Nacho Montes de Oca | Binance: el ataque que puede complicar la próxima jugada de Trump con Corea del Norte
El mayor robo de la historia de las criptomonedas acaba de poner a Donald Trump frente a una contradicción que excede largamente los negocios digitales. Pero también a un posible dilema si se confirma que el régimen de Corea del Norte está detrás del hackeo.
Comenzamos por los hechos. El 29 de octubre, un ataque informático contra Binance, la mayor plataforma de intercambio de criptomonedas del mundo provocó la sustracción de activos por aproximadamente 6.300 millones de dólares. Las primeras investigaciones apuntaron a un grupo de piratas informáticos vinculado con Corea del Norte, un régimen que convirtió el robo digital en una de sus principales fuentes de divisas para sostener su aparato militar y financiar sus programas de armas.
El episodio llega, además, cuando Trump mantiene abierta la posibilidad de reunirse con Kim Jong-un durante su próximo viaje a Asia. Y en un contexto en el que públicamente que el líder norcoreano "siempre me ha tratado con gran respeto” y enfatizó la empatía entre ambos señalando: "Yo le entiendo; él me entiende a mí".
Lo que parecía una oportunidad para recuperar la diplomacia personal entre ambos mandatarios puede transformarse ahora en una prueba de credibilidad para Washington si se corrobora que Pyongyang está detrás del robo a Binance.
Si se confirma, Trump tendrá que explicar cómo pretende negociar con un dirigente al que considera un interlocutor válido mientras el aparato estatal norcoreano es señalado por apropiarse de miles de millones de dólares de la infraestructura financiera internacional.
La contradicción es todavía más incómoda porque el dinero obtenido mediante esas operaciones no termina necesariamente en las arcas de una organización criminal: contribuye a sostener a un Estado que desarrolla armas nucleares y misiles capaces de amenazar a sus vecinos y a las propias fuerzas estadounidenses desplegadas en Asia.
Y se refuerza porque se da en paralelo con el intento de acabar con el programa nuclear iraní mediante una asfixia financiera. Ese triple nudo es el que debe desatar ahora la Casa Blanca.
El encuentro todavía no está confirmado. Trump había manifestado su disposición a reunirse con Kim durante su próximo viaje a China, y este incidente puede arruinar un compromiso definitivo. La posibilidad diplomática existe, aunque está lejos de ser una cumbre asegurada. El ataque a Binance agrega una dificultad que no estaba presente cuando comenzó a discutirse esa alternativa: ahora hay una operación financiera de escala histórica que las principales firmas de inteligencia informática atribuyen a una unidad vinculada con el régimen norcoreano.
Para comprender su dimensión hay que observar primero qué ocurrió. La firma de análisis TRM Labs calculó que los atacantes movieron aproximadamente 6.360 millones de dólares desde billeteras de la compañía distribuidas en diez redes de criptomonedas. Chainalysis, por su parte, estimó inicialmente el monto en 5.912 millones. Las diferencias responden al momento de valoración de los activos y a los criterios utilizados para contabilizar las transferencias. En cualquier caso, se trata de una cifra que supera ampliamente el récord anterior: los aproximadamente 1.500 millones de dólares sustraídos a Bybit en febrero de 2025.
La operación no fue improvisada. Según la reconstrucción de TRM Labs, los atacantes comenzaron a preparar el terreno al menos 36 horas antes del robo. El 28 de octubre realizaron pequeñas transferencias para financiar las billeteras que utilizarían en la operación y probaron el código que les permitiría controlar los movimientos. Al día siguiente ensayaron nuevamente el procedimiento y, finalmente, ejecutaron la extracción. La mayor parte de los fondos salió de Binance en una secuencia de movimientos concentrada en unos veinte minutos.
El punto de entrada habría sido una vulneración de los mecanismos internos que autorizaban las transferencias. Binance indicó que su investigación inicial detectó la posible utilización de la computadora portátil comprometida de un ingeniero de operaciones tecnológicas. Desde allí, el atacante habría conseguido acceder a un sistema interno y utilizarlo para emitir órdenes de retiro que parecían legítimas.
TRM encontró, además, que en la red Ethereum se habían preparado 50 autorizaciones de transacciones antes de ejecutar el vaciamiento de una billetera. Una de ellas permitió que los atacantes controlaran los movimientos posteriores. No fue necesario que alguien adivinara una contraseña ni que quebrara matemáticamente la seguridad de una criptomoneda: consiguió que la propia infraestructura de la empresa autorizara transferencias fraudulentas.
La diferencia es importante. Las billeteras digitales de una plataforma de intercambio son como cajas fuertes conectadas a internet. Para atender las operaciones cotidianas, las empresas mantienen algunas permanentemente disponibles y utilizan sistemas que autorizan los retiros. El ataque habría comprometido precisamente ese mecanismo de autorización.
La reacción de otros actores del mercado permitió dimensionar el alcance del ataque. Tether, Circle, Ripple y otros participantes bloquearon activos relacionados con la operación. TRM calculó que se habían inmovilizado alrededor de 2.700 millones de dólares, mientras que Binance comunicó que el monto congelado se aproximaba a los 3.000 millones. Entre los bloqueos más importantes figuraron aproximadamente 1.770 millones de dólares en USDT de Tether, unos 825 millones en USDC de Circle y otros fondos en activos digitales vinculados a diferentes redes. El proyecto World Liberty Financial, asociado a la familia Trump, también intervino.
El resto del dinero no había sido recuperado al cierre de las primeras investigaciones. TRM estimó que los atacantes conservaban aproximadamente 2.400 millones de dólares en activos que ya no estaban al alcance de los emisores de monedas estables. Entre ellos había más de 420.000 unidades de Ether y 18.270 bitcoins. El desafío para los investigadores será seguir esos fondos cuando comiencen a fragmentarse, cambiar de red y pasar por intermediarios que intentarán convertirlos en dinero convencional.
El episodio demostró que, pese a la imagen de independencia y descentralización que proyecta el sector, buena parte de su funcionamiento depende de intermediarios capaces de detener transacciones cuando se enfrentan a una emergencia. También dejó al descubierto la velocidad con la que un robo puede convertirse en una operación de alcance internacional: el dinero puede atravesar varias redes, cambiar de moneda y llegar a mercados de distintos países antes de que las autoridades consigan reaccionar.
Los mercados respondieron con ventas. Bitcoin cayó por debajo de los 79.000 dólares durante las primeras horas de la crisis, mientras Ethereum y los activos vinculados a Binance también registraron retrocesos. El token BNB llegó a perder alrededor del 8%, y los proyectos de finanzas descentralizadas sufrieron retiros y restricciones de liquidez.
El efecto no se limita a quienes compraron criptomonedas. Las plataformas de intercambio funcionan como puntos de concentración de liquidez para fondos de inversión, empresas, operadores institucionales y millones de particulares. Cuando una de ellas sufre una pérdida de semejante magnitud, la incertidumbre se transmite a los activos que se negocian en otras plataformas y a las empresas que dependen de su cotización. Si los inversores comienzan a retirar fondos por temor a nuevos ataques, la caída de precios puede multiplicarse por las ventas forzadas, la reducción del crédito y la liquidación de posiciones apalancadas.
Binance tiene cientos de millones de usuarios registrados y una posición dominante en el comercio mundial de activos digitales. Aunque su plataforma global no es una empresa estadounidense, los inversores norteamericanos tienen exposición a los mercados internacionales de criptomonedas y las compañías de ese país participan en sus redes de custodia, negociación y financiación. Por eso, Washington no puede considerar que el episodio sea un problema empresarial ocurrido en una jurisdicción extranjera. Lo que está en juego es la seguridad de una infraestructura financiera que también utilizan ciudadanos, empresas y fondos de inversión estadounidenses.
Pero la consecuencia más grave es otra. Corea del Norte tiene prohibiciones internacionales para exportar armamento, adquirir determinados bienes estratégicos y acceder libremente a los mercados financieros. Sin embargo, puede obtener divisas mediante operaciones informáticas, utilizar intermediarios extranjeros y adquirir tecnología y componentes en mercados clandestinos. El cibercrimen se convirtió así en una forma de eludir el cerco económico que durante décadas intentó imponer Occidente.
La atribución del ataque a Binance no surge de una especulación periodística. TRM Labs señaló el 30 de octubre que tenía un alto grado de confianza en la responsabilidad de TraderTraitor, una unidad de piratería informática norcoreana. Chainalysis también vinculó la operación con Corea del Norte. El FBI había atribuido anteriormente a ese mismo grupo el robo de aproximadamente 1.500 millones de dólares a Bybit, en febrero de 2025. No obstante, al cierre de las primeras investigaciones, ninguna autoridad gubernamental había emitido todavía una atribución oficial del ataque a Binance. Esa diferencia no invalida los indicios, solo obliga a la cautela hasta una conclusión formal de las autoridades.
Lo que vuelve especialmente grave el episodio es que no constituye una novedad para el aparato informático de Pyongyang. Corea del Norte lleva más de una década utilizando sus milicias digitales para obtener dinero, robar información y atacar infraestructuras extranjeras.
Uno de los antecedentes más conocidos ocurrió en 2016, cuando los atacantes consiguieron penetrar en el sistema del Banco Central de Bangladesh conectado a la red internacional de transferencias bancarias SWIFT. Intentaron enviar órdenes fraudulentas por unos 1.000 millones de dólares a la Reserva Federal de Nueva York. Una parte importante de las operaciones fue detenida, entre otras razones, por errores en las instrucciones, pero consiguieron desviar aproximadamente 81 millones de dólares, que luego fueron blanqueados mediante operaciones en Filipinas. Las autoridades estadounidenses atribuyeron posteriormente esa operación a Corea del Norte.
En 2017 llegó otro episodio que mostró que el objetivo de estos grupos no era solamente el dinero. El programa malicioso WannaCry infectó más de 300.000 computadoras en alrededor de 150 países. Entre los afectados estuvo el sistema sanitario público británico, cuyos hospitales debieron suspender procedimientos, cancelar turnos y reorganizar servicios. El ataque exigía pagos en bitcoins para liberar los equipos. Estados Unidos y otros gobiernos atribuyeron la operación a Corea del Norte. La utilización de un programa capaz de paralizar servicios esenciales reveló que Pyongyang podía combinar el robo financiero con el sabotaje de infraestructuras críticas.
El ataque contra Sony Pictures en 2014 había mostrado otra faceta de esa capacidad. En represalia por la película The Interview, una comedia que parodiaba a Kim Jong-un, los atacantes destruyeron información, filtraron correos electrónicos y documentos internos y difundieron películas que todavía no habían sido estrenadas. El episodio provocó un conflicto diplomático con Washington y expuso la disposición -y el poder- del régimen a utilizar sus capacidades informáticas como instrumento de represalia política.
El salto de escala llegó con los robos de criptomonedas. En marzo de 2022, el ataque contra la red Ronin, utilizada por el videojuego Axie Infinity, permitió sustraer unos 620 millones de dólares. En febrero de 2025, el robo a Bybit elevó el monto a aproximadamente 1.500 millones. Ahora, el episodio de Binance multiplica esa cifra por más de cuatro. La secuencia muestra una evolución: los atacantes pasaron de intervenir en sistemas bancarios y destruir información a apropiarse de activos digitales por montos que superan los presupuestos de numerosos programas militares convencionales.
El aparato que hace posibles estas operaciones es mucho más amplio que un grupo de piratas informáticos trabajando desde una computadora. Pyongyang dispone de unidades especializadas que combinan espionaje, sabotaje, robo financiero y operaciones de infiltración. Lazarus es el nombre más conocido, pero también aparecen organizaciones como Andariel y distintas unidades que el FBI identifica bajo denominaciones específicas, entre ellas TraderTraitor.
Sus integrantes utilizan identidades falsas, intermediarios extranjeros y trabajadores informáticos que consiguen empleos remotos en compañías occidentales. De ese modo, el régimen obtiene ingresos aparentemente legales, accede a información empresarial y tecnológica y, en algunos casos, consigue introducirse en las redes internas de las compañías que los contratan.
El FBI y la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos, CISA, han advertido reiteradamente sobre esta modalidad. Los operadores norcoreanos se presentan como programadores de países terceros, utilizan documentación robada y consiguen contratos en empresas tecnológicas. Una parte de sus salarios termina desviada hacia el régimen. En otros casos, el acceso a las redes corporativas permite robar información, extorsionar a los empleadores o preparar ataques posteriores. La frontera entre espionaje, actividad criminal y financiación estatal se vuelve prácticamente inexistente.
La dimensión económica del fenómeno está documentada por Naciones Unidas. En un informe de marzo de 2024, el panel de expertos que supervisaba las sanciones contra Corea del Norte indicó que, según información proporcionada por un Estado miembro, las actividades cibernéticas ilícitas generaban aproximadamente el 50% de los ingresos en divisas del régimen. Otro informe estimó que hasta el 40% de los recursos destinados a los programas de armas de destrucción masiva procedían de esas actividades. En total, se investigaron 58 ataques sospechosos contra empresas relacionadas con criptomonedas entre 2017 y 2023, por un valor aproximado de 3.000 millones de dólares.
La Comisión estadounidense sobre China, en su informe anual de 2025, aportó otro dato revelador: estimó que los robos de criptomonedas norcoreanos habían generado 1.340 millones de dólares solamente en 2024. Esa cifra superaba ampliamente los ingresos que el país obtenía de sus exportaciones convencionales. No se trata, por lo tanto, de una actividad complementaria de algunos delincuentes. Es una fuente de financiación que ayuda a compensar el aislamiento económico impuesto al régimen.
El destino final del dinero permite comprender por qué estos ataques tienen una importancia estratégica. Corea del Norte necesita dólares, tecnología, componentes electrónicos, maquinaria y materiales que no puede adquirir abiertamente debido a las sanciones. Los activos robados pueden convertirse en divisas mediante intermediarios y operaciones sucesivas. Los servicios que mezclan criptomonedas, las transferencias entre diferentes redes y las empresas pantalla dificultan el rastreo del origen de los fondos. El objetivo no es acumular monedas digitales por sí mismas, sino convertirlas en capacidad material para el Estado.
Es aquí donde el ataque a Binance deja de ser un problema de seguridad empresarial y pasa a ser un asunto de seguridad nacional. El régimen puede utilizar esos recursos para adquirir componentes de misiles, equipos electrónicos, tecnología de navegación y otros materiales de doble uso. También puede financiar operaciones de espionaje y sostener la estructura militar que protege su programa nuclear. La promesa de Binance de cubrir las pérdidas de sus clientes resuelve, al menos parcialmente, un problema patrimonial. No resuelve la capacidad de un Estado adversario para financiar sus armas mediante el saqueo de la economía digital.
Para Trump existe, además, una segunda lectura que vuelve el episodio particularmente incómodo: sus propios intereses en el negocio de las criptomonedas. World Liberty Financial, el proyecto vinculado a su familia, tuvo que intervenir durante el ataque para bloquear 27 millones de dólares en su moneda estable USD1 y otros 2 millones en tokens WLFI. La operación colocó a una iniciativa del entorno presidencial dentro de la misma respuesta de emergencia que involucró a Tether, Circle y otros actores de la industria.
El proyecto familiar no sufrió un ataque directo ni hay evidencia de que sus sistemas hayan sido vulnerados. Sin embargo, quedó expuesto a las consecuencias de una crisis que afecta la confianza en el mercado donde desarrolla sus negocios. La cotización de WLFI registró una caída inicial y la incertidumbre alcanzó a los activos relacionados con la iniciativa. El problema es político y económico al mismo tiempo: Trump hizo de la expansión de las criptomonedas una de sus banderas económicas y prometió convertir a Estados Unidos en la capital mundial de los activos digitales. Ahora, una operación atribuida a un régimen adversario obliga a revisar la seguridad de ese mismo ecosistema.
La relación personal y política de Trump con Changpeng Zhao, fundador de Binance, agrega otro elemento. Zhao fue condenado en Estados Unidos en 2023 por incumplimientos relacionados con las normas contra el lavado de dinero, abandonó la dirección de la compañía y recibió un indulto presidencial de Trump en 2025.
El indulto no demuestra ninguna relación entre aquella decisión y el ataque actual, pero sí establece un antecedente político directo entre el presidente y el universo empresarial que acaba de sufrir uno de los mayores golpes de su historia.
La contradicción es evidente. Trump pretende impulsar un mercado de criptomonedas con menos restricciones y convertirlo en una fuente de inversión, innovación y poder financiero estadounidense. Pero ese mismo mercado puede ser utilizado por gobiernos sancionados para robar, lavar y convertir activos en recursos destinados a programas militares. La desregulación indiscriminada no elimina el problema: puede facilitarlo. Una cosa es evitar controles burocráticos que obstaculizan la innovación y otra muy distinta es debilitar los mecanismos que permiten identificar a quienes utilizan las plataformas financieras para financiar operaciones criminales o eludir sanciones.
El presidente se encuentra así frente a una contradicción que no puede resolver con una declaración favorable a la industria. Si quiere que Estados Unidos sea el centro mundial de los activos digitales, necesita que los inversores confíen en la seguridad de ese mercado.
Y si pretende reducir la capacidad financiera de Corea del Norte, necesita controles que permitan detectar y bloquear el dinero robado. No puede reclamar simultáneamente libertad absoluta para los negocios y eficacia absoluta para perseguir a quienes utilizan esos mismos negocios con fines ilícitos.
La cuestión se vuelve todavía más delicada cuando se observa la relación entre Corea del Norte e Irán. La cooperación entre ambos países no es una hipótesis reciente ni una coincidencia ideológica. Tiene antecedentes concretos en el desarrollo de misiles balísticos. La transferencia de tecnología misilística y la cooperación militar entre dos países sometidos a sanciones ya representan un desafío considerable para Washington. Pero esa vinculo abre la puerta para razonar en torno a la ampliación de la cooperación al campo del hackeo militar.
En el terreno informático también existen capacidades que se superponen, aunque no hay pruebas concluyentes de que ambos países compartan una estructura de mando o coordinen todos sus ataques. Corea del Norte opera unidades como Lazarus y Andariel, mientras Irán ha desarrollado grupos como APT33 y Charming Kitten, vinculados a operaciones de espionaje, sabotaje y penetración de redes empresariales y gubernamentales. Ambos han utilizado técnicas de suplantación de identidad, programas maliciosos, extorsión y operaciones destinadas a obtener información o dinero.
Lo que comparten es un problema económico y estratégico: necesitan sortear las restricciones occidentales para obtener divisas, adquirir tecnología y sostener sus programas militares. Las redes de intermediarios, las empresas pantalla y las operaciones con activos digitales ofrecen herramientas que pueden ser utilizadas por ambos regímenes. No hace falta demostrar que Lazarus y los grupos iraníes responden a un mismo jefe para advertir que las vulnerabilidades que permiten financiar a uno pueden beneficiar también al otro.
Por eso, el esfuerzo estadounidense para contener a Irán no puede separarse de la respuesta al ataque contra Binance. Washington pretende limitar los recursos con los que Teherán sostiene sus programas militares y sus redes de influencia regional. Pero si permite que Pyongyang obtenga fortunas mediante robos digitales sin una respuesta efectiva, deja funcionando una de las vías de evasión que otros gobiernos sancionados también pueden aprovechar.
La contradicción es todavía más profunda. Estados Unidos busca debilitar la capacidad iraní para financiar sus actividades mediante sanciones, controles bancarios y restricciones comerciales, mientras el régimen norcoreano demuestra que puede obtener recursos mediante operaciones digitales que atraviesan fronteras y jurisdicciones. La presión económica pierde eficacia cuando los Estados que pretende contener encuentran mecanismos alternativos para conseguir dinero y convertirlo en capacidad militar.
La consecuencia es que no se puede frenar a uno y dejar al otro fuera de la ecuación. No porque Irán y Corea del Norte sean una sola organización o porque todas sus operaciones respondan a un plan común, sino porque comparten vulnerabilidades del sistema internacional y han desarrollado capacidades que se refuerzan indirectamente.
Si Washington tolera la piratería financiera norcoreana por conveniencia diplomática, debilita también su argumento para exigir a terceros países que bloqueen las operaciones financieras iraníes. Si las sanciones pueden ser neutralizadas mediante el robo de activos digitales y el lavado transnacional, la presión sobre Teherán tendrá un límite mucho más bajo del que pretende imponer la Casa Blanca.
Trump tiene delante una oportunidad para demostrar que su política exterior responde a una estrategia y no exclusivamente a sus relaciones personales con otros mandatarios. Puede buscar una fotografía con Kim Jong-un, recuperar el espectáculo de la diplomacia personal y presentar un eventual encuentro como una victoria política. También puede exigir que la lucha contra el financiamiento digital de los programas militares norcoreanos forme parte central de cualquier negociación. Lo que no puede hacer es tratar ambos asuntos como si no tuvieran relación.
El ataque a Binance no puede ser pasado por alto porque el dinero robado no termina en una billetera digital. Se transforma en tecnología, componentes, misiles y capacidad de presión militar. Una eventual reunión con Kim no debería ser descartada de antemano, pero tampoco puede convertirse en una recompensa diplomática que permita al régimen conservar intacta su maquinaria de financiación clandestina. La desnuclearización, las sanciones y el cibercrimen forman parte del mismo problema.
Una fotografía entre Trump y Kim puede durar unos minutos. Los miles de millones de dólares que Pyongyang obtiene saqueando la economía digital pueden financiar durante años el desarrollo de armas que amenazan a Estados Unidos y a sus aliados.
Si Washington no es capaz de responder a ese desafío, tampoco tendrá demasiados argumentos para exigir que Irán renuncie a los mecanismos que le permiten sortear el cerco internacional. El problema no es solamente que Corea del Norte pueda robar 6.300 millones de dólares.
Después del hackeo, Trump no puede sentarse a negociar como si nada hubiera ocurrido. O disimular el costo millonario que debe resignar por una foto con quien dice que lo “ha tratado con gran respeto". Su reputación y fortuna ya fueron tocados.
Si los ajedrecistas de Teherán leen esa jugada como una debilidad, no van a dejar de usar la oportunidad para explotarla y obtener una ganancia, que se sumaria a las muchas que promete un ecosistema desregulado que hoy mostró su vulnerabilidad.