El atacante de Binance cambia 11.136 SOL por 13,51 BTC a través de Relay y deja aparcados otros 485.277 SOL
Pasó el atacante de Binance parte de su SOL a bitcoin, aunque mucho menos de lo que se ha contado. Algo más del 1 % de su botín en Solana llegó a BTC antes de que Relay empezara a rechazar sus carteras, y esos bitcoin siguen sin moverse.
Convirtió el atacante de Binance 11.136,2 SOL en 13,51 BTC, unos 1,05 millones de $, a través de Relay, un servicio de intercambio entre cadenas, en 25 operaciones completadas el 1 de noviembre, según la API pública del propio servicio [7]. Una fracción mínima de los 970.522 SOL que se llevó en el hackeo del 29 de octubre [1][3].
Casi la mitad de ese botín, 485.277 SOL, descansa además en una dirección recién estrenada que no ha gastado nada, tal y como muestra la lectura de la cadena de Solana realizada por NodeWitness [6]. Relay, por su parte, rechazó cuatro solicitudes del atacante por tratarse de carteras bloqueadas [7].
La cifra que corrió por las redes era otra. «El hacker de Binance está cambiando los 970.522 SOL robados (95,9 millones de $) por BTC. En la última hora ha movido 486.970 SOL (46,4 millones de $) y ya los está cambiando por BTC a través de Relay», publicó la cuenta de análisis Lookonchain en X [1]. Un mensaje que superó las 110.000 visualizaciones [1].
Medio millón de SOL, quieto
Hasta la mañana del 1 de noviembre, eso sí, no movió nada [6]. Fue entonces cuando envió una prueba de 7 SOL a una dirección nueva, Eze86Ngj, y unos segundos después le mandó 485.270 SOL [6]. En la lectura del 2 de noviembre, Eze86Ngj guardaba 485.277 SOL sin haber firmado una sola salida [6], lo mismo que observa Tibane Labs en su seguimiento del robo [8].
Esos 485.277 SOL explican casi todo el movimiento de una hora del que habló Lookonchain. De hecho, si se suman los dos envíos siguientes del atacante a otra dirección, de 838,4 y 854,9 SOL, salen exactamente sus 486.970 SOL [1][6]. Es decir, el grueso de lo que se presentó como un cambio a bitcoin fue un traslado a una cartera que no ha tocado Relay.
Lotes de 500 SOL
El camino hacia bitcoin pasó por esa segunda dirección, 7SDuVQ2S, que recibió 18.573,5 SOL del atacante en diez envíos a lo largo del 1 de noviembre [6]. Desde allí salieron lotes, casi siempre de 500 SOL, hacia direcciones nuevas, y cada una de ellas pidió a Relay cambiar su SOL por bitcoin [6][7].
La API de Relay recoge cada solicitud, con la transacción de entrada en Solana, la de salida en bitcoin y la dirección que cobra [7]. Las 25 completadas suman 11.136,2 SOL entregados y 13,51 BTC pagados [7]. Una de ellas es la que aparecía en la captura de Lookonchain, 299,95 SOL cambiados por 0,365 BTC [1][7].
Fue también ahí donde el servicio frenó al atacante. Relay rechazó cuatro de sus solicitudes, por 1.799,7 SOL, con el motivo de cartera bloqueada, y devolvió una quinta, de 499,9 SOL, por falta de saldo de quien debía pagarla [7]. El primer rechazo llegó a media jornada y los tres últimos, por la tarde. Tras ellos no consta ninguna solicitud más del atacante en Relay [7].
No es la primera vez que el servicio aparece en el rastro del robo. Y es que Relay ya movió unos 48 millones de $ de los fondos sacados de Tron, según el analista SomaXBT, citado por The Block [10]. El FBI, en cualquier caso, ya había pedido a los servicios de intercambio instantáneo y DeFi que bloquearan las transacciones con las direcciones del robo [4].
Los bitcoin, en ocho direcciones
En bitcoin, el dinero no fue lejos. Relay pagó cada intercambio en una dirección de un solo uso, y en cuestión de horas el atacante juntó esos pagos en siete direcciones nuevas [9]. Las siete guardaban 14,66 BTC sin gastar en la lectura de mempool.space del 2 de noviembre, y una octava conservaba otros 0,61 BTC [9].
15,27 BTC en ocho direcciones, sin una sola salida gastada en la lectura del 2 de noviembre [9].
No todo llegó desde Relay. De esos 15,27 BTC, 13,51 BTC salieron de la dirección con la que Relay paga sus intercambios, justo lo que suman sus 25 operaciones completadas [7][9], y 1,76 BTC llegaron en ocho pagos desde otra dirección de mucho movimiento que NodeWitness no ha podido atribuir [9]. Pagos cuyos importes y horas coinciden con 19 depósitos con un código numérico que 7SDuVQ2S hizo a otra dirección de Solana, 2.961 SOL en total [6][9].
Tampoco se han movido los bitcoin del robo original. Las 19 salidas que guardan los 18.270,2 BTC sustraídos a la cartera caliente de bitcoin de Binance seguían sin gastar en la comprobación del 2 de noviembre [9][8], tal y como contamos en la pieza sobre la reapertura de las retiradas.
Cambio de ruta
El 2 de noviembre, el atacante volvió a mover SOL, ya por otra vía. Envió 41.521,1 SOL a siete direcciones nuevas, y desde cuatro de ellas cambió 40.755,2 SOL por unos 3,84 millones de USDC en Jupiter, el agregador de intercambios de Solana, en cinco operaciones [6]. La última, de 5.684,9 SOL por 534.819 USDC, llegó más de una hora después de las demás [6]. Esos USDC salieron después, en cuestión de minutos en el último caso, hacia otras direcciones que NodeWitness no ha seguido [6].
En la dirección original quedaban 425.182,6 SOL, y 7SDuVQ2S conservaba otros 4.473,3 SOL [6]. Sumados a los 485.277 SOL aparcados, más de nueve de cada diez SOL robados siguen en carteras del atacante sin haber pasado por ningún servicio [6].
Está por ver qué hará con ese medio millón de SOL quieto y si otros servicios seguirán el camino de Relay. Cualquier movimiento de esas carteras quedará a la vista en la cadena, igual que el de los 15,27 BTC que ya tiene en bitcoin.
El efecto en el mercado de bitcoin lo seguimos aparte.
Fuentes
Tipo de fuente entre corchetes. Horas en UTC. Consultadas el 2 de noviembre de 2026.
- Lookonchain, mensaje en X, 10:35 UTC del 1 de noviembre de 2026. 970.522 SOL, 486.970 SOL movidos en una hora, Relay; captura de Arkham con el intercambio de 299,95 SOL. (Secundaria, analista)
- Arkham, ficha de la dirección AffzFDKZ, etiquetada «Binance Hacker», enlazada por Lookonchain. (Secundaria, analítica)
- Arkham, hilo en X sobre el robo, 04:20 UTC del 30 de octubre de 2026. 970.522 SOL robados en Solana. (Secundaria, analítica)
- FBI, North Korea Responsible for $6 Billion Binance Attack, 31 de octubre de 2026, con la lista de direcciones, y mensaje en X. (Primaria, autoridad)
- Elliptic, lista de bloqueo del hackeo a Binance (CSV), descargada el 2 de noviembre de 2026. Incluye AffzFDKZ, Eze86Ngj, 7SDuVQ2S y las direcciones que pidieron los intercambios. (Secundaria, analítica)
- Solana, lectura propia con el RPC público (api.mainnet-beta.solana.com) de AffzFDKZ, Eze86Ngj, 7SDuVQ2S y sus destinos, hacia las 09:18 UTC del 2 de noviembre de 2026 (slot 464.442.227). (Primaria, cadena)
- Relay, lectura propia de su API pública de solicitudes para cada dirección fondeada desde 7SDuVQ2S, hacia las 09:20 UTC del 2 de noviembre de 2026. Estados, importes, transacciones y motivos de rechazo. (Primaria, servicio)
- Tibane Labs, Binance 14 signed away its own keys, seguimiento en vivo del robo, consultado el 2 de noviembre de 2026. (Secundaria, análisis)
- mempool.space, lectura propia de las direcciones de cobro de Relay, de las siete direcciones de agrupación (por ejemplo bc1q4kfm…rpf) y de las 19 salidas del robo original, en el bloque 974.235 del 2 de noviembre de 2026. (Primaria, cadena)
- The Block, North Korean hackers launder $242 million of Binance loot via Tron as FBI presses THORChain: analyst, 1 de noviembre de 2026. (Secundaria, prensa)
Más en Precio y mercado
Última actualización: 2 de noviembre de 2026