Los dos mayores robos de criptomonedas de la historia fueron perpetrados por el mismo grupo: el FBI vincula el robo de Binance con TraderTraitor

La industria de las criptomonedas afronta una importante novedad en materia de seguridad: al parecer, los dos mayores robos de la historia del sector fueron atribuidos al mismo grupo de hackers vinculado a Corea del Norte.

El Buró Federal de Investigaciones (FBI) ha identificado a TraderTraitor como el grupo responsable del robo de más de 6.300 millones de dólares en activos digitales de Binance. Esta atribución conecta el incidente de Binance con el hackeo de Bybit, ocurrido en febrero de 2025 y valorado en aproximadamente 1.500 millones de dólares, que el FBI ya había vinculado anteriormente con el mismo grupo.

Si las investigaciones forenses y legales definitivas confirman estos hechos, no se trataría simplemente de dos ataques aislados contra exchanges. En conjunto, ambos casos muestran cómo las redes de ciberdelincuencia vinculadas a Estados están combinando ingeniería social, software malicioso, ataques contra la infraestructura de las wallets y sofisticadas técnicas de blanqueo on-chain a una escala sin precedentes.

Un nuevo récord en el robo de criptomonedas

Según los informes, el incidente de Binance superó al ataque contra Bybit y se convirtió en el mayor robo de criptomonedas registrado hasta la fecha. Aunque las estimaciones pueden cambiar a medida que los investigadores rastreen wallets adicionales e identifiquen los activos afectados, las pérdidas comunicadas se sitúan en miles de millones de dólares.

La atribución del FBI es especialmente importante porque coincide con análisis anteriores de empresas de inteligencia blockchain. Al parecer, investigadores de organizaciones como TRM Labs y Chainalysis identificaron similitudes entre los ataques contra Binance y Bybit, entre ellas:

• Patrones operativos comparables
• Uso reiterado de wallets intermediarias
• Movimiento rápido de los fondos robados a través de múltiples cadenas
• Uso de servicios descentralizados y conversiones entre cadenas
• Infraestructuras de blanqueo coincidentes
• Pequeñas transferencias preliminares utilizadas para preparar operaciones posteriores

Las transacciones en blockchain son públicas por diseño, pero esa visibilidad no significa que los fondos sean fáciles de recuperar. Los atacantes pueden dividir los activos en miles de transferencias, moverlos entre distintas redes, intercambiar tokens y utilizar servicios que mejoran la privacidad para dificultar la atribución.

¿Quién es TraderTraitor?

TraderTraitor está considerado ampliamente como una rama operativa central del ecosistema más amplio de ciberdelincuencia norcoreano, asociado habitualmente con el Grupo Lazarus.

El nombre del grupo refleja una táctica recurrente: atacar a personas y organizaciones relacionadas con el comercio de criptomonedas, el desarrollo de blockchain, la custodia de activos digitales y las infraestructuras financieras. Entre sus operaciones se incluyen campañas falsas de contratación, aplicaciones maliciosas, suplantaciones de identidad y ataques contra empleados con acceso a sistemas de firma o software relacionado con wallets.

El Gobierno de Estados Unidos ha advertido en repetidas ocasiones que los actores cibernéticos vinculados a Corea del Norte utilizan el robo de criptomonedas para generar ingresos destinados al régimen. Los recursos oficiales del FBI sobre ciberdelincuencia y las alertas de CISA ofrecen un contexto más amplio sobre las operaciones cibernéticas patrocinadas por Estados y las amenazas contra los activos digitales.

La importancia de TraderTraitor no reside únicamente en el valor de los activos robados, sino también en su capacidad para atacar las capas humanas y organizativas que rodean a los sistemas blockchain.

Un patrón presente en los principales robos de criptomonedas

Los incidentes de Binance y Bybit forman parte de una secuencia más amplia de ataques que se han asociado con TraderTraitor o con la misma red vinculada a Corea del Norte.

DMM Bitcoin: aproximadamente 308 millones de dólares

En mayo de 2024, el exchange japonés DMM Bitcoin sufrió pérdidas de aproximadamente 308 millones de dólares, equivalentes a unos 4.502,9 BTC en aquel momento.

Los investigadores atribuyeron el incidente a una campaña de ingeniería social en la que un atacante utilizó una falsa oferta de empleo en LinkedIn para dirigirse a un empleado de Ginco, una empresa dedicada al software para wallets. Al parecer, el empleado fue inducido a ejecutar código malicioso, lo que permitió a los atacantes interferir en el entorno operativo de la compañía.

El caso puso de manifiesto una realidad crítica en materia de seguridad: un atacante no siempre necesita comprometer directamente una blockchain. Obtener acceso a un desarrollador, un administrador o un flujo de aprobación de transacciones puede ser suficiente para autorizar una transferencia catastrófica.

Bybit: aproximadamente 1.500 millones de dólares

El ataque contra Bybit, ocurrido en febrero de 2025, se convirtió en el mayor robo de criptomonedas conocido hasta ese momento, con pérdidas estimadas en unos 1.500 millones de dólares.

El FBI atribuyó públicamente el incidente a TraderTraitor. El ataque también puso el foco en los riesgos asociados a los sistemas de aprobación de transacciones, las configuraciones multifirma y las interfaces utilizadas para revisar transferencias complejas de activos digitales.

Una wallet multifirma puede reducir el riesgo derivado de que una sola clave se vea comprometida, pero no constituye una solución completa. Si varios firmantes son engañados, si la interfaz de firma muestra información engañosa o si un atacante compromete la infraestructura circundante, un proceso multifirma también puede ser explotado.

KelpDAO: aproximadamente 292 millones de dólares

En abril de 2026, KelpDAO sufrió presuntamente pérdidas de aproximadamente 292 millones de dólares.

Los investigadores de seguridad señalaron varias características aparentemente coherentes con actividades anteriores de TraderTraitor, entre ellas pequeñas transferencias iniciales asociadas con Tornado Cash, la preparación anticipada de transacciones relacionadas con la firma y movimientos cuidadosamente planificados antes del exploit principal.

En casos como este, la atribución suele ser probabilística y no inmediata. Los analistas comparan el comportamiento de las transacciones, la reutilización de infraestructuras, las relaciones entre wallets, los patrones del malware y el momento de las transferencias antes de llegar a una conclusión.

Bitget: pérdidas estimadas entre 350 y 387 millones de dólares

Un incidente ocurrido en Bitget en septiembre de 2026 fue valorado por distintas fuentes entre 350 y 387 millones de dólares.

Según los informes, los analistas identificaron conexiones entre los fondos robados y wallets asociadas anteriormente con actividades vinculadas a TraderTraitor. Las coincidencias sospechosas incluían rutas de blanqueo compartidas, patrones similares de división de fondos y activos que posteriormente se mezclaron con fondos procedentes de otros grandes robos.

Cuando varios robos utilizan los mismos servicios de conversión, puentes o direcciones intermediarias, los investigadores de blockchain pueden identificar en ocasiones una red operativa más amplia. Sin embargo, que los fondos pasen por una infraestructura común no demuestra automáticamente que todos los incidentes hayan sido perpetrados por las mismas personas. Para realizar una atribución definitiva es necesario combinar las pruebas on-chain con inteligencia obtenida fuera de la cadena.

Binance: más de 6.000 millones de dólares

El robo de Binance se habría producido en octubre de 2026 y habría provocado pérdidas superiores a 6.000 millones de dólares. La atribución del FBI a TraderTraitor sitúa ahora al grupo en el centro del mayor robo de criptomonedas de la historia.

La magnitud del incidente destaca por dos motivos. En primer lugar, demuestra que el impacto financiero de un único compromiso puede rivalizar actualmente con el de grandes delitos financieros tradicionales. En segundo lugar, indica que las técnicas del grupo han evolucionado desde el phishing oportunista hasta campañas de largo plazo dirigidas contra ecosistemas complejos de activos digitales.

Por qué importan los casos de Binance y Bybit

La conexión entre los dos mayores robos de criptomonedas cambia la forma en que la industria debería evaluar la seguridad de los exchanges.

1. La blockchain quizá no sea el principal punto débil

En muchos incidentes a gran escala, el protocolo blockchain subyacente continúa funcionando tal como fue diseñado. El problema aparece en los puntos donde las personas y las aplicaciones interactúan con la cadena:

• Sistemas de custodia de los exchanges
• Entornos de desarrollo
• Dispositivos de firma
• Paneles de aprobación de transacciones
• Infraestructuras en la nube
• Canales de comunicación de los empleados
• Software de wallets de terceros
• Claves API y credenciales de acceso

Por eso, la seguridad blockchain debe abordarse como una disciplina integral, de extremo a extremo, y no únicamente como una cuestión relacionada con el código de los contratos inteligentes.

2. La ingeniería social sigue siendo muy eficaz

Las falsas ofertas de empleo, oportunidades de inversión, propuestas de colaboración y documentos técnicos continúan siendo vectores de ataque muy poderosos.

Los empleados de empresas blockchain suelen estar expuestos a un gran volumen de mensajes no solicitados. Un archivo o una aplicación maliciosa puede parecer legítimo, especialmente cuando se presenta dentro de una conversación realista sobre contratación o desarrollo empresarial.

Por tanto, las organizaciones deben asumir que incluso los empleados con amplia experiencia técnica pueden convertirse en objetivos. La formación en seguridad no debe limitarse a las contraseñas y los enlaces de phishing, sino que también debe abarcar los repositorios de código, las herramientas de acceso remoto, el software de wallets, las extensiones del navegador y los procesos de firma.

3. La revisión de las transacciones debe ser comprensible para las personas

Una transacción puede parecer legítima a primera vista y, sin embargo, contener detalles peligrosos. Los atacantes pueden manipular las aprobaciones de tokens, las interacciones con contratos, las direcciones de destino o los parámetros de la transacción.

Los equipos de seguridad deberían utilizar canales de verificación independientes y exigir a los firmantes que confirmen:

• La dirección exacta de destino
• El activo y la cantidad que se transferirán
• Los permisos sobre contratos que se concederán
• Los identificadores de la red y de la cadena
• El propósito de la transacción
• Si la transacción coincide con una solicitud interna aprobada

Aprobar una transacción a ciegas simplemente porque aparece en una interfaz conocida es uno de los hábitos más peligrosos en las operaciones con activos digitales.

4. El rastreo on-chain es potente, pero no instantáneo

Los registros públicos permiten a los investigadores seguir los activos robados de una forma que a menudo resulta imposible con el dinero en efectivo tradicional. Sin embargo, rastrear los fondos no garantiza recuperarlos.

Los atacantes pueden utilizar:

• Puentes entre cadenas
• Exchanges descentralizados
• Intercambios de tokens
• Múltiples wallets intermediarias
• Servicios que mejoran la privacidad
• Brókeres extrabursátiles
• Wallets inactivas que solo se activan tras largos periodos

El resultado es una carrera constante entre investigadores y delincuentes. Los exchanges, custodios, empresas de análisis y organismos policiales deben compartir información con rapidez, ya que las primeras horas después de un incidente pueden ser decisivas.

Qué pueden hacer ahora los usuarios y las organizaciones

Los casos de TraderTraitor ofrecen lecciones prácticas tanto para los usuarios particulares como para los equipos profesionales de criptomonedas.

Separar los activos a largo plazo de los fondos destinados al trading activo

Los activos que no se necesiten para operar a diario no deberían permanecer conectados a cuentas de exchanges o aplicaciones expuestas a Internet. Un modelo de custodia compartimentado puede limitar la cantidad comprometida si una cuenta de trading, una clave API o un equipo de trabajo se ve afectado.

Utilizar la aprobación de transacciones basada en hardware

Una hardware wallet puede mantener las claves privadas aisladas de los ordenadores de uso general y reducir la exposición al malware. Sin embargo, el dispositivo no sustituye a una verificación cuidadosa de las transacciones. Los usuarios deben comprobar la dirección, la red, la cantidad y la interacción con el contrato antes de aprobar una transferencia.

Mantener copias de seguridad independientes de la frase semilla

La frase de recuperación de una wallet debe generarse y almacenarse sin conexión. Nunca debe introducirse en un sitio web, una aplicación de mensajería, un documento en la nube o un software desconocido.

Los usuarios también deberían evitar fotografiar o copiar digitalmente la frase de recuperación. Las copias físicas deben protegerse frente a accesos no autorizados, incendios, agua y pérdidas accidentales.

Tratar los mensajes de contratación no solicitados como incidentes de seguridad

Para quienes trabajan en Web3, una oferta de empleo o una propuesta de colaboración puede ser un intento de ataque. Los archivos, repositorios, aplicaciones de videollamadas, extensiones del navegador y herramientas relacionadas con wallets deben verificarse mediante un canal de comunicación independiente antes de instalarlos o ejecutarlos.

Añadir controles operativos para los equipos de tesorería

Las organizaciones que gestionan activos digitales importantes deberían considerar:

• Varias capas independientes de aprobación
• Listas de direcciones permitidas y retrasos en los retiros
• Simulación de transacciones antes de firmarlas
• Dispositivos separados para firmar y comunicarse
• Controles estrictos de acceso basados en roles
• Procedimientos de pausa de emergencia
• Supervisión continua de la actividad de las wallets
• Revisiones periódicas de las integraciones con terceros
• Simulacros de respuesta ante incidentes

Ningún control aislado es suficiente frente a un adversario con abundantes recursos. La defensa más sólida combina aislamiento técnico, disciplina operativa y detección rápida.

Qué significa esto para el futuro de la seguridad en las criptomonedas

Los últimos incidentes refuerzan un cambio más amplio en el panorama de amenazas. El robo de criptomonedas ya no se limita a atacar wallets personales mal protegidas o explotar vulnerabilidades evidentes en contratos inteligentes. Los grandes grupos criminales apuntan cada vez más a la infraestructura que conecta a las personas, las aplicaciones, los exchanges y las blockchains.

Las mejoras de seguridad más valiosas probablemente procederán de:

• Interfaces de firma mejor diseñadas
• Simulaciones de transacciones más claras
• Un aislamiento más sólido de los dispositivos
• Una mejor formación de los empleados en materia de seguridad
• Una cooperación más rápida entre exchanges e investigadores
• Procedimientos más eficaces de sanción y congelación de activos
• Detección automatizada de flujos de fondos sospechosos
• Mayor transparencia sobre la arquitectura de custodia

Para la industria, la lección central es clara: proteger las claves privadas es necesario, pero solo constituye una parte del problema. Proteger los activos digitales también exige asegurar los dispositivos, las identidades, las aplicaciones, los procedimientos de aprobación y los canales de comunicación que rodean cada transacción.

Una capa práctica de protección para los usuarios particulares

Para las personas que poseen cantidades importantes de criptomonedas, una hardware wallet puede proporcionar una capa de protección relevante al mantener las operaciones con claves privadas separadas de un ordenador conectado a Internet.

Las hardware wallets de OneKey están diseñadas en torno al aislamiento offline de las claves y la aprobación de transacciones directamente en el dispositivo. Esto puede ayudar a reducir el riesgo de que el malware instalado en un ordenador extraiga las claves privadas sin que el usuario lo detecte. Aun así, los usuarios deben verificar cuidadosamente cada transacción y seguir prácticas seguras de copia de seguridad, ya que la custodia basada en hardware no puede proteger los fondos si la frase de recuperación queda expuesta o se aprueba una transacción maliciosa.

Los casos de Binance y Bybit demuestran por qué la autocustodia debe abordarse como un proceso de seguridad completo, no simplemente como la compra de un dispositivo. La generación segura de claves, las copias de seguridad offline, la verificación de direcciones y unos hábitos disciplinados de firma son elementos fundamentales para hacer frente a unas campañas de robo de criptomonedas cada vez más sofisticadas.