# El botín de Binance: 3.110 millones que el mercado no mueve

> Elliptic cifra en 124 millones el salto a bitcoin y deja 3.110 millones aún en direcciones del robo. El lavado va por 20.000 carteras y 16 redes.
> Por José Maldonado · Criptomonedas · 2026-11-07

El rastreo que Elliptic actualizó el 6 de noviembre deja una foto distinta de la que sugiere el titular del robo. De los 6.430 millones sustraídos a Binance, unos 124 millones en altcoins ya se han convertido a bitcoin, 2.850 millones están congelados y alrededor de 3.110 millones siguen en direcciones vinculadas al ataque. La operación de lavado ha usado más de 20.000 carteras y 16 redes distintas, y ninguna de esas cifras es definitiva.

El dato que más dice sobre el estado del caso no es ninguna de esas cifras, sino el ritmo. Nueve días después del asalto, la mayor parte del botín no se ha movido del sitio donde cayó. Convertir cripto robado en dinero utilizable exige pasar por intercambios, mezcladores y agentes over the counter, y cada salto deja un registro que el siguiente investigador puede seguir con calma.

La [cronología del ataque y las congelaciones](https://observatorioblockchain.com/ciberseguridad/asi-fue-el-hackeo-a-binance-y-sus-consecuencias/) explicó cómo salió el dinero de las carteras. Lo que añade el informe de Elliptic es qué ha pasado después, y la respuesta corta es que muy poco ha llegado al final del camino. El botín sigue siendo, sobre todo, un problema logístico para quien lo tiene en su poder, y el reloj corre en su contra, no a su favor.

## ¿Qué se ha movido y qué sigue quieto?

El grueso de la conversión viene de las altcoins. Cerca de 50 millones en XRP han pasado por THORChain, casi todo hacia bitcoin, y quedan unos 226 millones de XRP sin tocar. El resto del Solana robado ya está mezclado, intercambiado o puenteado a bitcoin, según la misma firma, y ese dinero se suma a los 1.480 millones que se llevaron en esa moneda desde el principio.

Los 3.110 millones que siguen en carteras identificadas son, en su mayoría, ether y bitcoin. La parte congelada asciende a 2.850 millones, una cifra que coincide con lo que publicaron los emisores de stablecoins cuando bloquearon direcciones. El [detalle de cómo Circle y Tether inmovilizaron 2.600 millones del botín](https://observatorioblockchain.com/stablecoins/circle-tether-congelaron-2600-millones-usdc-usdt/) encaja con ese recuento y con su límite: el mecanismo solo alcanza a los tokens que ellos emiten.

Queda un hueco de unos 470 millones que Elliptic no atribuye. Puede ser la diferencia de precio entre el momento del robo y el de la medición, dinero ya cobrado o una mezcla de las dos cosas. El informe lo deja abierto, y es la razón por la que conviene leer cualquier titular sobre fondos recuperados con la calculadora en la mano.

Ese hueco también explica por qué las cifras del caso bailan según la fuente. El exchange habla de 6.430 millones, el FBI de más de 6.000 y los emisores de stablecoins de lo que cada uno congeló. Ninguna miente: cada una mide en un momento distinto una parte distinta del mismo agujero.

## Un lavado a cuenta gotas

El primer obstáculo es de tamaño. Mover 6.430 millones a través de redes públicas sin que el precio se hunda ni los analistas lo noten es un problema de logística, no un clic. Las 65.000 transacciones repartidas entre 20.000 carteras describen precisamente eso: fragmentar para no destacar y pagar por cada fragmento en comisiones y en tiempo.

El segundo obstáculo es la conversión. Cada intercambio es un punto de contacto con un proveedor que guarda registros, y cada puente entre redes deja un rastro que se puede cruzar con el anterior. La [reapertura por cadenas de THORChain](https://observatorioblockchain.com/defi/thorchain-reabre-cadenas-bug-reembolso-reorg/) mostró esta semana cuánto depende el ecosistema de esas tuberías y cómo un incidente en una de ellas obliga a parar el resto.

El tercero es la salida. Convertir bitcoin en dinero bancario exige un intermediario con cumplimiento, y ahí es donde los grupos norcoreanos han fallado otras veces. Elliptic espera que el resto del ether se convierta en lotes pequeños antes de intentar cobrar por agentes over the counter y redes de blanqueo con base en China, un patrón que ya vieron en robos anteriores.

Hay una cuarta razón más prosaica: el tiempo juega contra el que lava. Cada día que pasa, más direcciones están en listas de sanciones y más intercambios tienen reglas automáticas de bloqueo. Lo que hace nueve días era una cartera limpia hoy es una etiqueta que salta en cualquier herramienta de cumplimiento.

Ese desgaste explica por qué el botín se mueve en tandas y no de una vez. Cada lote tiene que esperar a que la ruta esté limpia, y cada ruta limpia dura menos que la anterior. Los 124 millones convertidos no son el principio de un cobro rápido, sino la parte del dinero que encontró un camino que todavía no estaba vigilado.

## El debate sobre los agentes de IA

El informe incluye una frase que conviene citar entera, porque zanja una especulación que circuló los primeros días. El lavado es claramente automatizado, pero nada de lo observado muestra a un agente de IA tomando decisiones. Es una distinción útil: automatizar una transferencia es scripting de toda la vida, y decidir a qué cartera mandarla según el resultado anterior es otra cosa.

La confusión vino del informe del propio exchange, que describió una intrusión de meses con una herramienta de desarrollo manipulada, una entrevista de trabajo falsa y acceso al sistema de firma. Esa parte del relato está en la [pieza sobre la entrevista que abrió el camino](https://observatorioblockchain.com/ciberseguridad/falsa-entrevista-trabajo-robo-millonario-binance/), y no implica que el lavado posterior lo dirigiera un modelo.

Para el lector que sigue el caso desde fuera, el matiz importa menos que la consecuencia. Si el lavado fuera autónomo, la única defensa sería técnica y llegaría tarde. Si es un proceso semiautomático con personas decidiendo los saltos, la ventana para rastrear y congelar sigue abierta, y esta semana se han usado las dos herramientas: análisis de cadena y órdenes sobre emisores.

## ¿Qué significa para quien tenga fondos en juego?

Para el cliente de Binance, el dato relevante es que el exchange afirma haber repuesto prácticamente todos los activos robados y prepara la reapertura de retiradas para varios tokens. Esa reapertura tiene su propio calendario y su propia lectura, y no cambia lo que el rastreo dice del dinero que sigue fuera de las carteras del exchange.

Para el resto del sector, la conclusión es más incómoda. La congelación de 2.850 millones la hicieron dos empresas privadas con una lista de direcciones, no un regulador. La recuperación efectiva depende de que alguien decida qué hacer con los 3.110 millones que siguen en cartera, y ese alguien no existe todavía con nombre y apellidos.

El caso de [Mercado Bitcoin](https://observatorioblockchain.com/ciberseguridad/asi-vaciaron-48-6-millones-carteras-mercado-bitcoin/) dejó la versión pequeña del mismo problema: 48,6 millones, 36.042 direcciones y una plataforma recomprando activos con su propio dinero. La diferencia de escala no cambia la pregunta de fondo, que es quién asume el coste cuando el rastro se enfría y el dinero ya no está en ningún sitio que se pueda bloquear.

La versión grande tiene tres cifras que se mueven cada día y una pregunta sin respuesta. Cuánto de ese botín acabará en una dirección que alguien pueda congelar antes de que se convierta en un pago es, hoy, la única medida útil de si el sector aprendió algo del 29 de octubre. Lo demás son estimaciones que cambian cuando cambia el precio.