El intento por recuperar los u$s6.300 millones robados a Binance también puso en evidencia las dificultades que enfrentan las empresas emisoras de stablecoins para bloquear los fondos cuando los atacantes recurren a herramientas descentralizadas.
Una investigación de Chainalysis reveló que los atacantes utilizaron protocolos de finanzas descentralizadas (DeFi) en Tron para evitar temporalmente los mecanismos de congelamiento de USDT y USDC y dificultar el rastreo de las operaciones.
La estrategia expuso una debilidad operativa de las stablecoins centralizadas: aunque sus emisores pueden bloquear determinadas direcciones, esa capacidad no se extiende automáticamente a todos los instrumentos financieros construidos sobre ellas.
Los atacantes utilizaron protocolos de préstamos de la red Tron para transformar sus tenencias en comprobantes digitales de depósito, una operación que les permitió conservar derechos sobre los activos sin mantenerlos directamente.
El procedimiento comenzó con la conversión de tron (TRX) en USDT y USDC, que posteriormente depositaron en contratos inteligentes a cambio de tokens de recibo, instrumentos que representan los fondos ingresados.
"Las stablecoins ofrecen liquidez y estabilidad, con un inconveniente: riesgo de congelación. Cuanto más tiempo mantengan fondos ilícitos en stablecoins, más probable es que su emisor centralizado congele tokens", explicó Chainalysis.
La diferencia técnica resultó determinante para los responsables del ataque: mientras los emisores pueden congelar sus propias stablecoins, los comprobantes generados por los protocolos DeFi carecen de ese mecanismo de bloqueo.
"A diferencia de las stablecoins que representan, estos tokens de recibo no pueden ser congelados. Pero pueden intercambiarse por las stablecoins que representan por quien los posea", explicaron desde la compañía.
"Esa es una ventaja para posibles hackers y lavadores de dinero. Especialmente para actores de amenaza norcoreanos, que han usado este método en otros robos también", precisó Chainalysis.
La maniobra no consistió únicamente en esconder los activos, sino en cambiar temporalmente su representación para trasladarlos entre billeteras y redes sin depender directamente de los emisores originales.
Chainalysis ilustró el mecanismo con una operación de u$s500.000: después de obtener comprobantes no congelables en Tron, los responsables los enviaron hacia billeteras limpias para continuar las conversiones.
Desde esas direcciones recuperaron las stablecoins depositadas y recurrieron a puentes entre redes para trasladarlas hacia Ethereum, donde finalmente las intercambiaron por ether (ETH).
La maniobra permitió sortear parte de los controles centralizados, aunque no garantizó impunidad: todas las operaciones quedaron registradas en la blockchain y conservaron características que permiten seguir su recorrido.
Hasta el momento, Circle y Tether colaboraron en el bloqueo de aproximadamente u$s2.800 millones relacionados con el ataque, aunque los contratos inteligentes limitaron su intervención mientras los fondos permanecieron depositados.
"Por supuesto, intercambiar stablecoins por ETH no hace a los hackers a prueba de balas", advirtió Chainalysis al referirse a las posibilidades de rastreo que todavía conservan los investigadores.
La investigación vinculó los movimientos con TraderTraitor, grupo norcoreano al que Chainalysis atribuyó el ataque después de detectar conexiones entre los activos sustraídos y operaciones anteriores contra plataformas de intercambio.
Una de las principales pistas surgió de la mezcla en tiempo real de fondos procedentes del robo a Bitget, ocurrido el 24 de septiembre de 2026, que provocó pérdidas estimadas en u$s388 millones.
A esa conexión se sumó una denuncia del analista CyberSatoshi, quien señaló que los atacantes también ejecutaron ataques de denegación de servicio (DDoS) contra plataformas visuales de rastreo.
El procedimiento fragmentó los fondos en decenas de miles de microtransacciones concentradas en pocos bloques, con el propósito de saturar la capacidad de procesamiento de GPU y CPU de los servidores forenses.
De esta manera, los responsables combinaron activos difíciles de congelar con operaciones destinadas a complicar el seguimiento de las direcciones involucradas, incluso antes de recurrir a servicios de mezclado para lavar los activos.