Elliptic: se han convertido principalmente en bitcoin XRP robados por un valor aproximado de 50 millones de dólares

La conversión de XRP aumenta el fondo de bitcoin robado

Según la firma de análisis de cadenas de bloques Elliptic, los hackers vinculados al robo a Binance han convertido unos 42 millones de XRP, valorados en aproximadamente 50 millones de dólares, principalmente en bitcoin a través de THORChain. La actualización de la firma, que abarca la actividad hasta el viernes, señala que estos intercambios impulsaron la mayor parte del aumento nocturno del bitcoin procedente de los activos robados. El saldo de bitcoin convertido alcanzó unos 1.650 BTC, valorados en aproximadamente 124 millones de dólares.

La conversión de XRP representa una parte, no el total de lo sustraído. Elliptic identificó unos 192 millones de XRP, valorados en aproximadamente 226 millones de dólares, que aún permanecen sin convertir en direcciones vinculadas al robo. Los XRP estaban entre los activos sustraídos durante el incidente del 29 de octubre, que Binance valoró posteriormente en 6.340 millones de dólares. La diferencia entre las cantidades convertidas y las restantes indica que el movimiento de XRP sigue en curso, pero no permite determinar cuánto se moverá a continuación.

Las transferencias de XRP del robo comenzaron en un breve lapso el 29 de octubre. Entre las 20:05 y las 20:09 UTC, cinco billeteras calientes de Binance enviaron 233,46 millones de XRP a una dirección del atacante, según el relato del informe. El FBI ha atribuido la campaña más amplia al grupo TraderTraitor de Corea del Norte. Binance ha reanudado los retiros por etapas y afirma haber congelado o interceptado unos 2.850 millones de dólares, mientras cubre las pérdidas de los clientes con fondos propios.

El XRP se movió por etapas tras varios días de calma

El XRP robado no se envió de inmediato a servicios de conversión. Elliptic señala que, a primera hora del 2 de noviembre, entre las 02:12 y las 04:00 UTC, unos 233 millones de XRP se trasladaron a seis direcciones recién creadas. Luego, esos fondos permanecieron allí hasta el 5 de noviembre. Esta pausa separó la transferencia inicial de los intercambios posteriores y demuestra por qué es importante la cronología del robo: el movimiento del XRP se desarrolló a lo largo de varios días, en lugar de constituir una única transacción continua.

A partir de la tarde del 5 de noviembre, dos de las seis direcciones comenzaron a distribuir XRP a decenas de cuentas nuevas. Luego, esas cuentas intercambiaron los tokens, principalmente a través de THORChain por bitcoin. Elliptic también registró esa noche una pequeña cantidad de ether que pasó por THORChain y se convirtió en bitcoin. Este patrón sitúa los intercambios de XRP dentro de un esfuerzo más amplio por mover los activos robados entre distintos servicios y convertirlos en otros activos, en lugar de limitarse a transferir los tokens originales entre billeteras.

No todas las principales tenencias han seguido esa ruta. Elliptic señala que los mayores fondos de bitcoin y ether asociados al robo no se han movido, mientras que solo se han transferido pequeñas cantidades de las principales tenencias de ether y NEAR. Esto distingue los activos ya convertidos de las importantes tenencias que aún permanecen inmóviles. El informe no indica cuándo se transferirán esos saldos inmóviles, ni siquiera si se transferirán, por lo que la actividad actual del XRP no puede tomarse como un calendario para el resto.

Una extensa ruta abarca carteras, cadenas y servicios

Elliptic ha contabilizado más de 20.000 carteras en 16 cadenas de bloques dentro de la ruta de blanqueo desde el robo de Binance. La firma también identificó actividad relacionada con al menos 36 servicios y al menos 65.000 transacciones. Dicho de otro modo, sus cifras equivalen aproximadamente a una cartera nueva cada 30 segundos y una transacción cada 10 segundos. La magnitud describe una ruta dispersa y multicadena; por sí sola, no demuestra que cada cartera o servicio corresponda a un participante distinto.

A pesar del amplio movimiento, Elliptic calcula que unos 3.110 millones de dólares siguen en direcciones vinculadas al robo, principalmente en ether y bitcoin. La empresa afirma que hasta ahora probablemente solo se ha convertido en dinero en efectivo una cantidad insignificante. Esa distinción importa: mover activos entre monederos o intercambiar un token por otro no equivale a convertirlos en dinero convencional. Por tanto, el rastro reportado muestra una actividad considerable de blanqueo junto con pruebas limitadas de que se hayan completado retiros en efectivo.

Elliptic afirma que estos movimientos también reflejan diferencias en la forma en que pueden congelarse los activos. Los emisores pueden congelar muchas stablecoins, pero no pueden congelar XRP de la misma manera ni congelar bitcoin. Según el informe, después de que Tether y Circle bloquearan grandes cantidades de stablecoins el 29 de octubre, el atacante dio prioridad a activos que no están sujetos a ese mecanismo de control de los emisores. La conversión de XRP a bitcoin sigue ese patrón, aunque la fuente no afirma que bitcoin sea imposible de rastrear o recuperar.

La siguiente pregunta es si la ruta de conversión continúa

La actividad actual con XRP forma parte de una secuencia más amplia de conversiones. Elliptic afirma que todo el SOL robado, unos 87 millones de dólares según sus precios, se ha intercambiado, transferido mediante puentes o mezclado, y que gran parte terminó en bitcoin. También se ha completado la mayor parte del blanqueo inicial de unos 220 millones de dólares en TRX, mientras que solo se han movido pequeñas porciones de los principales fondos de ether y NEAR. Estas cifras muestran distintas etapas entre grupos de activos, en lugar de una única ruta uniforme para todos los fondos robados.

Algunos fondos convertidos también han llegado a servicios orientados a la privacidad. Elliptic contabilizó unos 33 BTC, valorados en aproximadamente 2,5 millones de dólares, enviados a coinjoins al estilo de Wasabi desde el 1 de noviembre. También informó que unos 1,1 millones de dólares en ether y SOL entraron en el fondo de Privacy Cash antes de que ese servicio pausara los depósitos. Estas son porciones limitadas del rastro más amplio, y el informe no demuestra que los servicios recibieran todos los activos convertidos ni que los fondos se retiraran con éxito en efectivo.

Elliptic interpreta la velocidad y regularidad de la actividad como automatización convencional, no como un agente de IA que toma decisiones en tiempo real, y cita horarios fijos, cantidades preestablecidas, reintentos a ciegas y tácticas introducidas con varias horas de diferencia. No está claro qué ocurrirá a continuación: la pregunta clave a corto plazo es si se convertirán más XRP de los aproximadamente 192 millones restantes y si el ether apartado se moverá más adelante. El informe también deja abierta la cuestión de si los operadores de THORChain y otros puentes podrán seguir bloqueando con suficiente rapidez las direcciones de los atacantes publicadas para interrumpir la ruta.

Fuente: BitcoinMagazine