Los responsables del robo de Binance han empezado a mover el botín. Según la firma de análisis on-chain Elliptic —empresas que rastrean cada movimiento sobre la blockchain, el registro público donde quedan anotadas todas las transacciones—, unos 42 millones de XRP, el token de Ripple, valorados en torno a 50 millones de dólares, ya se han cambiado por bitcoin. Casi todo ese canje ha pasado por THORChain. El bitcoin acumulado con activos robados casi se duplicó de un día para otro hasta unos 1.650 BTC, cerca de 124 millones de dólares al cambio actual.
La cifra importa por una razón sencilla: el dinero robado no ha desaparecido, se está transformando. Y lo hace en dirección al activo más difícil de congelar, lo que condiciona cuánto de esos miles de millones se podrá recuperar. Binance ya ha dicho que cubrirá las pérdidas de sus clientes con fondos propios.
Conviene recordar el punto de partida. El pasado 29 de octubre, el exchange cifró en 6.340 millones de dólares el drenaje de fondos. Ese día, entre las 20:05 y las 20:09 UTC, cinco carteras calientes —las que están conectadas a internet para atender retiradas— enviaron 233,46 millones de XRP a una dirección controlada por el atacante. El FBI ha atribuido la operación a TraderTraitor, el grupo vinculado a Corea del Norte.
Qué ha pasado con el XRP robado: de seis direcciones a 1.650 bitcoin
El XRP no se movió de inmediato. En la madrugada del 2 de noviembre, entre las 02:12 y las 04:00 UTC, los 233 millones se repartieron en seis direcciones nuevas. Allí permanecieron quietos hasta el 5 de noviembre.
Ese mismo 5 de noviembre, ya por la tarde, dos de esas seis direcciones empezaron a enviar XRP a decenas de cuentas nuevas que se encargaron de canjearlo. El vehículo principal fue THORChain, un protocolo descentralizado que permite intercambiar monedas entre blockchains distintas sin que haya un intermediario central que autorice cada operación. Esa noche también salió una pequeña cantidad de ether por la misma vía, con destino final en bitcoin.
Lo significativo es lo que no se ha movido. Los grandes bloques de bitcoin y ether del robo, los de mayor volumen, siguen intactos. Es el mismo patrón que Elliptic observó tras el hackeo de Bybit, cuando el exchange perdió unos 1.500 millones de dólares en febrero de 2025: primero se convierten los tokens congelables y de liquidez media, y el intento de cobro llega mucho después, a través de intermediarios OTC.
Convertir XRP en bitcoin no borra el rastro: lo fragmenta. Y cada fragmento sigue siendo rastreable por quien tenga paciencia para seguir el hilo.
La escala del operativo ayuda a entender el reto. Desde el robo, Elliptic ha contado más de 20.000 carteras repartidas por 16 blockchains, al menos 36 servicios distintos y 65.000 transacciones: una cartera nueva cada 30 segundos y una operación cada 10. Unos 3.110 millones de dólares siguen en direcciones vinculadas al robo, sobre todo en ether y bitcoin.
Por qué se cambia XRP por bitcoin y no por dólares
El 29 de octubre, Tether y Circle bloquearon grandes tramos de stablecoins, las monedas digitales atadas al dólar que el sector usa para liquidar. Ese movimiento dejó al atacante con un problema: buena parte del botín estaba en activos con interruptor de apagado. Su respuesta fue priorizar lo que queda fuera de ese mecanismo. Una stablecoin centralizada puede congelar saldos con una orden. Ni el XRP en autocustodia ni el bitcoin tienen un botón equivalente.
El resto del botín ha seguido la misma lógica. Todo el SOL robado, unos 87 millones de dólares, ya se ha convertido, puenteado o mezclado, y buena parte ha terminado en bitcoin. La mayor parte del TRX inicial, unos 220 millones, también ha corrido. Solo porciones pequeñas de las reservas de ether y NEAR se han movido.
También hay mezcla deliberada. Unos 33 BTC, en torno a 2,5 millones de dólares, han pasado por servicios de coinjoin tipo Wasabi desde el 1 de noviembre: una técnica que junta transacciones de varios usuarios para que el rastro de cada uno se diluya entre los demás. Antes de eso, alrededor de 1,1 millones en ether y SOL entraron en el fondo de Privacy Cash, un servicio que después pausó los depósitos.
La prueba de fuego: puentes, nodos y 192 millones de XRP en el aire
La lectura que hago es que el cuello de botella ya no está en la voluntad del atacante, sino en la infraestructura que necesita para convertir. THORChain no tiene un botón de apagado central: funciona con operadores de nodos que aportan liquidez. Pero esos operadores sí pueden rechazar las direcciones que Elliptic y otras firmas han publicado. Si lo hacen con rapidez, la tubería de XRP a bitcoin se estrecha. Si no, el resto del botín puede tomar el mismo camino en una sola noche.
Hay una contradicción que conviene mirar de frente. Fragmentar el dinero en bitcoin protege al atacante, pero también se vuelve en su contra: le obliga a mover miles de transacciones pequeñas por circuitos cada vez más vigilados. De momento, la parte visible del cobro es mínima. Binance ha congelado o interceptado unos 2.850 millones y cubre las pérdidas con fondos propios, mientras los supervisores bancarios de Estados Unidos ya han preguntado a varias entidades por su exposición al caso.
La velocidad del proceso apunta a automatización, no a un agente de inteligencia artificial tomando decisiones en tiempo real. Elliptic describe tiempos fijos, importes predefinidos, reintentos a ciegas y tácticas nuevas que aparecen con horas de diferencia.
Queda la pregunta que de verdad mueve el mercado: cuántos de los 192 millones de XRP todavía sin canjear, unos 226 millones de dólares, seguirán el camino de los primeros 42, y cuándo despertará el ether aparcado. La próxima actualización de Elliptic y la respuesta de los operadores de THORChain dirán si el blanqueo va por la vía rápida o se atasca. Por ahora, la única certeza es que el reloj corre en ambos lados.
