Robo de 133 millones en cripto a una institución de la UE no identificada

El 1 de noviembre de 2026, una institución no identificada de la Unión Europea vio drenados unos 133 millones de dólares en stablecoins de sus cuentas de intercambio en un solo fin de semana. El investigador ZachXBT denunció el robo públicamente por primera vez el 2 de noviembre; la identidad de la víctima — y la del atacante — siguió siendo desconocida mientras los fondos robados se convertían y se transferían fuera de alcance con rapidez.

Qué ocurrió

A partir del domingo 1 de noviembre, direcciones controladas por el atacante extrajeron USDC y USDT de cuentas que la víctima mantenía en varios intercambios centralizados. ZachXBT contabilizó inicialmente más de 106 millones de dólares repartidos en once direcciones de monedero y luego elevó la estimación a más de 133 millones de dólares el 3 de noviembre, tras identificar alrededor de 27 millones de dólares en retiradas adicionales. La firma de análisis on-chain Bitquery atribuyó las salidas a cuentas en Kraken, Crypto.com y OKX, contabilizando unos 108,8 millones de dólares solo en USDC durante una ventana de unas 21 horas. En lugar de un exploit de contrato inteligente, el patrón apuntaba a un compromiso del lado del propietario: el atacante parecía poseer tanto las credenciales de los intercambios como las claves privadas de los monederos que usaba la víctima, de modo que cada retirada se ejecutaba como una acción legítima y autenticada. La vía del acceso inicial nunca se hizo pública.

Consecuencias

El atacante blanqueó los fondos con rapidez. Unos 62,98 millones de dólares en stablecoins se cambiaron por alrededor de 27.553 ETH en cuatro horas, en gran parte a través de UniswapX, con partes enrutadas por servicios de intercambio instantáneo y transferidas a Monero. Tether congeló una parte de los USDT robados, mientras que Circle no había congelado los USDC restantes en el momento de la información; Crypto.com y OKX dijeron estar actuando sobre las cuentas vinculadas o revisándolas. ZachXBT acusó a la víctima de no haber comunicado la brecha a las autoridades, permitiendo que se blanquearan más de 30 millones de dólares que de otro modo podrían haberse congelado. También afirmó estar muy seguro de que los patrones de blanqueo no coincidían con el grupo norcoreano Lazarus.

Por qué importa

El robo recuerda que las pérdidas cripto más dañinas provienen cada vez menos de errores novedosos en contratos y más de credenciales y claves comprometidas del lado de la víctima — el mismo modo de fallo que el drenaje de hot wallets de Mercado Bitcoin días antes y la brecha récord de Binance. También pone de relieve una brecha de divulgación: cuando una víctima calla, el blanqueo avanza sin obstáculos, y la única contabilidad pública procede de investigadores on-chain independientes y no de la institución que perdió el dinero.