2025. Binance ha confirmado un incidente de seguridad y ha suspendido los retiros en varias redes.

"El 29 de octubre de 2026, un atacante movió aproximadamente 6.36 mil millones de dólares de las billeteras de Binance en diez blockchains, la mayor parte en unos 20 minutos a partir de las 20:05 UTC. Esto lo convierte en el mayor robo de criptomonedas registrado, aproximadamente cuatro veces el hackeo de 1.5 mil millones de dólares de Bybit en febrero de 2025. Binance ha confirmado un incidente de seguridad y ha suspendido los retiros en varias redes", declaró TRM. "Atribuimos el ataque a TraderTraitor, la unidad de hacking de élite de Corea del Norte, basado en inteligencia sólida tanto en cadena como fuera de ella. Hacemos esta evaluación con alta confianza. TRM está rastreando los fondos y alertando a los socios a través de la Red Beacon".

El congelamiento de los fondos solo logró un éxito parcial. Tether, Circle, Ripple y World Liberty Financial congelaron alrededor de 2.67 mil millones de dólares en stablecoins, mientras que el Consejo de Seguridad de Arbitrum congeló 8,426 ETH y 74.6 millones de ARB, sumando aproximadamente 2.7 mil millones de dólares en total. Sin embargo, el atacante logró eludir estos intentos de congelación al vender USDT a creadores de mercado y tomar prestado ETH contra USDT en Aave. En la actualidad, posee más de 420,000 ETH y 18,270 BTC, lo que equivale a aproximadamente 2.4 mil millones de dólares que están fuera del alcance de cualquier emisor.

Los primeros reportes sobre las cifras de congelación también fueron confusos; Tether y Circle congelaron aproximadamente 1.79 mil millones de dólares en stablecoins asociados con las transferencias sospechosas en los informes iniciales. Estos montos describen momentos distintos, y no se deberían sumar sin verificar si cubren activos diferentes. Un congelamiento solo afecta a tokens que tienen un emisor al que se puede llamar, y Ether y Bitcoin no cuentan con tal característica.

Este incidente no solo refuerza las preocupaciones sobre la seguridad de las criptomonedas, sino que también plantea preguntas sobre la capacidad de las autoridades para rastrear y recuperar activos robados en un ambiente donde los criptoactivos ofrecen un alto grado de anonimato. A medida que el cibercrimen evoluciona, es imperativo que tanto las empresas como las instituciones se mantengan alerta y colaboren para contrarrestar estas amenazas emergentes.

Para más información sobre el caso Binance, se puede ver mi entrevista en la televisión estatal italiana a través del siguiente enlace: [Entrevista sobre el caso Binance](https://www.youtube.com/watch?v=DtvhBA9TdPo).

Sigue mis actualizaciones en Twitter: @securityaffairs y en Facebook y Mastodon.

**Pierluigi Paganini**

(SecurityAffairs – hacking, Binance)

◢ CIBERCRIMEN ◣

FBI Blames North Korea for $6 Billion Binance Crypto Theft

⟫ 01/11/2026 ⟫ Pierluigi Paganini

Source: Security Affairs

The FBI has named North Korea as the party behind thetheft of more than $6 billionin virtual assets from the crypto exchange Binance, on or about October 29, 2026. The bureau published its findings in apublic alert. The FBI specifically blames the North Korea-linked APT “TraderTraitor,” also tracked asLazarus GroupandAPT38. Binance hasn’t named a culprit, but the blockchain analysis firm TRM has. It was the first to attribute the attack toTraderTraitor, and Chainalysis also said it’s highly confident in that finding. “The Federal Bureau of Investigation (FBI) is releasing information advising the Democratic People’s Republic of Korea (North Korea) was responsible for the theft of more than $6 billion USD in virtual assets from cryptocurrency exchange Binance, on or about October 29, 2026. The FBI refers to this specific North Korean malicious cyber activity as “TraderTraitor.””reads the FBI’s statement. “The FBI, together with partners at the USSS and IRS-CI, has observed TraderTraitor actors converting stolen assets primarily into Ethereum (ETH). It is expected these assets will then be further laundered by converting them using DeFi and instant swap services as they prepare them for further laundering stages.” Attackers used access from an engineer’s laptop to reach a service container and send unauthorized withdrawal requests. Binance says it has found no evidence that attackers stole any wallet private keys. The FBI, along with the U.S. Secret Service (USSS) and IRS Criminal Investigation (IRS-CI), has spotted TraderTraitor actors turning the stolen assets mostly into Ethereum (ETH). The agencies expect the next step to be more laundering, by swapping the funds through DeFi and instant swap services as the actors prepare them for later stages. Instant swap services are aptly named. The alert is aimed at private companies as well as law enforcement agencies. The FBI, USSS and IRS-CI are asking several types of businesses to help stop the money laundering. These include THORNode operators, who support the THORChain network, RPC node operators, who provide apps with access to blockchains, instant crypto exchanges, DeFi platforms, blockchain analytics companies and other crypto service providers. The request is clear: these companies should block any transactions involving the wallet addresses used by TraderTraitor, including funds that can be traced back to them. According to the FBI, these addresses have received stolen funds and are controlled by North Korean attackers or are closely linked to them. The full list of addresses is included in the alert. If you run any of these services, the first job is to check your blocklists against that list. The second is to look at transaction flows that touch those addresses indirectly, since the FBI says to block anything “derived from” them, not just direct transfers. Blockchain analytics firms are named for a reason, because tracing derived funds is their work. The FBI says it’s committed to protecting the virtual asset community by identifying, mitigating and disrupting North Korea’s illicit cybercrime and virtual asset theft. “The FBI maintains its commitment to protecting the virtual asset community by identifying, mitigating, and disrupting North Korea’s illicit cybercrime and virtual asset theft activities.” concludes the report. “If you have any information to provide, please contact your localFBI field officeor FBI’s Internet Crime Complaint Center atic3.gov.” TRM says the attacker moved about $6.36 billion out of Binance wallets on ten blockchains on October 29, most of it in roughly 20 minutes starting at 20:05 UTC. That makes it the largest crypto theft on record, about four times the $1.5 billion Bybit hack of February 2025. “On October 29, 2026, an attacker moved approximately USD 6.36 billion out of Binance wallets on ten blockchains, most of it in about 20 minutes starting at 20:05 UTC. That makes this the largest crypto theft on record, about four times the USD 1.5 billion Bybit hack of February 2025. Binance has confirmed a security incident and suspended withdrawals on several networks.”TRM said. “TRM attributes the attack to TraderTraitor, North Korea’s elite hacking unit, based on robust on and off-chain intelligence. We make this judgment with high confidence. TRM is tracking the funds and alerting partners through the Beacon Network.” Freezing the money only went partway. Tether, Circle, Ripple and World Liberty Financial froze about $2.67 billion in stablecoins, and Arbitrum’s Security Council froze 8,426 ETH and 74.6 million ARB, for roughly $2.7 billion in all. But the attacker raced the freezes by selling USDT to market makers and borrowing ETH against USDT on Aave. It now holds more than 420,000 ETH and 18,270 BTC, about $2.4 billion beyond any issuer’s reach. The early freeze numbers were messy too, Tether and Circle froze approximately $1.79 billion in stablecoins associated with the suspicious transfers in the initial reports. Those amounts describe different moments, and you shouldn’t add them without checking whether they cover distinct assets. A freeze works on tokens that have an issuer to call, and Ether and Bitcoin don’t. Below is the link to my interview regarding the Binance case for Italian state television. https://www.youtube.com/watch?v=DtvhBA9TdPo Follow me on Twitter:@securityaffairsandFacebookandMastodon Pierluigi Paganini (SecurityAffairs– hacking, Binance)

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD