Binance dice haber repuesto el 95% del hackeo que el FBI atribuye a Corea del Norte, pero aún faltan retiradas

Binance da un nuevo paso hacia la normalidad tras el hackeo del 29 de octubre. La plataforma ha comenzado a ampliar las retiradas de criptomonedas este 3 de noviembre, a partir de las 05:00 de la mañana en España peninsular, con una segunda fase que incorpora más activos en nueve redes. Además, la compañía asegura haber repuesto ya el 95% de los activos afectados por el ataque.

Los avances llegan mientras se conocen nuevos detalles sobre el robo, valorado en más de 6.000 millones de dólares. El FBI ha atribuido el ataque al grupo norcoreano TraderTraitor y Binance ha publicado una prueba criptográfica de reservas para diez activos, con la que busca demostrar el respaldo de los saldos de sus clientes.

Binance amplía las retiradas de criptomonedas desde el 3 de noviembre

Después de varios días de restricciones, Binance continúa recuperando progresivamente su operativa. La compañía publicó el 3 de noviembre su sexto comunicado sobre el incidente de seguridad, en el que confirmó una nueva fase de reapertura de retiradas a partir de las 04:00 UTC (05:00 en España peninsular).

Esta segunda fase permite incorporar activos adicionales en nueve redes: BSC, que incluye todos los bSTOCKS, Ethereum, Solana, XRP, Sui, Arbitrum, Optimism, Tron y Base. Se suma así a la primera reapertura del 1 de noviembre, cuando comenzaron a habilitarse retiradas en 15 redes.

Entre los activos previstos figuran stablecoins como USD1, FDUSD, TUSD y RLUSD, además de BTC, ETH, SOL, XRP, LINK y ONDO en distintas redes. En Solana, el comunicado incluye 22 activos, entre ellos BONK, JUP y WIF.

Eso sí, la vuelta a la normalidad no será inmediata para todas las criptomonedas. Binance advierte de que los activos incluidos en el comunicado no estarán disponibles al mismo tiempo, ya que cada retirada se habilitará conforme se completen las comprobaciones de seguridad y los preparativos necesarios.

Para decidir cuáles se reactivan primero, la plataforma está teniendo en cuenta la demanda de los usuarios durante la semana anterior al anuncio.

Mientras tanto, los depósitos continúan abiertos y no se han visto afectados por estas restricciones. La compañía también avisa de que el elevado tráfico puede ocasionar retrasos, por lo que recomienda volver a intentarlo más tarde si alguna retirada falla. Los usuarios pueden consultar qué activos y redes están disponibles en la página de retiradas de Binance o en su apartado de estado de redes.

Binance asegura haber repuesto el 95% de los activos robados

La reapertura de retiradas no es el único avance que ha comunicado Binance. La plataforma también asegura que ya ha cubierto aproximadamente el 95% del importe afectado por el hackeo, según la actualización que publicó el 1 de noviembre.

La cifra supone un avance respecto al 90% que había comunicado el 31 de octubre. El 5% que todavía queda pendiente corresponde a tokens que no se encuentran entre los diez principales activos, tienen menor liquidez y requieren más tiempo para adquirirse.

Para hacer frente a las pérdidas, Binance afirma que está utilizando sus propios fondos. En su comunicado del 31 de octubre, la compañía había previsto recurrir parcialmente al fondo SAFU, a una parte del fondo de seguro de futuros y a su tesorería corporativa. También se comprometió a reponer el fondo SAFU hasta alcanzar aproximadamente los 1.000 millones de dólares.

La intención de la plataforma es que el coste del ataque no recaiga sobre sus clientes. Así lo expresó en ese mismo comunicado, en el que aseguró que asumiría el impacto financiero de los fondos robados en lugar de trasladárselo a los usuarios.

Como parte de las medidas posteriores al incidente, Binance completó el 2 de noviembre una prueba criptográfica de reservas mediante un sistema de conocimiento cero. La comprobación corresponde a la instantánea tomada el 31 de octubre a las 00:00 UTC y permite a los clientes verificar que sus saldos están respaldados al menos en una proporción de 1:1.

La prueba abarca diez activos: bitcoin, ether, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD y ZEC. Para realizarla, Binance combina un árbol de Merkle, que permite comprobar que cada saldo está incluido en la instantánea, con una tecnología zk-SNARK, que demuestra el respaldo de los fondos sin revelar los saldos individuales.

No obstante, esta verificación solo cubre los diez activos mencionados y los saldos existentes en la fecha de la instantánea. También conviene distinguir entre reponer los fondos con recursos de la empresa y recuperar el dinero sustraído por los atacantes, ya que no son lo mismo.

El FBI atribuye a Corea del Norte el hackeo de Binance

Mientras Binance trabaja para restablecer sus servicios, la investigación sobre los responsables del ataque también ha avanzado. El FBI comunicó el 31 de octubre que atribuye al grupo norcoreano TraderTraitor el robo de más de 6.000 millones de dólares en activos virtuales de la plataforma, cometido en torno al 29 de octubre.

Binance reservó más de 6.340 millones de dólares de fondos propios para cubrir las pérdidas, mientras que Bitquery cifra lo sustraído en unos 6.300 millones. Antes de que el FBI hiciera pública su atribución, las firmas especializadas en análisis blockchain TRM Labs y Chainalysis ya habían relacionado el ataque con TraderTraitor.

Según recogen BleepingComputer y Bitquery, Binance atribuye la intrusión al portátil comprometido de un ingeniero y afirma que no se filtró ninguna clave privada.

El FBI también ha ofrecido información sobre los movimientos posteriores al robo. Junto con el Servicio Secreto de Estados Unidos y la división de investigación criminal de la agencia tributaria estadounidense (IRS-CI), ha observado que los atacantes están convirtiendo los activos sustraídos principalmente en ether.

La agencia estadounidense prevé que, después de estas conversiones, los responsables intenten blanquear los fondos mediante servicios de finanzas descentralizadas (DeFi) y plataformas de intercambio instantáneo de criptomonedas.

Para dificultar estos movimientos, el FBI ha pedido bloquear las operaciones vinculadas a las direcciones de los atacantes. El llamamiento se dirige a operadores de nodos THORNode y RPC, casas de cambio instantáneas, servicios DeFi y empresas de análisis blockchain.

El aviso oficial incluye una lista de 628 direcciones relacionadas con el robo: 608 de Ethereum, 19 de Bitcoin y una de Solana, con el objetivo de facilitar su identificación y evitar que los fondos sigan moviéndose a través de estos servicios.

Bitquery calcula que hay 2.700 millones de dólares congelados o recuperados

Otro de los avances conocidos tras el ataque tiene que ver con el dinero que los responsables todavía pueden mover. Según un análisis de Bitquery actualizado el 2 de noviembre, unos 2.700 millones de dólares de los fondos robados estarían congelados o recuperados.

Dentro de esa cantidad destacan los 1.760 millones de dólares en USDT bloqueados por Tether y otros 823 millones en USDC congelados por Circle. Estas actuaciones limitan la capacidad de los atacantes para utilizar una parte importante de los activos sustraídos.

Sin embargo, el análisis de Bitquery también refleja que todavía quedaba una cantidad considerable en manos de los responsables del robo. A las 13:26 UTC del 2 de noviembre, la firma estimaba que los atacantes conservaban unos 3.000 millones de dólares, principalmente en bitcoin y ether.

En concreto, el análisis localiza 18.270 BTC repartidos en 19 direcciones y unos 540.000 ETH, casi todos en ocho monederos que nunca han enviado una transacción.

Estas cantidades son estimaciones de Bitquery y no cifras confirmadas por Binance. La propia firma advierte de que la identificación de los monederos relacionados con el ataque puede ser incompleta, por lo que los importes deben interpretarse teniendo en cuenta esa limitación.

Los clientes retiran 3.640 millones de dólares netos tras la reapertura

La recuperación progresiva del servicio también ha permitido conocer cómo han reaccionado los usuarios de Binance después del hackeo. Según los datos facilitados por la compañía, la plataforma registró salidas netas de 3.640 millones de dólares durante las primeras nueve horas y media de la reapertura del 1 de noviembre.

En ese periodo, los clientes retiraron un total de 4.650 millones de dólares, mientras que los depósitos alcanzaron los 1.010 millones. La diferencia entre ambas cantidades explica el saldo neto de salidas registrado por la plataforma.

Para poner esa cifra en contexto, los 3.640 millones equivalen al 2,1% de los 171.000 millones de dólares en activos que Binance recogía en su prueba de reservas del 28 de octubre.

A las 11:22 (hora del Este de EEUU) del 1 de noviembre, la página de estado de Binance mostraba retiradas suspendidas en 531 de las 552 monedas listadas, con 14 parcialmente restauradas, entre ellas bitcoin y ether, según The Block.

Según DefiLlama, los diez mayores exchanges siguientes sumaron unos 368 millones de dólares de entradas netas en 24 horas, con OKX a la cabeza (316,8 millones). Ese dato corresponde al 1 de noviembre a las 11:37 (hora del Este de EEUU).

Es importante no confundir estos movimientos con el propio hackeo. Las salidas netas corresponden a retiradas voluntarias realizadas por los clientes tras la reapertura del servicio, mientras que los 6.300 millones de dólares sustraídos corresponden al robo cometido por los atacantes.

“Después de un incidente así, la confianza se mide más por el comportamiento de los clientes que por los comunicados de la compañía. Si el volumen de retiradas se normaliza rápidamente, será una señal de que el daño reputacional ha quedado contenido; si persiste, el impacto puede prolongarse mucho más”, explica Pablo Vega, experto en finanzas de Roams.

Qué queda pendiente tras el hackeo de Binance

Aunque Binance ha logrado reponer buena parte de los activos afectados y continúa recuperando las retiradas, el incidente todavía no está completamente resuelto. La plataforma mantiene abiertas varias actuaciones para restablecer su operativa y aclarar lo ocurrido.

Estos son los principales asuntos pendientes:

• Reponer el 5% restante de los activos: Binance sigue trabajando con socios del sector para adquirir los tokens menos líquidos que todavía faltan por restituir.
• Publicar una nueva prueba de reservas: la próxima instantánea está prevista para el 4 de noviembre e incluirá más tokens. La compañía calcula que generar la prueba requiere entre 40 y 50 horas.
• Completar el informe del incidente: Binance se ha comprometido a publicar un informe posterior al ataque una vez concluya la investigación.
• Ampliar las retiradas: se seguirán incorporando redes y activos conforme se completen las comprobaciones necesarias y estén preparados para operar.

Por tanto, aunque la plataforma avanza en la reposición de activos y la recuperación de sus servicios, todavía quedan fondos pendientes de restituir, retiradas por habilitar y una investigación por cerrar. Los próximos comunicados de Binance permitirán conocer cómo evoluciona la situación y cuándo puede darse por completada la recuperación de la operativa.