TraderTraitor, un grupo de ciberdelincuentes vinculado por el FBI a Corea del Norte, se ha convertido en una de las principales amenazas para la industria de las criptomonedas. La organización está relacionada con ataques contra Binance, Bybit y DMM Bitcoin, y utiliza falsas ofertas de empleo, malware e ingeniería social para acceder a sistemas financieros y robar activos digitales.
¿Quién es TraderTraitor y por qué preocupa al sector cripto?
TraderTraitor es un grupo de hackers especializado en el robo de criptomonedas, vinculado por investigadores de seguridad a las operaciones cibernéticas de Corea del Norte.
Según TRM Labs, el grupo forma parte de la estructura más amplia conocida como Lazarus y se especializa en atacar exchanges, custodios y otras organizaciones financieras.
También es identificado por investigadores bajo los nombres Jade Sleet, UNC4899 y Slow Pisces.
Su actividad se remonta al menos a 2020, aunque sus orígenes estarían relacionados con una unidad especializada formada entre 2016 y 2017.
Las autoridades estadounidenses sostienen que estas operaciones buscan obtener fondos para el régimen norcoreano, una atribución que Pyongyang rechaza.
Binance sufrió el mayor robo de criptomonedas de la historia
El ataque más reciente atribuido a TraderTraitor ocurrió el 29 de octubre de 2026, cuando Binance sufrió un robo estimado en 6.300 millones de dólares.
La cifra supera ampliamente los 1.500 millones sustraídos a Bybit en febrero de 2025.
Según la investigación, los atacantes consiguieron infiltrarse en los sistemas de Binance mediante falsas entrevistas laborales.
Un empleado recibió una supuesta prueba de programación que contenía software malicioso.
Posteriormente, los hackers aprovecharon el dispositivo comprometido y herramientas internas para obtener acceso a sistemas utilizados en la autorización de transferencias.
El ataque demuestra que incluso una infraestructura avanzada puede quedar expuesta cuando los delincuentes consiguen comprometer las credenciales y los equipos de sus empleados.
TraderTraitor también atacó a Bybit y DMM Bitcoin
La organización ha sido relacionada con otros grandes incidentes de seguridad.
En 2024, DMM Bitcoin perdió aproximadamente 308 millones de dólares, después de que un trabajador de una empresa proveedora fuera engañado mediante una falsa oferta de empleo.
Los atacantes utilizaron información de sesión robada para acceder a sistemas de comunicación y presuntamente manipular una operación legítima.
El FBI también vinculó a integrantes de TraderTraitor con los ataques de 2023 contra AlphaPo, CoinsPaid y Atomic Wallet.
Las pérdidas atribuidas a estos incidentes alcanzaron aproximadamente 60 millones, 37 millones y 100 millones de dólares, respectivamente.
Además, investigadores de LayerZero relacionaron al grupo con el robo de 292 millones de dólares a KelpDAO en abril de 2026.
Las falsas entrevistas de trabajo son su principal estrategia
Una característica de TraderTraitor es que sus operaciones suelen comenzar fuera de los sistemas financieros.
Los hackers se hacen pasar por reclutadores, directivos o representantes de empresas tecnológicas para contactar con empleados que tienen acceso a infraestructuras sensibles.
A través de entrevistas y ejercicios de programación fraudulentos, consiguen introducir programas maliciosos en dispositivos corporativos.
Una vez dentro, buscan credenciales, permisos administrativos y accesos a servicios utilizados para autorizar transacciones.
Según Chainalysis, el problema no se limita al robo de claves privadas: los atacantes también pueden utilizar credenciales auténticas obtenidas de manera fraudulenta.
El lavado de criptomonedas dificulta la recuperación
Después de sustraer los activos, los atacantes suelen distribuirlos entre numerosas billeteras y realizar conversiones entre diferentes blockchains.
Estas operaciones buscan dificultar el bloqueo de los fondos y su seguimiento por parte de exchanges y autoridades.
Las investigaciones también han identificado conexiones entre movimientos relacionados con el hackeo de Binance y fondos procedentes de otros ataques atribuidos a Corea del Norte.
Sin embargo, las transacciones permanecen registradas públicamente en las blockchains, permitiendo que empresas como Chainalysis y TRM Labs continúen rastreando su recorrido.
La conversión final de criptomonedas en dinero tradicional puede ofrecer nuevas oportunidades para que las autoridades intervengan.
Conclusión
TraderTraitor representa una amenaza importante para la seguridad de los exchanges y las empresas que gestionan criptomonedas.
Su historial demuestra que los ataques no dependen exclusivamente de vulnerabilidades técnicas, sino también de la manipulación de empleados y del acceso indebido a sistemas internos.
El robo de 6.300 millones de dólares a Binance refuerza la importancia de mejorar los controles de acceso, verificar las solicitudes de empleo y supervisar las herramientas utilizadas por los desarrolladores.
Para la industria cripto, la seguridad de los activos digitales exige proteger tanto la infraestructura blockchain como a las personas que la administran.
