Los responsables del ataque a Binance comenzaron a transformar parte de los fondos robados en Bitcoin, una maniobra que puede dificultar su recuperación mediante bloqueos directos sobre los activos involucrados en la operación.
El movimiento involucró unos 42 millones de XRP, valuados en cerca de u$s50 millones, y se realizó principalmente a través de THORChain, según el seguimiento de la firma especializada Elliptic sobre las transacciones.
Aunque la conversión incrementó las tenencias de Bitcoin asociadas con los atacantes, todavía quedan cientos de millones de dólares en criptomonedas bajo rastreo y sin movimientos equivalentes registrados hasta ese momento.
El recorrido de esos tokens comenzó el 29 de octubre, cuando cinco billeteras calientes de Binance transfirieron 233,46 millones de XRP hacia una dirección que estaba controlada por los atacantes.
Los fondos no se dispersaron inmediatamente: el 2 de noviembre fueron repartidos entre seis direcciones nuevas, donde permanecieron hasta que dos de ellas retomaron los movimientos durante el 5 de noviembre.
Desde esas cuentas, los responsables enviaron XRP a decenas de billeteras y comenzaron a cambiarlo principalmente por Bitcoin mediante THORChain, de acuerdo con el análisis publicado por Elliptic sobre las operaciones.
Elliptic estimó que los atacantes acumularon alrededor de 1.650 bitcoins, valuados en unos u$s124 millones, después de distintas conversiones de activos vinculados con el hackeo a Binance.
La firma señaló que el intercambio de XRP explicó la mayor parte del aumento registrado durante la noche, mientras que los principales grupos de Bitcoin y Ethereum relacionados con el robo seguían quietos.
Elliptic también detectó pequeñas cantidades de Ethereum que pasaron por el servicio para convertirse en Bitcoin, aunque el volumen fue menor frente al movimiento registrado con XRP.
En paralelo, unos 192 millones de XRP, equivalentes a aproximadamente u$s226 millones, permanecían en direcciones asociadas con el incidente, por lo que la operación todavía no abarcó todos los fondos sustraídos.
El rastreo realizado por Elliptic abarcó más de 20.000 billeteras distribuidas en 16 redes blockchain, además de al menos 36 servicios y unas 65.000 transacciones relacionadas con el incidente.
La firma calculó que todavía permanecían cerca de u$s3.110 millones en direcciones vinculadas al robo, principalmente en Ethereum y Bitcoin, mientras que solo una cantidad insignificante habría sido cobrada hasta entonces.
El caso muestra que el robo no terminó con la salida de los activos de Binance, sino que abrió una segunda etapa centrada en redistribuirlos y dificultar su recuperación posterior.
El FBI atribuyó la campaña al grupo TraderTraitor, vinculado con Corea del Norte, mientras Binance informó que había congelado o interceptado cerca de u$s2.850 millones asociados con el incidente.
La diferencia entre XRP, Bitcoin y algunas stablecoins ayuda a explicar la elección de los activos, porque sus mecanismos de control y congelamiento no funcionan de la misma manera.
Elliptic indicó que Tether y Circle bloquearon grandes cantidades de stablecoins el 29 de octubre, una intervención que limitó las posibilidades de mover determinados fondos vinculados con el ataque.
En cambio, XRP y Bitcoin no cuentan con un emisor central que pueda congelar unilateralmente cualquier dirección, por lo que las autoridades y plataformas deben recurrir a otros puntos de intervención.
Esto no significa que los activos sean imposibles de rastrear o recuperar, sino que el seguimiento depende de identificar movimientos y detectar cuándo los fondos llegan a servicios que puedan colaborar.
Para dimensionar la estrategia, Elliptic comparó el procedimiento con el observado después del hackeo a Bybit, cuando los atacantes también transformaron activos para dificultar su congelamiento por parte de los emisores.
En aquel esquema, la conversión a Bitcoin podía funcionar como paso previo a un eventual cobro mediante intermediarios extrabursátiles, aunque no hay confirmación de que esa etapa se haya completado en este caso.
Otros criptoactivos también cambiaron de destino: los cerca de u$s87 millones en Solana robados ya habían sido intercambiados, trasladados entre redes o mezclados, y una parte importante terminó en Bitcoin.
Además, la mayor parte de los movimientos iniciales de Tron, que involucraron alrededor de u$s220 millones en TRX, ya se había ejecutado, mientras buena parte de Ethereum y NEAR seguía sin cambios.
El próximo foco estará puesto en los XRP que continúan en las billeteras identificadas y en los grupos de Ethereum que todavía no registraron movimientos significativos desde el ataque contra Binance.
Elliptic considera que la capacidad de THORChain y otros servicios para bloquear rápidamente las direcciones señaladas puede influir en cuánto XRP logra convertirse en Bitcoin antes de cualquier intento de cobro.