Imagina que un gobierno entero decide financiar su programa de armas nucleares no cobrando impuestos a sus ciudadanos, sino hackeando exchanges de criptomonedas en todo el mundo. Suena a película de espías, pero es la realidad financiera de la República Popular Democrática de Corea (RPDC). Entre 2017 y 2023, los hackers patrocinados por el estado norcoreano robaron aproximadamente $3 mil millones en activos digitales. Y eso fue solo el comienzo.
Para julio de 2026, las cifras han escalado aún más. En 2024, estos grupos cibernéticos se llevaron $1.340 millones en 47 incidentes distintos, un aumento del 102% respecto al año anterior. Pero el golpe más duro llegó en febrero de 2025, cuando un solo ataque contra la exchange Bybit resultó en el robo de casi $1.500 millones en Ether. Este evento marcó el robo de criptomonedas más grande en la historia registrada, superando en valor a todos los 47 ataques combinados de todo el año 2024.
¿Quién está detrás de los teclados?
No son piratas informáticos solitarios actuando desde sótanos oscuros. Detrás de este saqueo sistemático hay unidades militares especializadas operando bajo nombres de código que la comunidad de inteligencia conoce bien: Lazarus Group, TraderTraitor, Jade Sleet, UNC4899 y Slow Pisces.
Lazarus Group es una unidad de ciberespionaje y ciberdelito vinculada directamente al ejército norcoreano, conocida por su sofisticación técnica y su capacidad para realizar ataques a gran escala contra infraestructura financiera global. Estos grupos no buscan fama; buscan dinero líquido para el régimen de Pyongyang. Según evaluaciones del Consejo de Seguridad de las Naciones Unidas reportadas en diciembre de 2024, estas operaciones representan un esfuerzo coordinado para eludir las sanciones internacionales y financiar programas de armas de destrucción masiva.
La atribución de estos ataques ha sido compleja. Firmas de inteligencia de blockchain como Chainalysis han tenido que revisar constantemente sus análisis. Lo que antes se atribuía a otros actores criminales, ahora se vincula con claridad a la RPDC gracias a indicadores técnicos específicos, patrones operativos repetitivos y análisis forense de la cadena de bloques. El FBI, junto con el Centro de Delitos Cibernéticos del Departamento de Defensa de EE. UU. y la Policía Nacional de Japón, ha establecido metodologías claras para rastrear estos flujos de dinero hasta servidores en territorio norcoreano.
Anatomía de un robo: Más allá del código malicioso
Si crees que estos hackers entran rompiendo firewalls con fuerza bruta, estás equivocado. La herramienta más letal de Corea del Norte no es un virus complejo, sino la ingeniería social. Se aprovechan de la confianza humana.
Tomemos el caso de DMM en mayo de 2024, donde robaron $308 millones. El ataque comenzó meses antes, en marzo. Los atacantes se hicieron pasar por reclutadores en LinkedIn. Contactaron a empleados de Ginco, una empresa japonesa de software de billeteras corporativas. Les enviaron un script de Python malicioso disfrazado de prueba pre-empleo alojado en GitHub. Parece inocente, ¿verdad? Un archivo de texto simple.
Una vez que la víctima ejecutó ese script, los hackers obtuvieron acceso a las cookies de sesión del empleado. Esto les permitió suplantar su identidad dentro del sistema de gestión de billeteras de Ginco. No rompieron la puerta principal; simplemente esperaron a que alguien les abriera. Para mediados de mayo, manipularon una solicitud de transacción legítima realizada por un empleado de DMM, desviando 4.502,9 BTC hacia sus propias direcciones.
Este patrón se repite: compromiso inicial mediante engaño profesional, escalada de privilegios silenciosa durante semanas o meses, y finalmente, la ejecución del robo durante una operación comercial normal. Es paciente, metódico y extremadamente efectivo.
El lavado de dinero en la blockchain
Rodar criptomonedas es fácil; gastarlas sin levantar sospechas es difícil. Aquí es donde entra la verdadera sofisticación técnica. Tras el masivo robo a Bybit en 2025, expertos de TRM Labs observaron cómo los hackers convertían rápidamente los activos robados (Ether) en Bitcoin y otras monedas estables.
Utilizan intercambios descentralizados (DEX) y puentes entre cadenas (cross-chain bridges) para fragmentar el botín. Imagina que tienes un billete de $1.000 sucio. No lo gastas en una sola tienda. Lo cambias por monedas de diferentes países, lo divides en cientos de partes pequeñas y lo dispersas por miles de carteras virtuales distintas. Esto obscura el origen de los fondos y complica enormemente el trabajo de las fuerzas del orden.
| Incidente | Fecha | Víctima | Monto Robado | Técnica Principal |
|---|---|---|---|---|
| Hackeo a DMM/Ginco | Mayo 2024 | DMM (Japón) | $308 millones | Ingeniería social vía LinkedIn |
| Ataque a Atomic Wallet | Junio 2023 | Atomic Wallet | $100 millones | Malware y phishing |
| Robo a Bybit | Febrero 2025 | Bybit (Dubái) | $1.500 millones | Compromiso de hot wallets |
| Ataques múltiples | Junio 2023 | Alphapo / CoinsPaid | $97 millones | Phishing dirigido |
Impacto en la industria cripto
El impacto de estas operaciones ha redefinido el panorama de la ciberseguridad digital. En 2024, los grupos afiliados a Corea del Norte fueron responsables del 61% de todas las criptomonedas robadas globalmente, a pesar de representar solo el 20% de los incidentes totales. Esto indica una capacidad superior de selección de objetivos y ejecución.
Las plataformas de intercambio han sentido el golpe. Los costos de seguros han subido drásticamente. La escrutinio regulatorio se ha intensificado, especialmente en jurisdicciones como Dubái y Japón. La confianza del usuario, ese activo intangible pero vital, se ha visto sacudida cada vez que sale una noticia sobre otro hackeo masivo.
En respuesta, la industria ha acelerado la adopción de medidas de seguridad reforzadas. Las billeteras multisignatura (que requieren varias llaves para autorizar una transacción) ya no son opcionales para grandes tenedores. Los programas de capacitación de empleados se han vuelto más rigurosos, enfocándose específicamente en detectar intentos de suplantación de identidad en redes profesionales como LinkedIn. Además, los sistemas de monitoreo de blockchain en tiempo real ahora son estándar para detectar movimientos inusuales de fondos.
¿Por qué funciona esta estrategia?
Corea del Norte opera bajo un aislamiento económico severo. Las sanciones tradicionales bloquean sus cuentas bancarias occidentales y limitan su comercio físico. Las criptomonedas ofrecen una salida: un mercado global, 24/7, pseudo-anónimo y fronterizo.
Lo que hace único a este modelo es la combinación de recursos estatales ilimitados con tácticas criminales. Mientras un hacker común busca lucro personal rápido, Lazarus Group puede permitirse esperar seis meses para comprometer un solo objetivo si eso significa asegurar cientos de millones. Tienen la paciencia de un espía y la tecnología de una potencia militar emergente.
Además, la naturaleza descentralizada de las criptomonedas dificulta la intervención directa. Puedes sancionar a una entidad, pero ¿cómo sancionas una línea de código en Ethereum? Esta asimetría permite a Pyongyang seguir generando ingresos incluso mientras el resto del mundo cierra puertas comerciales tradicionales.
El futuro cercano: ¿Qué podemos esperar?
Los expertos en ciberseguridad advierten que esto no va a detenerse pronto. Al contrario, la tendencia apunta a una mayor expansión. Con las sanciones globales intensificándose y las fuentes tradicionales de ingresos restringidas, la dependencia de la RPDC del cibercrimen crecerá.
Esperamos ver ataques a plataformas aún más grandes. Los hackers norcoreanos están perfeccionando sus técnicas de lavado, volviéndose más rápidos y difíciles de rastrear. La próxima gran víctima podría ser una institución financiera tradicional que adopte activos digitales, ampliando el alcance del riesgo más allá de los exchanges especializados.
La colaboración internacional entre el FBI, la policía japonesa y agencias europeas sigue activa, pero jugarán siempre a la defensiva. Cada nuevo puente entre cadenas, cada nuevo protocolo de privacidad, ofrece nuevas herramientas tanto para los defensores como para los atacantes. La carrera armamentística digital continúa, y el precio de la entrada son tus ahorros digitales.
¿Cuánto dinero ha robado Corea del Norte en total hasta 2026?
Entre 2017 y 2023, se estima que robaron aproximadamente $3 mil millones. Sin embargo, las cifras han aumentado significativamente desde entonces. Solo en 2024, robaron $1.340 millones, y el incidente de febrero de 2025 contra Bybit añadió otros $1.500 millones. El total acumulado supera ampliamente los $5 mil millones cuando se incluyen todos los incidentes documentados hasta principios de 2026.
¿Qué es el Grupo Lazarus y por qué es peligroso?
El Grupo Lazarus es una unidad de ciberdelito patrocinada por el estado norcoreano. Es peligroso porque combina recursos gubernamentales ilimitados con tácticas criminales sofisticadas. A diferencia de los hackers individuales, tienen la capacidad de planificar ataques largos y complejos, utilizando ingeniería social avanzada y malware personalizado para infiltrarse en empresas tecnológicas y financieras.
¿Cómo lograron robar $1.500 millones a Bybit en 2025?
Aunque los detalles técnicos completos siguen bajo investigación, los análisis sugieren que comprometieron las "hot wallets" (billeteras conectadas a internet) de la plataforma. Utilizaron técnicas de ingeniería social para obtener credenciales de acceso internas, permitiendo transferir grandes cantidades de Ether antes de que los sistemas de seguridad pudieran reaccionar. Fue el robo individual más grande en la historia de las criptomonedas.
¿Son seguras las criptomonedas ante estos ataques?
La tecnología blockchain en sí misma es segura, pero la seguridad depende de cómo la gestionan las plataformas y los usuarios. Los ataques suelen dirigirse a vulnerabilidades humanas (phishing) o fallos en la implementación de seguridad de las exchanges. Para los usuarios, mantener sus activos en billeteras frías (offline) y usar plataformas con auditorías de seguridad rigurosas reduce significativamente el riesgo.
¿Para qué usa Corea del Norte el dinero robado?
El dinero robado se utiliza principalmente para financiar programas de armas de destrucción masiva, incluyendo misiles balísticos y desarrollo nuclear. También ayuda a sostener la economía interna del régimen, permitiéndole eludir las sanciones económicas internacionales que limitan su acceso a divisas tradicionales y mercados globales.
¿Qué es la ingeniería social en el contexto de estos hackeos?
La ingeniería social es la manipulación psicológica de personas para que revelen información confidencial o realicen acciones que comprometan la seguridad. En los casos de Corea del Norte, esto incluye hacerse pasar por reclutadores en LinkedIn, enviar scripts maliciosos disfrazados de pruebas de empleo o correos falsos que imitan a colegas internos, logrando así acceso a sistemas protegidos sin necesidad de romper cifrados complejos.