World

TRON

View

Liberty

World Liberty Financial

View the <a href="https://www.cripto247.com/noticias-bitcoin/los-hackers-de-binance-crearon-un-token-propio-en-tron-para-lavar-fondos-robados-c%C3%B3mo-lo-hicieron" rel="noopener noreferrer nofollow">original article</a> to see embedded media.
Los <a href="https://www.cripto247.com/noticias-bitcoin/corea-del-norte-bajo-sospecha-por-el-mayor-hackeo-de-la-historia-qui%C3%A9nes-atacaron-a-binance" rel="noopener noreferrer nofollow">hackers norcoreanos</a> responsables del ataque a <a href="https://www.cripto247.com/noticias-bitcoin/el-hackeo-a-binance-qu%C3%A9-lecciones-dej%C3%B3-el-ataque" rel="noopener noreferrer nofollow">Binance</a> desarrollaron nuevos mecanismos para lavar las criptomonedas sustraídas, entre ellos la creación de un token propio que utilizaron para intercambiar fondos entre billeteras controladas por ellos mismos. La estrategia, identificada por la firma de análisis blockchain TRM Labs, busca romper los vínculos visibles entre las direcciones que reciben los activos robados y aquellas desde las que finalmente se retiran.
Los atacantes combinaron operaciones en la red TRON con protocolos de préstamos, intercambios descentralizados y servicios de transferencias entre blockchains. También comenzaron a distribuir parte de los fondos a través de distintas wallets de Solana.
El incidente <a href="https://www.cripto247.com/noticias-bitcoin/alerta-mundial-por-un-posible-hackeo-a-binance-el-precio-de-btc-cay%C3%B3-5" rel="noopener noreferrer nofollow">ocurrió el 29 de octubre</a>, cuando salieron aproximadamente USD 6360 millones de wallets de Binance distribuidas en diez redes. Dos días después, el FBI atribuyó el ataque a Corea del Norte y lo identificó bajo el nombre de TraderTraitor, la misma denominación utilizada para vincular a ese grupo con el hackeo de Bybit de febrero de 2025, que provocó pérdidas por USD 1500 millones.
<h2 id="c-mo-utilizaron-un-token-propio-para-ocultar-las-operaciones">¿Cómo utilizaron un token propio para ocultar las operaciones?</h2>
Uno de los mecanismos detectados por TRM Labs comenzó el 31 de octubre, cuando una dirección vinculada con el ataque creó un token que únicamente su emisor podía generar. La criptomoneda se negoció en un único fondo de liquidez de un exchange descentralizado de TRON, emparejada con un token que representa depósitos en un protocolo de préstamos.
El procedimiento involucró tres etapas: primero, distintas wallets recibieron TRX procedentes de direcciones vinculadas con el hackeo y los intercambiaron por USDT y posteriormente por tokens de depósito. Con esos activos compraron la criptomoneda recién creada.
Luego, el atacante generó nuevos tokens sin costo y los envió a otra billetera, que los vendió dentro del fondo de liquidez. De esa manera, retiró los tokens que representaban depósitos y los convirtió nuevamente en USDT.
La particularidad del mecanismo es que no existió una transferencia directa entre las wallets compradoras y la que recibió y vendió los tokens. El único vínculo entre ellas fue el fondo de liquidez, lo que dificulta detectar la conexión mediante un seguimiento convencional de las transferencias entre direcciones.
TRM también identificó otra modalidad en la que los atacantes depositaron USDT en un protocolo de préstamos, recibieron comprobantes digitales que representan esos depósitos y los transfirieron a otras wallets. Estas últimas pudieron canjearlos por las stablecoins originales y enviarlas hacia servicios de intercambio entre redes.
Así, el rastreo exclusivo de los movimientos de USDT pierde una parte fundamental de la operación: la conexión entre las billeteras queda registrada en la transferencia de los comprobantes, no en un envío directo de las stablecoins.
<h2 id="cu-nto-dinero-lograron-congelar-tras-el-hackeo-a-binance">¿Cuánto dinero lograron congelar tras el hackeo a Binance?</h2>
La utilización de estos mecanismos representa un desafío adicional para las empresas de análisis blockchain y los equipos de cumplimiento. TRM advirtió que los atacantes también encadenaron operaciones entre distintos servicios de intercambio entre redes para evitar que las alertas o los bloqueos alcancen las direcciones utilizadas como intermediarias.
En una de las operaciones analizadas, la firma identificó 38 órdenes por un total de USD 966.558. De ellas, 11, equivalentes a unos USD 290.000, coincidieron por monto y horario con transferencias recibidas en Ethereum, donde los fondos fueron convertidos en ETH. Sin embargo, la empresa aclaró que esa vinculación es una inferencia y que todavía no había podido rastrear las otras 27 operaciones.
Por otra parte, Tether, Circle, Ripple, World Liberty Financial y el Consejo de Seguridad de Arbitrum lograron congelar cerca de USD 2.700 millones en las primeras horas posteriores al ataque.
A pesar de estas medidas, TRM estimó que los atacantes todavía conservaban alrededor de USD 2400 millones en bitcoin y ethereum. Según el informe, esos saldos principales no habían registrado nuevos movimientos hasta el 3 de noviembre.
La firma recomendó a los equipos de seguridad y cumplimiento ampliar el seguimiento más allá de las transferencias convencionales, incorporando los movimientos de tokens que representan depósitos y las operaciones realizadas varios pasos después, incluso cuando intervienen distintas blockchains.
*
Los contenidos presentados en este artículo tienen fines exclusivamente informativos y no deben interpretarse como una recomendación de inversión ni de uso de las herramientas mencionadas. Cripto247 no asume responsabilidad por los resultados derivados de su utilización y/o aplicación y recomienda a los lectores realizar su propia investigación antes de tomar decisiones financieras.
*
Sumate a la comunidad <a href="https://www.cripto247.com/" rel="noopener noreferrer nofollow">Cripto247</a>. Seguinos en <a href="https://twitter.com/cripto247" rel="noopener noreferrer nofollow">X</a>, <a href="https://www.instagram.com/cripto.247/" rel="noopener noreferrer nofollow">Instagram</a>, <a href="https://facebook.com/cripto247" rel="noopener noreferrer nofollow">Facebook</a>, <a href="https://www.youtube.com/channel/UCDpFQnLeF5IgX-4rUTh714A" rel="noopener noreferrer nofollow">YouTube</a>, <a href="https://t.me/Cripto247" rel="noopener noreferrer nofollow">Telegram</a> y enterate de todas las noticias del mundo cripto al instante.

Los hackers de Binance crearon un token propio en TRON para lavar fondos robados: ¿cómo lo hicieron?

Table of Contents

Cripto247

Other articles published on Nov 5, 2026

Join our free newsletter for daily crypto updates!