Los atacantes vinculados al exploit de Binance movieron cerca del 81% del SOL robado y siguieron una secuencia de conversiones entre redes hasta terminar en BTC. El rastro, según las firmas de análisis citadas, no fue lineal: pasó por billeteras intermedias, un canje a USDC, un traslado a Ethereum y una conversión posterior mediante THORChain.

El saldo rastreado y la parte que ya salió de las billeteras

Arkham identificó 182.443 SOL, valorados en USD 16,9 millones, en direcciones agrupadas bajo la entidad asociada a los atacantes. Esa cifra equivale a cerca del 18,8% de los 970.522 SOL sustraídos durante el exploit, de modo que la mayor parte del monto ya había abandonado las billeteras observadas.

La lectura de esos movimientos apunta a una dispersión previa del activo: los fondos se repartieron entre varias direcciones antes de seguir hacia otros instrumentos y redes. En ese trayecto, lo descrito no fue una transferencia única ni directa hacia Bitcoin, sino una cadena de pasos que fragmenta el flujo y dificulta su lectura inmediata.

THORChain reaparece en el trayecto hacia Bitcoin

Lookonchain reportó que el SOL fue vendido por USDC, luego trasladado a Ethereum para comprar ETH y, más tarde, cambiado por BTC a través de THORChain. La secuencia sitúa al protocolo como el tramo usado para el intercambio final entre activos, después de las conversiones previas.

THORChain reanudó sus intercambios después de una pausa técnica que, según Chainalysis, retrasó la actividad. Ese paréntesis no borró el rastro previo, pero sí alteró el ritmo de los movimientos atribuidos a los atacantes mientras el protocolo volvía a habilitar operaciones entre cadenas.

La atribución del ataque y el pedido del FBI

El FBI atribuyó el ataque al grupo norcoreano TraderTraitor y pidió a servicios cripto, incluidos operadores de THORNode, bloquear transacciones vinculadas a los activos robados. La agencia formuló esa solicitud mientras el seguimiento en cadena continuaba mostrando conversiones y transferencias entre redes.

Binance informó que el ataque ocurrió después de que los responsables comprometieran dispositivos de empleados mediante falsas entrevistas de trabajo y descargas de software malicioso. También dijo el martes que había repuesto el 98% de los tokens afectados y que asumiría las pérdidas, una respuesta que corre por una vía distinta a la del rastreo de los fondos.

El episodio quedó así en dos planos: por un lado, la atribución y las medidas preventivas; por el otro, el flujo de activos que siguió moviéndose entre billeteras, redes y protocolos. En ese recorrido, la cifra más concreta sigue siendo la misma: el 81% del SOL robado ya había sido movilizado por los atacantes.