Los primeros indicios del incidente presentan similitudes con el modus operandi de TraderTraitor, un grupo de amenazas vinculado con Corea del Norte. Sophos explica cómo operan estos atacantes y por qué las criptomonedas han transformado la economía del cibercrimen.

Ciudad de México, 30 de octubre de 2026. El reciente incidente de seguridad relacionado con Binance, uno de los principales exchanges de criptomonedas del mundo, vuelve a poner de manifiesto la sofisticación de las operaciones de cibercrimen dirigidas contra plataformas de activos digitales y los riesgos que representan los grupos patrocinados por Estados.

De acuerdo con Rafe Pilling, Director Senior de Investigación de Amenazas de Sophos, los primeros indicios del incidente presentan similitudes con el modus operandi de TraderTraitor, un grupo de amenazas vinculado con Corea del Norte y asociado con el conocido Lazarus Group, relacionado con diversos robos de criptomonedas. No obstante, el experto señala que la investigación todavía se encuentra en una etapa inicial y que es necesario esperar a que Binance esclarezca cómo ocurrió el ataque.

“Este incidente todavía se encuentra en una fase inicial de incertidumbre, y Binance necesitará tiempo para investigar a fondo cómo ocurrió el ataque. Sin embargo, los primeros reportes coinciden con el modus operandi del grupo conocido como TraderTraitor, un grupo patrocinado por el Estado norcoreano y relacionado con robos anteriores de criptomonedas”, explica Pilling.

El especialista detalla que estos atacantes suelen comenzar comprometiendo la estación de trabajo de un desarrollador de software o ingeniero. A partir de ese acceso, realizan labores de reconocimiento y desarrollan un ataque técnico que posteriormente ejecutan mediante transacciones rápidas y coordinadas para sustraer criptomonedas de la organización afectada.

Una de las principales fortalezas de estos grupos es su capacidad para comprender y mapear los procesos técnicos y de negocio de sus objetivos. Esto les permite diseñar operaciones a la medida y aprovechar los mecanismos internos necesarios para realizar transferencias aparentemente autorizadas.

Las criptomonedas transformaron la economía del cibercrimen

Más allá de este incidente, Sophos advierte que la expansión de las criptomonedas ha cambiado significativamente la manera en que los grupos criminales monetizan sus ataques.

“Las criptomonedas eliminaron gran parte de la fricción que históricamente existía para convertir un ciberataque en ganancias. En el caso de Corea del Norte, el país pasó de atacar bancos tradicionales y el sistema SWIFT a concentrar sus esfuerzos en las criptomonedas y las finanzas descentralizadas, donde comprometer la billetera adecuada o la infraestructura de firma puede permitir transferir enormes cantidades de dinero a través de las fronteras en cuestión de minutos”, señala Pilling.

El experto explica que, a diferencia de los métodos tradicionales de robo financiero, que requerían redes de intermediarios y complejos mecanismos para mover y blanquear el dinero, las criptomonedas han facilitado que los atacantes conviertan sus operaciones en ganancias de manera mucho más eficiente.

Ante este panorama, Sophos destaca la importancia de fortalecer la seguridad de los equipos de desarrollo, proteger los accesos privilegiados y reforzar los procesos de autorización de transacciones. También resulta fundamental mantener una vigilancia constante sobre posibles compromisos de infraestructura y actividades inusuales.

La evolución de estos ataques demuestra que la protección de los activos digitales no depende únicamente de resguardar las billeteras o las claves privadas, sino también de proteger a las personas, los dispositivos y los procesos que intervienen en cada operación.