El lavado de Binance a través de THORChain pone los swaps sin permisos bajo presión del FBI
THORChain procesó activos robados de Binance pese a los llamados del FBI, reavivando el escrutinio tras su papel en el movimiento de casi 1.000 millones de dólares procedentes del robo a Bybit de 2025. La controversia sobre el lavado de Binance a través de THORChain gira en torno a una distinción acotada pero relevante: detener una ruta comercial completa difiere de bloquear a un atacante específico. Los desarrolladores sostienen que la red carece de controles selectivos sobre las transacciones. Los investigadores quieren impedir el movimiento de fondos robados identificables.
The Wall Street Journal informó, citando a Chainalysis, que los operadores de THORChain obtuvieron al menos 12 millones de dólares de transacciones relacionadas con fondos robados de Bybit. Su investigación más reciente vincula ese antecedente con fondos procedentes de Binance que se mueven a través de la misma infraestructura. Estas cifras describen flujos delictivos reportados e ingresos asociados, en lugar de demostrar que todos los participantes de la infraestructura ayudaron conscientemente a los atacantes.
El conflicto inmediato enfrenta el acceso sin permisos, es decir, la participación sin la aprobación de un operador, con los esfuerzos por interrumpir el movimiento de activos robados. Binance, los investigadores y los operadores de infraestructura afrontan presiones diferentes dentro de ese conflicto. La pregunta central es práctica: qué intervención puede admitir el sistema existente, quién puede autorizarla y quién asume las consecuencias.
El lavado de Binance a través de THORChain sigue una ruta conocida
La investigación de The Wall Street Journal, distribuida por Mint, describe otro encuentro entre un robo a un gran exchange y una infraestructura diseñada para el acceso abierto. Según su investigación sobre fondos robados, THORChain procesó más de 46 millones de dólares procedentes de Binance en un plazo de 72 horas. Chainalysis estimó que esas transacciones generaron más de 200.000 dólares en comisiones.
Estos montos exigen una interpretación cuidadosa. Representan una ventana inicial de información, no un recuento completo de las transferencias posteriores. También distinguen entre los activos que pasan por el servicio y los ingresos generados por esa actividad. Tratar el volumen de transacciones como beneficio exageraría lo que recibieron los participantes de la infraestructura.
El cambio relevante es la reutilización de una ruta de conversión conocida después de que los investigadores solicitaran explícitamente una intervención.
THORChain admite swaps entre cadenas, intercambios entre activos registrados en distintas blockchains. Una blockchain es un registro compartido de transacciones mantenido por una red de computadoras. En este caso, la función relevante consiste en convertir activos robados en otras criptomonedas sin abrir una cuenta en un exchange convencional.
Esa función ofrece interoperabilidad legítima. También presenta a los investigadores una etapa adicional en la que los activos robados pueden cambiar de forma. Un activo entrante y otro saliente pueden seguir vinculados mediante evidencia de transacciones, incluso cuando pertenecen a redes diferentes.
El precedente de Bybit hace que el último episodio sea más difícil de tratar como un caso extremo inesperado. El Journal informó que casi 1.000 millones de dólares de ese robo pasaron por THORChain. Su estimación de comisiones, atribuida a Chainalysis, describe el beneficio económico asociado a esas transacciones.
Ese historial plantea una cuestión de responsabilidad sin responder todas las cuestiones jurídicas o técnicas. Un sistema puede procesar actividad perjudicial sin que todos los participantes compartan la finalidad del atacante. Sin embargo, el uso repetido da a operadores y desarrolladores motivos más sólidos para explicar con precisión sus controles.
La cronología también importa. Las primeras transacciones de Binance, la publicación de advertencias, las interrupciones temporales y la actividad posterior corresponden a momentos distintos. Una cifra acumulada de transacciones por sí sola no puede determinar qué sabía cada participante cuando ocurrió un swap concreto.
Para los lectores, la distinción útil está entre el robo en sí y el movimiento posterior de sus ganancias. La participación de THORChain en las conversiones no establece responsabilidad por la intrusión original. Sí convierte la respuesta de la red en parte de la historia de recuperación.
Las comisiones reportadas acentúan esa cuestión porque el procesamiento continuo tiene consecuencias económicas. Sin embargo, los ingresos asociados a transacciones delictivas deben seguir atribuyéndose claramente y limitarse por la metodología de la fuente. Nunca deben convertirse en una forma abreviada de una acusación sin respaldo contra cada persona que opera la red.
La solicitud del FBI va más allá del exchange
El FBI atribuyó el robo a Binance a actividad norcoreana que denomina TraderTraitor. Su aviso público sitúa el ataque en torno al 29 de octubre de 2026 y describe más de 6.000 millones de dólares robados. La atribución sigue siendo la evaluación de la agencia; Corea del Norte ha negado su participación.
La solicitud de bloqueo de transacciones de la agencia incluye explícitamente a los operadores de THORNode, los participantes que ejecutan el software de red de THORChain. También se dirige a servicios de exchange, proveedores de infraestructura y empresas de análisis de blockchain. La solicitud abarca transacciones relacionadas con direcciones incluidas en la lista y fondos derivados de ellas.
Los investigadores están presionando a la infraestructura que mueve los fondos, junto con el exchange que los perdió originalmente.
Esa redacción crea un problema operativo más difícil que comprobar si la billetera de un cliente aparece en una lista. Una dirección es un identificador utilizado para recibir o enviar activos. Los fondos pueden alejarse de una dirección de atacante identificada inicialmente y conservar, aun así, una conexión con el robo.
Determinar esa conexión exige análisis. Una transferencia directa desde una dirección identificada de un atacante plantea una cuestión probatoria distinta de la de activos que pasan por varios intermediarios. Una respuesta creíble debe distinguir esas situaciones en lugar de tratar toda asociación como igualmente concluyente.
La presión sobre Binance se centra en la recuperación, la confianza de los clientes y la explicación de la intrusión original. La presión sobre los participantes de THORChain se refiere al procesamiento continuo y a los controles disponibles para interrumpirlo. Estas responsabilidades se solapan, pero no son intercambiables.
Para los operadores de infraestructura, la solicitud también cuestiona una suposición habitual sobre los sistemas distribuidos. No tener un departamento convencional de cuentas no impide que los investigadores pidan actuar a participantes identificables. Determinar si un participante concreto tiene la capacidad técnica o la obligación legal de cumplir exige una evaluación aparte.
El aviso público no establece por sí mismo que todos los destinatarios hayan infringido una ley. Tampoco resuelve la jurisdicción, la intención, el control ni la clasificación de cada servicio. Esas cuestiones requieren pruebas sobre actores y conductas específicos.
El obstáculo práctico es que los investigadores buscan un resultado a través de varios sistemas con distintas capacidades de intervención. Un exchange centralizado controla sus propias cuentas de clientes. Una red de swaps distribuida coordina la actividad entre operadores que siguen reglas de software compartidas.
Esa diferencia afecta al tiempo de respuesta y a los recursos disponibles. Un exchange puede revisar una relación con un cliente dentro de su propia organización. Un cambio de protocolo puede requerir acuerdo, implementación, pruebas y adopción entre participantes independientes.
Aun así, describir la coordinación como difícil no resuelve si alguna medida más limitada es viable. Los investigadores pueden preguntar razonablemente qué controles existen, con qué rapidez operan y a qué afectan. Los operadores pueden exigir razonablemente claridad sobre la acción solicitada y sus consecuencias.
Por tanto, la disputa sobre el lavado de Binance a través de THORChain va más allá de una petición de cooperación. Pone a prueba si cooperar significa compartir pruebas, restringir el acceso, pausar las operaciones, modificar el software o alguna combinación de estas medidas. Esas acciones tienen costes distintos y deben evaluarse por separado.
Una paralización de red es diferente de un bloqueo de direcciones
La defensa técnica más sólida de THORChain se refiere al alcance de sus controles existentes. En un debate de octubre, colaboradores señalaron que el protocolo no dispone de un mecanismo para rechazar selectivamente billeteras o transacciones individuales. Su posición sobre la censura de transacciones también defendió el acceso sin aprobación basada en la identidad.
Esa postura combina una afirmación arquitectónica con una preferencia política. La afirmación arquitectónica se refiere a lo que el software desplegado admite actualmente. La preferencia política se refiere a si los operadores deberían introducir restricciones basadas en la identidad. Las pruebas que respaldan la primera no resuelven automáticamente la segunda.
Un cierre general puede interrumpir los fondos robados al tiempo que impone la misma interrupción a usuarios legítimos.
Los controles de paralización de red de THORChain documentan varias formas de suspender operaciones. Los operadores pueden detener las operaciones con una blockchain, suspender la firma de transacciones salientes o paralizar una actividad más amplia. Estos controles afectan a categorías de operaciones, en lugar de funcionar como un filtro selectivo de direcciones de atacantes.
Firmar significa autorizar criptográficamente una transacción saliente. Suspender ese paso puede dejar transferencias en espera en lugar de completarlas con normalidad. Una paralización de operaciones afecta a si los swaps avanzan, mientras que una paralización más amplia de una cadena también cambia la forma en que el sistema observa la red conectada.
Estas distinciones hacen que «puede detener transferencias» sea una descripción incompleta. La pregunta siguiente es qué transferencias se detienen y qué ocurre con todos los demás. No puede suponerse que un control que suspende una ruta entera proporcione una intervención precisa contra un solo delincuente.
Consideremos a un usuario legítimo que intercambia activos mientras un atacante utiliza la misma ruta. Una pausa en toda la ruta afecta a ambas transacciones. Esa consecuencia no hace que la intervención sea inherentemente errónea, pero crea un coste que una restricción selectiva evitaría.
La simplificación opuesta también es incompleta. Decir que el protocolo no puede incluir una dirección en una lista negra no significa que carezca de toda forma de control operativo. Los mecanismos de paralización existentes demuestran capacidad para interrumpir la actividad en condiciones definidas.
El desacuerdo real se refiere a cuándo deberían aplicarse esos mecanismos. Proteger la red de una falla interna tiene una relación directa con el mantenimiento de su operación. Interrumpir activos robados en otro lugar introduce cuestiones de pruebas externas, autoridad, alcance y duración.
Los colaboradores de THORChain sostienen que los juicios morales basados en transacciones crearían poder discrecional dentro de un sistema diseñado en torno a reglas coherentes. Esa preocupación merece un tratamiento sustantivo. Un mecanismo de intervención puede afectar a usuarios más allá del caso original, especialmente si sus criterios siguen sin estar claros.
Los críticos pueden aceptar esas preocupaciones de diseño y cuestionar al mismo tiempo la asignación resultante del daño. Si los controles generales son la única opción disponible, las víctimas asumen las consecuencias de dejar la actividad sin interrupción. Los usuarios legítimos asumen las consecuencias cuando los operadores pausan la ruta.
Esta es la disyuntiva central del artículo. La precisión, la velocidad, la disponibilidad y la resistencia al control discrecional no se alinean automáticamente. Evaluar la respuesta exige nombrar qué objetivo tiene prioridad e identificar los costes resultantes.
Un cambio de software propuesto requeriría un escrutinio igualmente concreto. Los revisores tendrían que entender quién proporciona la información de las direcciones, cómo se corrigen los errores y si los participantes pueden eludir la restricción. Anunciar una intención de intervenir acreditaría menos que una capacidad desplegada y examinada de forma independiente.
Las conversiones pueden reducir las opciones de congelamiento sin borrar la evidencia
La elección de los atacantes respecto a los activos de destino ayuda a explicar por qué importa el momento de los swaps. Las stablecoins son tokens diseñados para seguir un activo de referencia, a menudo el dólar estadounidense. Algunos emisores de stablecoins mantienen controles que pueden restringir los tokens asociados a direcciones concretas.
Bitcoin y ether no cuentan con un mecanismo equivalente de congelamiento de direcciones operado por un emisor. Pasar a esos activos modifica los puntos de intervención disponibles. No elimina automáticamente el historial de transacciones ni garantiza que el atacante pueda gastar libremente los fondos.
La cobertura de CoinDesk del 4 de noviembre describió el lavado de fondos entre cadenas relacionado con THORChain tras la reanudación de las operaciones. Informó de una interrupción anterior, el 31 de octubre, causada por una reorganización de bloques de Ethereum y un fallo en los reembolsos. Una reorganización de bloques sustituye parte del historial de transacciones aceptado recientemente por una blockchain.
Una interrupción operativa puede retrasar el lavado sin convertirse en una política deliberada para bloquear activos robados.
Esa interrupción es relevante porque muestra por qué importa la causa de una pausa. Un mecanismo de seguridad que responde a un problema contable difiere de una decisión de rechazar fondos procedentes de actividades delictivas. Observar el mismo efecto inmediato no demuestra la misma política, autoridad ni resultado previsto.
La comparación con Tether y Circle también resulta instructiva. Estos emisores de stablecoins ocupan una posición distinta de THORChain porque administran sus propios tokens. Su capacidad para restringir esos tokens no se traduce en control sobre todas las criptomonedas recibidas a cambio.
Para los investigadores, esto genera urgencia en torno a la conversión. Una intervención disponible antes de un swap podría dejar de estarlo después. Pueden mantenerse otras oportunidades, especialmente cuando los activos posteriormente llegan a un servicio capaz de identificar a un cliente o restringir una cuenta.
La visibilidad pública sigue siendo valiosa durante todo ese proceso. Una transferencia registrada puede respaldar una investigación incluso cuando la red no puede revertirla. La capacidad de reconstruir los hechos y la capacidad de recuperar bienes son facultades distintas.
El cambiante análisis de fondos de Binance de Elliptic ilustra esa distinción. Su actualización del 9 de noviembre describió movimientos extensos, al tiempo que estimaba que probablemente se había convertido en efectivo una cantidad insignificante. Esa valoración es una estimación analítica, no un inventario completo de cada beneficiario final.
Convertir en efectivo significa transformar criptomonedas en dinero convencional o materializar de otro modo fondos utilizables mediante otro canal. Llegar a una nueva cartera no demuestra que ese paso haya ocurrido. Tampoco lo demuestra convertir una criptomoneda en otra.
Esta distinción evita una conclusión fácil pero engañosa: un swap completado no significa necesariamente que los investigadores hayan perdido el rastro de forma permanente. Puede reducir las opciones inmediatas de congelamiento, al tiempo que conserva evidencia que respalda una identificación, interrupción o recuperación posterior.
A la inversa, un rastro visible no garantiza la recuperación. Los investigadores siguen necesitando un punto de intervención práctico, una atribución utilizable y cooperación cuando corresponda. La transparencia aporta evidencia; no otorga posesión de los activos.
Para los desarrolladores que integran swaps en aplicaciones, esta diferencia tiene implicaciones directas para el producto. Una pantalla de historial de transacciones puede mostrar lo sucedido sin ofrecer un mecanismo de reversión. Los usuarios necesitan explicaciones precisas sobre ese límite antes de que un incidente les obligue a descubrirlo.
El mismo principio se aplica a los mensajes de emergencia. Una aplicación debe distinguir entre procesamiento retrasado, operaciones no disponibles, exposición sospechosa a actividad ilícita y transferencias completadas. Agrupar esas condiciones bajo un mensaje genérico de interrupción oculta información que los usuarios necesitan para evaluar su situación.
Las comisiones intensifican el escrutinio, pero no determinan la responsabilidad
Las comisiones de Bybit reportadas explican por qué esta controversia va más allá de un argumento técnico sobre capacidades de software. El uso delictivo puede generar ingresos dentro de una infraestructura que también atiende a clientes legítimos. Eso plantea una cuestión de incentivos incluso cuando el procesamiento de transacciones sigue reglas estandarizadas.
Los ingresos por comisiones son evidencia relevante sobre los incentivos, pero no demuestran por sí solos la intención ni la responsabilidad legal.
La estimación del Journal basada en Chainalysis corresponde a un evento histórico y un alcance contable específicos. No debe combinarse sin cautela con instantáneas anteriores de la actividad de toda la red. El volumen total, los activos robados identificados, las comisiones y los fondos recibidos por participantes concretos miden cosas diferentes.
Un atacante puede mover el mismo valor económico mediante múltiples transacciones. Sumar cada transferencia sin tener en cuenta la repetición puede sobrestimar los activos subyacentes implicados. Del mismo modo, los ingresos registrados durante un período de alta actividad no pueden atribuirse automáticamente por completo a actividad delictiva.
Una evaluación cuidadosa pregunta qué incluye la estimación. ¿Mide cargos del protocolo, compensación a operadores de infraestructura, ingresos de interfaces o varias categorías? Esas distinciones afectan tanto al análisis económico como a la identificación de los beneficiarios.
También afectan a las comparaciones a lo largo del tiempo. Una ventana de observación breve puede producir un total diferente al de una investigación retrospectiva posterior. Las diferencias no demuestran necesariamente que una estimación sea falsa, pero requieren explicación antes de extraer conclusiones sobre crecimiento o rentabilidad.
La cuestión escéptica para THORChain se refiere al alcance de su afirmación de imposibilidad. Una declaración sobre la ausencia de controles selectivos puede ser técnicamente más limitada que la impresión pública de que intervenir es totalmente imposible. Los mecanismos existentes de paralización amplia hacen que esa distinción sea central.
La cuestión escéptica para los críticos se refiere al remedio propuesto. Pedir una intervención es más fácil que especificar un control eficaz y proporcionado. Una propuesta creíble debe abordar a los usuarios inocentes, la atribución incorrecta, los retrasos operativos y la posibilidad de que los fondos se desplacen a otro lugar.
Ninguna de las dos cuestiones anula la otra. Un remedio costoso no elimina el daño derivado del procesamiento continuado. Un daño grave no demuestra que todos los remedios propuestos funcionen según lo previsto.
La cuestión más amplia es si la respuesta del sistema se ajusta a las expectativas creadas a su alrededor. Los usuarios pueden valorar el acceso abierto y, al mismo tiempo, querer una explicación clara de la autoridad de emergencia. Los participantes de la infraestructura pueden defender una discreción limitada mientras reconocen las consecuencias de ese diseño.
Para los compradores empresariales, esto se convierte en una cuestión de dependencia. Un servicio basado en swaps de terceros hereda exposición operativa y reputacional de la ruta subyacente. Una decisión de integración debe tener en cuenta cómo se comporta la ruta tanto durante fallos internos como en investigaciones criminales externas.
Los desarrolladores afrontan un problema de documentación relacionado. Expresiones como “descentralizado” o “sin custodia” no describen por completo el comportamiento de emergencia. Sin custodia generalmente significa que los usuarios evitan confiar sus activos a un custodio convencional de cuentas, pero los detalles de implementación siguen determinando las dependencias operativas.
Una documentación útil especifica los límites de control. Identifica quién puede pausar las operaciones, qué actividad se pausa, cómo se reanudan y qué pueden esperar los usuarios durante la interrupción. Esos detalles hacen que las promesas arquitectónicas sean evaluables.
El caso de lavado de fondos de Binance a través de THORChain expone el coste de dejar vagos esos límites. Las víctimas escuchan una negativa, los desarrolladores describen una capacidad inexistente y los operadores enfrentan presión sobre controles de efectos más amplios. Las explicaciones precisas no eliminarán el desacuerdo, pero harán que sea posible responder a él.
Vigilar los controles, la evidencia de recuperación y la aplicación formal de la ley
Los próximos meses deben juzgarse mediante acontecimientos observables, no por declaraciones de que hayan prevalecido la descentralización o la aplicación de la ley. Tres señales importan más: cambios en los controles, evidencia sobre activos recuperables y acciones formales que identifiquen a los participantes responsables.
La evidencia decisiva se referirá a lo que cambien los participantes y a lo que recuperen los investigadores.
En primer lugar, habrá que vigilar propuestas concretas de THORChain o cambios desplegados que aborden fondos ilícitos identificados. Un debate por sí solo acreditaría menos que una implementación adoptada. La evidencia más sólida explicaría el alcance del control y mostraría cómo lo utilizan los operadores.
Una restricción selectiva limitaría el argumento actual sobre capacidades no disponibles. Una dependencia continuada de pausas amplias preservaría el equilibrio entre intervención y disponibilidad del servicio. Cualquiera de los dos resultados debe evaluarse en función del despliegue real, no de descripciones promocionales.
Las preguntas pertinentes incluyen quién autoriza las restricciones y cómo se revisan los casos disputados. Una lista de direcciones es solo un dato de entrada. Su origen, proceso de actualización y mecanismo de corrección determinan si el control resultante puede operar de manera predecible.
En segundo lugar, habrá que vigilar las evaluaciones actualizadas de rastreo y recuperación. Los analistas deben distinguir entre activos aún asociados a los atacantes, activos restringidos por emisores, conversiones completadas y fondos que se cree que han llegado a canales de conversión en efectivo. Esas categorías responden a preguntas distintas sobre el progreso de la investigación.
Un mayor saldo rastreado no significaría automáticamente que la recuperación haya mejorado. Un menor saldo visible no demostraría automáticamente una conversión en efectivo exitosa. La metodología y la incertidumbre importan tanto como el total destacado.
La evidencia de que una parte sustancial de los fondos sigue siendo identificable respaldaría el valor continuo del análisis público de transacciones. Una recuperación verificada aportaría evidencia más sólida de intervención práctica. La evidencia de una conversión en efectivo completada intensificaría el escrutinio de los puntos en los que antes era posible actuar.
En tercer lugar, habrá que vigilar avances formales de aplicación de la ley que identifiquen a actores y conductas específicos. Los llamamientos públicos comunican prioridades, pero las demandas judiciales o acciones oficiales pueden establecer alegaciones más precisas. Cualquier desarrollo de este tipo debe evaluarse según sus afirmaciones reales y la evidencia que las respalda.
Una futura acción centrada en un proveedor de interfaz plantearía preguntas distintas de otra centrada en operadores de red. Las alegaciones relacionadas con control, coordinación o conocimiento necesitarían su propia base probatoria. Los lectores deben resistirse a tratar como equivalentes todos los roles de infraestructura.
Estas señales también ayudarán a evaluar la solidez de la posición de THORChain. Una documentación más clara de los controles reforzaría la explicación técnica. Una brecha sin explicación entre las capacidades documentadas y las afirmaciones públicas debilitaría la confianza en esa explicación.
Para quienes siguen el blanqueo de fondos de THORChain Binance, mantengan la investigación organizada en torno a la distinción entre movimiento, control y recuperación. Comparen hallazgos fechados en lugar de combinar instantáneas en un único total indiferenciado. Pregúntense si una intervención reportada afecta a una billetera, una ruta de negociación, una interfaz o a toda la red. Para desarrolladores y compradores de servicios, revisen el comportamiento de emergencia de cada dependencia de intercambio antes del próximo incidente. Identifiquen quién puede actuar, qué interrumpe su acción y cómo reciben los usuarios actualizaciones precisas. Después, sigan las tres señales concretas: controles desplegados, fondos recuperables y aplicación formal de la ley. ¿Qué participantes pueden demostrar que sus responsabilidades declaradas coinciden con los controles que realmente operan?
