727 FinanceRevisando el caso de Bybit, cómo los hackers convirtieron 500.000 ETH en BTC en 10 días, revelando el proceso completo del blanqueo de criptomonedas entre cadenas y el cobro en efectivo mediante OTC subterráneo. La presión de venta de ETH estuvo concentrada, el impacto en BTC fue limitado y los hackers no fueron la causa principal de la gran caída.
Autor: SoSoValue Research
En la noche del 29 de octubre, Binance sufrió lo que se sospecha es el mayor ataque de hackers de la historia. Chainalysis estima la cantidad robada en aproximadamente 5.900 millones de dólares, y el detective on-chain ZachXBT cree que muy probablemente fue llevado a cabo por Lazarus, de Corea del Norte.
Muchas personas están preocupadas: ¿cómo manejarán los hackers estas monedas? ¿Las volcarán? Para responder a esta pregunta, la mejor referencia es el caso Bybit ejecutado por el mismo grupo en febrero de 2025.
I. Repaso de Bybit: 500.000 ETH, todos convertidos a BTC en 10 días
El 21 de febrero de 2025, aproximadamente 500.000 ETH fueron robados de Bybit, con un valor de unos 1.400 millones de dólares en ese momento, lo que lo convirtió en el mayor robo de criptomonedas de la historia hasta ese momento.
Los hackers actuaron con mucha rapidez:
● Día 1: Primero convirtieron derivados de staking como stETH y mETH en ETH nativo, y luego lo dividieron entre una gran cantidad de direcciones.
● Día 5: Al menos 160.000 ETH ya habían sido transferidos entre cadenas a través de THORChain.
● Día 9: Otros 62.200 ETH fueron transferidos en un solo día, elevando el total acumulado a aproximadamente 343.000 ETH movidos.
● Días 10–12: Arkham confirmó que aproximadamente 500.000 ETH habían sido puenteados en su totalidad desde Ethereum a BTC nativo.
¿Qué canales se utilizaron?
● THORChain (protocolo descentralizado entre cadenas): alrededor del 72%, 361.000 ETH
● eXch (plataforma de intercambio sin KYC): alrededor del 16%, 79.700 ETH
● OKX Web3 Wallet: alrededor del 8%, 40.000 ETH
THORChain obtuvo así alrededor de 5,5 millones de dólares en comisiones, lo que atrajo fuertes críticas de la comunidad. eXch anunció posteriormente su cierre el 1 de mayo de 2025.
¿Cuánto podría recuperarse en última instancia? Dos meses después, el CEO de Bybit publicó cifras que mostraban que el 68,6% seguía siendo rastreable, el 27,6% había "desaparecido" y solo el 3,8% había sido congelado.
Conclusión: Casi la totalidad del ETH robado fue convertido en BTC, y menos del 4% fue realmente recuperado.
II. ¿Por qué los hackers deben convertir a BTC?
1. Nadie puede congelarlo
2. USDT y USDC tienen emisores que pueden incluir direcciones en listas negras en cualquier momento. En este incidente de Binance, Tether y Circle congelaron rápidamente alrededor de 2.400 millones de dólares en stablecoins. El ETH en sí no puede congelarse, pero los DEX, los protocolos de préstamo y los puentes entre cadenas del ecosistema Ethereum pueden bloquearlo. En la cadena de Bitcoin no existen tales "puntos de control".
3. La mayor liquidez y la mayor aceptación
4. Cualquier distribuidor fuera de exchange en cualquier parte del mundo acepta BTC. MIT Technology Review señaló ya en 2020 que los hackers tienden en última instancia a volver a Bitcoin porque ninguna otra moneda es tan ampliamente aceptada ni tan fácil de convertir en efectivo.
5. Adecuado para almacenamiento a largo plazo
6. Lazarus es una organización de hackers a nivel estatal y no tiene prisa por usar el dinero. El BTC puede mantenerse durante meses o incluso años, esperando que la atención disminuya antes de cobrarlo en efectivo por lotes.
III. Después de convertir a BTC, ¿cómo se cobra en efectivo?
La respuesta es: cobrando en efectivo a través de distribuidores OTC (over-the-counter) clandestinos.El Departamento del Tesoro de los Estados Unidos señala que Corea del Norte suele utilizar a distribuidores fuera de los exchanges para convertir los criptoactivos robados en moneda tradicional, y la mayoría de estos distribuidores se encuentran en China, evitando la vista de las instituciones financieras y los reguladores.
La ruta general:
ETH robado → puenteado a BTC → dividido y mezclado → a menudo convertido a USDT en la cadena Tron → distribuidores clandestinos → moneda fiduciaria o valor en especie
¿Cómo "rompen la cadena" los distribuidores? Mediante "operaciones espejo".
Los distribuidores tienen simultáneamente otro grupo de compradores que necesitan criptomonedas pero no les importa su origen, como personas que intentan mover fondos al extranjero, plataformas de apuestas en línea y fraude, y comercio transfronterizo de mercado gris. El distribuidor vende las monedas de los hackers a estas personas, luego entrega la moneda fiduciaria local pagada por estas personas a las personas designadas por los hackers. El rastreo en cadena termina en el distribuidor, mientras que el dinero fuera de cadena proviene de partes completamente no relacionadas.
¿Dónde termina finalmente la moneda fiduciaria? Los casos públicos incluyen:
● Cuentas bancarias y tarjetas UnionPay. Un informe del Equipo de Monitoreo de Sanciones Multilaterales (MSMT) señaló que las fuerzas cibernéticas de Corea del Norte han utilizado el sistema financiero de China, incluidas tarjetas de crédito UnionPay y bancos comerciales, para convertir en efectivo criptoactivos robados.
● Tarjetas de regalo. Dos ciudadanos chinos acusados por el Departamento de Justicia de los EE. UU. en 2020 fueron acusados de convertir las monedas de Corea del Norte en RMB o tarjetas de regalo de Apple para convertirlas en efectivo.
● Plataformas financieras grises en el sudeste asiático, como el Grupo Huione de Camboya.
● Las regiones involucradas incluyen China, Rusia, Argentina, Camboya, Vietnam, los EAU y otros.
IV. "¿No pueden las BTC marcadas entrar en los exchanges?"
Esta es la pregunta más común. La respuesta tiene tres puntos:
1. Las monedas sucias no necesitan entrar en absoluto en exchanges regulados. Se venden a compradores de la economía gris, que utilizan las monedas para circulación y liquidación continuas y no las depositarán en Binance o Coinbase.
2. El marcado no es una etiqueta permanente "en blanco y negro" sino una puntuación de riesgo. Después de múltiples capas de retransmisión, mezcla y combinación con otros fondos, el rastreo pasa de "cierto" a "probabilístico". Esta es la razón por la que el 27,6% de los fondos en el caso Bybit "desaparecieron".
3. Los distribuidores cubren el riesgo con altas comisiones. Los distribuidores saben que es dinero sucio y cobran comisiones muy superiores a los niveles normales. Las billeteras, tarjetas bancarias y empresas fantasma se reemplazan después de su uso, y el riesgo de sanciones y congelamiento está totalmente incluido en el precio.
Por supuesto, esta ruta también tiene costos: comisiones de mezcla, comisiones de cross-chain, descuentos de distribuidores y porciones congeladas pueden resultar en pérdidas considerables. Pero para un país sancionado con casi ninguna otra fuente de divisas, recuperar la mitad sigue siendo una ganancia enorme. El informe del MSMT estima que Corea del Norte robó aproximadamente 2.840 millones de dólares en criptoactivos entre enero de 2024 y septiembre de 2025.
V. ¿Qué significa esto para el mercado?● La presión vendedora de ETH se concentra en la etapa inicial. El proceso de los hackers de convertir ETH en BTC implica ventas reales on-chain. El caso de Bybit tomó aproximadamente 10 días y puede servir como referencia.
● La presión vendedora de BTC es pequeña y dispersa. Tras la conversión a BTC, el cobro se produce principalmente mediante operaciones espejo fuera de exchange y puede durar meses o incluso años, en su mayoría sin pasar por los libros de órdenes de los exchanges, por lo que el impacto directo sobre el precio es muy pequeño.
● Los hackers no son la causa principal de las caídas importantes. El día del robo a Bybit, ETH cayó alrededor del 8%, y la caída importante posterior provino principalmente de factores macroeconómicos como los aranceles y la liquidación de apalancamiento.
¿Qué tiene de diferente este incidente de Binance? La mayor parte de los activos robados eran stablecoins, que ya han sido en gran medida congeladas; el monto de ETH directamente no congelable asciende a unas 195.000 monedas, por un valor aproximado de 440 millones de dólares, una escala menor que el caso de Bybit. Además, los hackers están utilizando protocolos como Uniswap y Aave para convertir stablecoins en ETH, por lo que sus tenencias finales de ETH podrían aumentar.
Lo que vale la pena observar a continuación: los cambios de tráfico en protocolos de cadena cruzada como THORChain y Chainflip, que son señales directas de la velocidad a la que los hackers convierten ETH en BTC.
Este artículo tiene fines exclusivamente educativos y no constituye asesoramiento de inversión. El incidente de Binance aún está en desarrollo y los datos relevantes podrían actualizarse.