El hackeo de Binance: qué ocurrió, qué fondos se congelaron y qué lecciones deja

El ataque se preparó durante al menos 36 horas y se ejecutó, cadena por cadena, en menos de 4. Los análisis citados sitúan los primeros congelamientos de emisores dentro de la primera hora desde las primeras salidas, aunque los tiempos variaron según la cadena, el activo y la dirección. El total congelado no muestra cuánto se había transferido o convertido antes de que entrara en vigor una restricción. Todas las horas se indican en UTC.

La actualización de Elliptic del 30 de octubre informa de 6.430 millones de USD robados y 2.840 millones congelados. Por tanto, para los 3.590 millones de USD restantes no se había comunicado un congelamiento. Es una instantánea del estado de congelamiento comunicado, no un inventario en tiempo real de los fondos en poder del atacante.

¿Qué podría ocurrir con los fondos restantes?

En robos comparables, los fondos se dividen o agrupan, se cambian por otros activos, atraviesan puentes entre cadenas y pasan por mezcladores o servicios de conversión y retirada. Podrían utilizarse rutas similares en este caso a medida que avanza la investigación. Son posibles próximos pasos, no una afirmación de que ya se hayan utilizado todos esos métodos.

Chainalysis informa de que parte de las stablecoins robadas se convirtió rápidamente en ETH antes de que los congelamientos surtieran efecto. Esto ilustra la presión sobre los equipos de respuesta: el rastreo puede continuar tras una conversión, pero las vías para detener los fondos pueden cambiar.

El rastreo es el punto de partida. Actuar depende del tiempo y la coordinación. Los resultados de una investigación deben llegar a la plataforma, emisor o equipo policial capaz de actuar mientras los fondos sigan a su alcance. Los congelamientos comunicados muestran lo que puede lograr la cooperación; los fondos que se movieron antes explican por qué también hay que evaluar lo que escapó a la intervención.

Prepararse significa contar, antes del incidente, con vías claras de escalamiento, pruebas utilizables y relaciones entre jurisdicciones. Las organizaciones pequeñas y los afectados individuales deberían tener el mismo acceso. La rapidez de los avisos y los procedimientos transfronterizos no debería depender de contactos privilegiados en el sector.

Europa necesita relaciones de trabajo más allá de Europa. Como contamos en nuestro boletín de octubre, Roman Bieda pasó 4 días en un encuentro de INTERPOL sobre ciberdelincuencia en Asia, donde también estuvo representada Tether. Estas conversaciones conectan la base europea de Recoveris con investigadores, autoridades y socios del sector en lugares a los que pueden llegar activos robados. El valor práctico de la cooperación público-privada consiste en hacer llegar las pruebas a quienes pueden evaluarlas y actuar.

Recoveris apoya esta labor mediante investigaciones, preparación de pruebas y coordinación con instituciones y sus equipos jurídicos. Congelar preserva una oportunidad; devolver los activos sigue requiriendo las actuaciones legales y operativas correspondientes.

Recoveris ayuda a plataformas de intercambio, bancos y proveedores de servicios de activos virtuales (VASP) a rastrear activos robados, preparar pruebas y coordinar solicitudes de congelamiento con las plataformas pertinentes y las autoridades. Las medidas disponibles dependen de los activos, de su recorrido y de las organizaciones que puedan intervenir.