Grupo TraderTraitor: quiénes son y qué se sabe de Binance
El grupo TraderTraitor ha pasado de ser un nombre de informe técnico a ocupar titulares en medio mundo. Estos días lo señalan como autor del robo a Binance, el mayor exchange del planeta. Conviene ir despacio: la firma TRM Labs atribuye el ataque a este grupo con «alto grado de confianza», pero eso es una atribución de analistas, no una sentencia. Te cuento quiénes son, de dónde vienen y qué sabemos de verdad.
Qué ha pasado con Binance y por qué apuntan al grupo TraderTraitor
La maniobra empezó a las 20:20 UTC del 29 de octubre desde las hot wallets de Binance. Según la cronología publicada, en unos 20 minutos el atacante vació billeteras en diez blockchains. Las cifras varían un poco según la fuente: unos hablan de 6.300 millones de dólares y Chainalysis habla de 6.400 millones.
¿Por qué se señala al grupo TraderTraitor? Hay varias pistas:
- Chainalysis detectó que los fondos sustraídos se mezclaban en tiempo real con los robados al exchange Bitget.
- El investigador on-chain ZachXBT describió al atacante como «probablemente Lazarus».
- TRM Labs sostiene que la preparación empezó al menos 36 horas antes del robo.
Además, el patrón encaja con lo ya visto en otros golpes. Por eso las firmas de análisis no dudan demasiado, aunque sin confirmación oficial el condicional sigue siendo obligatorio.
Quién es el grupo TraderTraitor
TraderTraitor es el nombre que usa el FBI para una operación de hackeo patrocinada por Corea del Norte. Las empresas de seguridad la rastrean también como Jade Sleet y Slow Pisces. Es decir, tiene más alias que un delantero de los años 90.
Su relación con Lazarus
No es una banda independiente. Se considera un subgrupo de Lazarus, con fines económicos, que apunta al ecosistema cripto al menos desde 2020. Tampoco es una etiqueta sencilla: en un aviso conjunto de abril de 2022, el FBI, la CISA y el Tesoro de EE. UU. confirmaron que las entidades norcoreanas detrás de TraderTraitor se rastrean como Lazarus Group, APT38, BlueNoroff y Stardust Chollima.
Si quieres el contexto general del conglomerado, la Wikipedia tiene una entrada sobre el Grupo Lazarus. Para entender el peso político, basta un dato: el Tesoro de EE. UU. sancionó a Lazarus en 2019 y dijo que lo controla la principal agencia de inteligencia norcoreana. Por su parte, Corea del Norte suele negar cualquier implicación en hackeos.
Para qué roban
La explicación habitual es la económica. Los expertos señalan que el país recurre al robo de criptomonedas para conseguir divisas y sostener una economía debilitada, además de financiar su programa nuclear. En resumen, el hackeo funciona como una línea de ingresos del Estado.
El historial del grupo TraderTraitor: un currículum poco recomendable
Binance no es el primer gran golpe. El historial del grupo TraderTraitor es largo y cada vez más caro:
- Ronin (2022): el ataque a la red Ronin se saldó con 620 millones de dólares.
- Atomic Wallet, Alphapo y CoinsPaid (2023): el FBI atribuyó robos de 100, 60 y 37 millones de dólares respectivamente.
- DMM Bitcoin (mayo de 2024): autoridades de EE. UU. y Japón lo vincularon con un robo de 308 millones de dólares.
- Bybit (febrero de 2025): el FBI le atribuyó 1.500 millones de dólares.
Sobre Bybit hay un detalle interesante. Tras el robo del 21 de febrero de 2025, el FBI nombró públicamente a TraderTraitor el 26 de febrero. Con Binance, en las fuentes que he consultado todavía no consta una atribución oficial equivalente. Habrá que esperar.
Si la autoría se confirma, la escala impresiona. Con unos 6.300 millones, sería aproximadamente cuatro veces el golpe de Bybit. Y el de Bybit ya parecía imposible de superar.
Cómo actúa el grupo TraderTraitor: engañar a personas, no romper cerraduras
Aquí está lo más incómodo. El grupo rara vez fuerza la puerta con una hazaña técnica de película. Prefiere convencer a un empleado para que le abra. El FBI lo describe como un subgrupo que usa ingeniería social simultánea sobre varios empleados para entrar en la víctima.
Los métodos conocidos incluyen:
- Falsas aplicaciones cripto. Las agencias describieron aplicaciones multiplataforma que, según el dispositivo, podían cargar variantes de un troyano de acceso remoto llamado Manuscrypt.
- Falsos reclutadores. Un informe de Microsoft señala que en junio el grupo, como Jade Sleet, se hizo pasar por reclutador de una empresa de inteligencia blockchain falsa, con ofertas para ingenieros de software.
- Cadena de suministro. En Bybit, la operación aprovechó Safe{Wallet} como punto débil en lugar de atacar directamente la infraestructura del exchange.
En Binance, la investigación inicial apuntó a la infraestructura de firma, tras comprometer el portátil de un ingeniero de DevOps. Sin embargo, Binance admitió que esa hipótesis quedó incompleta, porque hallaron «puntos adicionales de vulneración».
Lo que aún no sabemos del caso Binance
Hay más dudas que certezas, y conviene decirlo. Estas son las principales:
- La autoría oficial. Las atribuciones vienen de empresas de análisis y de investigadores, no de una acusación formal.
- El vector exacto. El fundador de Binance, Zhao, dijo que parecía una única firma que dio al atacante un token de acceso total y sin caducidad a una hot wallet. Eso no coincide del todo con la tesis del portátil, o al menos la completa.
- El dinero recuperable. Binance informó de que el total congelado verificado era de 3.000 millones de dólares.
Para el usuario de a pie, la parte tranquilizadora es esta: Binance asegura que los fondos de los clientes están a salvo y que absorberá las pérdidas. Es una promesa de la empresa, no una garantía independiente, así que prudencia.
Qué aprender del grupo TraderTraitor si tienes una empresa o cripto
No hace falta ser un exchange para ser blanco de este tipo de técnicas. El engaño a personas funciona igual con una pyme. Por eso, si gestionas un negocio, te vendrá bien repasar la ciberseguridad para pymes y formar a tu equipo contra ofertas de empleo falsas y programas «de prueba».
Algunas medidas básicas, sin pretender que sean la solución mágica:
- No instales software de desconocidos, aunque llegue en una entrevista de trabajo.
- Separa los equipos de trabajo de los de uso personal.
- Usa claves únicas y largas con un gestor como NordPass. Ayuda con las credenciales, aunque no frena un portátil ya infectado.
- Limita los permisos de firma y evita accesos sin caducidad.
Y si ya has sufrido un robo o una estafa con criptomonedas, actúa rápido. Cada hora cuenta para rastrear fondos y preservar pruebas. Existe un servicio de respuesta ante incidentes de estafas con criptomonedas pensado para ese primer momento.
En resumen sobre el grupo TraderTraitor
El grupo TraderTraitor es una unidad norcoreana dentro de Lazarus, especializada en cripto y con un historial de robos de cientos y miles de millones. Su método estrella no es la magia técnica, sino el engaño a empleados. Sobre Binance, las pistas apuntan hacia ellos, pero faltan datos oficiales. Mientras tanto, la lección es vieja y sigue sin aprenderse: la puerta más débil suele tener nombre y apellidos.
