Si el objetivo de un hacker común es robar datos, los objetivos de ataque del Lazarus Group (Grupo Lazarus) hace tiempo que superaron el ámbito de la ciberdelincuencia tradicional.
Durante más de una década, este grupo de hackers, al que el Gobierno de Estados Unidos considera vinculado a Corea del Norte, ha atacado de forma constante bancos, instituciones financieras, empresas tecnológicas y proyectos de criptomonedas de todo el mundo. Desde el ataque a Sony Pictures y el robo de 81 millones de dólares al Banco Central de Bangladés, hasta los ataques al puente entre cadenas Ronin y a la red Harmony, así como el robo de activos por valor de casi 1.500 millones de dólares a Bybit en 2025, las operaciones relacionadas con Lazarus no han dejado de redefinir la percepción de los riesgos de ciberseguridad en el sector financiero mundial.
Sus ataques no se dirigen únicamente a las vulnerabilidades de los sistemas, sino también a la confianza entre las personas, los permisos internos de las empresas y los límites de seguridad de toda la infraestructura financiera.
I. ¿Qué es exactamente Lazarus?
Lazarus Group, también conocido como el Grupo Lázaro, es el término que utiliza el sector de la ciberseguridad para referirse a una serie de actividades de ciberataque vinculadas a Corea del Norte.
En 2019, el Departamento del Tesoro de Estados Unidos impuso oficialmente sanciones a Lazarus Group y señaló sus vínculos con la Oficina General de Reconocimiento de Corea del Norte.
Las actividades de ataque relacionadas con este grupo incluyen intrusiones en instituciones financieras, robo de secretos comerciales, ransomware, robos de criptomonedas y sabotaje de infraestructuras de red. En los estudios de ciberseguridad también aparecen con frecuencia nombres como APT38, TraderTraitor y Bluenoroff para describir actividades de ataque relacionadas o grupos de amenazas vinculados, pero estos nombres no implican que todas las operaciones las lleve a cabo un mismo equipo.
El Gobierno de Estados Unidos considera que los delitos cibernéticos relacionados con Corea del Norte son una importante fuente de financiación ilícita y que parte de esos fondos podría utilizarse para apoyar al régimen norcoreano y sus programas armamentísticos.
II. Más de una década de ataques: incidentes importantes que conmocionaron al mundo
2014: ataque a Sony Pictures
En noviembre de 2014, Sony Pictures sufrió un ciberataque a gran escala. Los atacantes se infiltraron en la red interna de la empresa, robaron una gran cantidad de información confidencial y utilizaron malware destructivo para borrar datos, lo que afectó gravemente a sus operaciones.
La información filtrada incluía correos internos de directivos, datos personales de empleados, material cinematográfico inédito, información financiera de la empresa y secretos comerciales.
Este incidente hizo que empresas de todo el mundo comprendieran que los ciberataques no solo pueden robar información, sino también interrumpir directamente las operaciones normales de una empresa. Posteriormente, el Gobierno de Estados Unidos vinculó el ataque con acciones cibernéticas relacionadas con Corea del Norte.
2016: robo de 81 millones de dólares al Banco Central de Bangladés
Fue uno de los incidentes más conocidos de la historia de los ataques financieros relacionados con Lazarus.
Los atacantes primero vulneraron los sistemas internos del Banco Central de Bangladés y obtuvieron credenciales de comunicación bancaria. Después, utilizaron SWIFT, el sistema internacional de comunicación financiera interbancaria, para enviar instrucciones de transferencia falsas.
Los atacantes intentaron transferir unos 951 millones de dólares. Algunas transacciones se bloquearon a tiempo, pero finalmente se transfirieron con éxito unos 81 millones de dólares.
Este incidente puso de manifiesto un riesgo importante de los sistemas financieros tradicionales: incluso los bancos con sistemas internacionales de pago consolidados pueden sufrir pérdidas enormes si se vulneran sus terminales internos, credenciales de identidad y procedimientos operativos.
2017: el ransomware WannaCry se propaga por todo el mundo
En mayo de 2017, el ransomware WannaCry se propagó rápidamente a al menos 150 países e infectó unos 300.000 ordenadores.
El virus se propagaba aprovechando una vulnerabilidad del sistema Windows. Tras infectar un dispositivo, cifraba sus archivos y exigía a la víctima un rescate en bitcoin.
El Servicio Nacional de Salud del Reino Unido (NHS) se vio gravemente afectado: se interrumpieron las citas hospitalarias, la atención médica y el funcionamiento de los sistemas internos, y se cancelaron más de 19.000 citas.
Posteriormente, Estados Unidos, el Reino Unido y otros países atribuyeron públicamente el ataque de WannaCry a acciones cibernéticas relacionadas con Corea del Norte. Este incidente demostró que el impacto de los ciberataques ya no se limita a las pérdidas financieras: incluso puede afectar a los servicios sanitarios y a las infraestructuras públicas.
2022: robo de unos 625 millones de dólares a Ronin Bridge
En marzo de 2022, la red Ronin, que respalda el juego blockchain Axie Infinity, sufrió un ataque.
Mediante un ataque de ingeniería social dirigido a personas relacionadas con Sky Mavis, los atacantes obtuvieron los permisos necesarios para controlar los nodos validadores y, finalmente, llegaron a controlar un número suficiente de ellos.
A continuación, los atacantes transfirieron desde Ronin Bridge unos 173.600 ETH y 25,5 millones de USDC. Según los precios de mercado de ese momento, las pérdidas ascendieron a unos 625 millones de dólares.
El proyecto no detectó la actividad sospechosa hasta varios días después. En abril de 2022, el FBI de Estados Unidos atribuyó oficialmente el ataque a Lazarus Group y a actividades cibernéticas relacionadas con Corea del Norte.
Este incidente puso de manifiesto el riesgo fundamental de los puentes cross-chain: la cadena de bloques puede funcionar con normalidad, pero si falla el mecanismo de validación que controla las transferencias de activos entre cadenas, todo el sistema del puente puede convertirse en objetivo de un ataque.
2022: robo de 100 millones de dólares a Harmony Horizon Bridge
En junio de 2022, el puente cross-chain Horizon del proyecto Harmony fue atacado y se robaron criptoactivos por valor de unos 100 millones de dólares.
En enero de 2023, el FBI de Estados Unidos confirmó oficialmente que Lazarus Group era responsable del robo. Después, los atacantes transfirieron los fondos utilizando distintas direcciones y protocolos de privacidad.
El FBI también reveló que los implicados utilizaron protocolos de privacidad como RAILGUN para procesar parte del ETH robado.
Esto demuestra que robar activos es solo una parte del ataque. Transferir, dividir y procesar los fondos robados también son etapas importantes de toda la cadena delictiva.
2023: una serie de ataques contra la industria de las criptomonedas
En 2023, los ciberataques relacionados con Lazarus siguieron teniendo como objetivo la industria de las criptomonedas.
Atomic Wallet perdió unos 100 millones de dólares, Alphapo unos 60 millones, CoinsPaid unos 37 millones y Stake.com unos 41 millones.
El FBI de Estados Unidos fue publicando información sobre la atribución de estos incidentes y los vinculó con actividades de ciberataque relacionadas con Corea del Norte.
Los objetivos ya no se limitaban a las grandes plataformas de intercambio, sino que se extendieron gradualmente a proveedores de servicios de monedero, plataformas de pago y todo el ecosistema de las criptomonedas.
2025: Bybit sufre el robo de activos por valor de unos 1.500 millones de dólares
Fue uno de los mayores robos de activos de la historia de la industria de las criptomonedas.
El 21 de febrero de 2025, Bybit sufrió un ataque y se transfirieron ETH y activos relacionados por valor de unos 1.460 millones de dólares.
Lo más destacable de este ataque es que los atacantes no se limitaron a descifrar las contraseñas de la plataforma: aprovecharon las relaciones de confianza en la cadena de suministro y en el proceso de firma de transacciones.
Según la información de la investigación publicada por Bybit, los atacantes vulneraron las credenciales y la infraestructura de desarrolladores relacionados con Safe y manipularon la interfaz de firma de transacciones, de modo que el contenido que veían quienes firmaban no coincidía con la transacción maliciosa que se ejecutaba realmente.
Finalmente, los atacantes tomaron el control de un monedero frío de ETH de Bybit y transfirieron activos por valor de unos 1.460 millones de dólares.
El 26 de febrero de 2025, el FBI de Estados Unidos atribuyó oficialmente el ataque a agentes de ciberataques relacionados con Corea del Norte y lo clasificó como parte de la actividad TraderTraitor.
El FBI también reveló que los atacantes convirtieron rápidamente parte de los activos robados en bitcoin y otros criptoactivos, y los distribuyeron entre numerosas direcciones de la cadena de bloques.
Este ataque hizo sonar las alarmas en toda la industria: los monederos fríos no son absolutamente seguros, la multifirma tampoco garantiza una seguridad absoluta y los monederos de hardware no pueden evitar todas las firmas maliciosas.
El verdadero problema no es solo si se ha filtrado la clave privada, sino qué transacción estás firmando exactamente.
III. ¿Cómo lleva a cabo sus ataques Lazarus?
Al estudiar estos incidentes históricos, se observan varios patrones de ataque recurrentes.
El primero es la ingeniería social.
Los atacantes pueden hacerse pasar por entidades de inversión, reclutadores, desarrolladores, representantes de proyectos o socios comerciales, y contactar con sus objetivos a través de X, LinkedIn, Telegram y el correo electrónico. Una vez establecida la confianza, envían supuestos documentos de trabajo, materiales de inversión, pruebas de código o invitaciones a reuniones.
Si el objetivo descarga y ejecuta un archivo malicioso, los atacantes pueden robar credenciales de cuentas, obtener acceso al dispositivo e incluso infiltrarse en la red interna de una empresa.
El segundo es el ataque a la cadena de suministro.
Las grandes plataformas de intercambio y los proyectos de cadena de bloques suelen contar con varias capas de seguridad, por lo que es difícil atacar directamente sus sistemas centrales. Por eso, los atacantes pueden dirigir sus esfuerzos hacia desarrolladores, proveedores externos de servicios, proveedores de software y otros socios con acceso a los sistemas.
El incidente de Bybit es un caso típico. Los atacantes aprovecharon la intrusión en el entorno de desarrollo de un tercero y en la interfaz de transacciones para influir en la percepción que tenían quienes firmaban sobre el contenido de la transacción.
El tercero es el traslado de fondos en la cadena de bloques.
Tras robar los activos, los atacantes pueden dividir los fondos entre varias direcciones y dificultar su rastreo mediante intercambios entre cadenas, distintas plataformas de intercambio y protocolos de privacidad.
Sin embargo, la cadena de bloques no es completamente anónima. Cada transacción deja un registro. Aunque los atacantes cambien de dirección constantemente, los movimientos de fondos, los horarios de las transacciones, las fuentes de fondos compartidas y las relaciones entre direcciones pueden servir como pistas para una investigación.
Por eso, el FBI, las empresas de análisis de cadenas de bloques y las plataformas de intercambio pueden identificar parte de los fondos robados mediante el rastreo en la cadena.
IV. ¿Qué impacto han tenido estos ataques en la industria mundial de las criptomonedas?
En primer lugar, se ha visto afectada la confianza en la seguridad de las instituciones financieras. El incidente del Banco Central de Bangladés demostró que los sistemas internacionales de pago de la banca tradicional también pueden ser objeto de ciberataques.
En segundo lugar, se han reevaluado los riesgos de seguridad de la infraestructura de las criptomonedas. Incidentes como los de Ronin y Harmony han llevado a toda la industria a revisar el diseño de seguridad de los puentes cross-chain, los monederos multifirma, los nodos validadores y los contratos inteligentes.
En tercer lugar, los costes operativos de las plataformas de intercambio siguen aumentando. La gestión de monederos fríos, la verificación de firmas, las auditorías de terceros, la supervisión en la cadena, la respuesta a incidentes y la cobertura de seguros requieren más recursos.
En cuarto lugar, los activos robados pueden acabar dentro de redes más amplias de circulación de fondos ilícitos. Tras ser transferidos entre distintas cadenas, convertidos y blanqueados, pueden afectar a plataformas de intercambio, protocolos DeFi y otros usuarios comunes.
Lo más preocupante es la convergencia entre los problemas de ciberseguridad de ámbito estatal y la industria de las criptomonedas. Ya no se trata de simples ataques de hackers individuales, sino de un problema complejo que afecta a la infraestructura financiera, la seguridad internacional y la regulación de los activos digitales.
V. ¿Cómo pueden protegerse los usuarios comunes de criptomonedas?
$BNB Los inversores particulares no necesitan dominar técnicas profesionales de ciberseguridad, pero sí deben adoptar hábitos básicos de seguridad.
Guarda los activos de gran valor, siempre que sea posible, en un monedero frío independiente.
Nunca subas frases semilla ni claves privadas a servicios de almacenamiento en la nube o aplicaciones de mensajería.
No compartas con nadie frases semilla, claves privadas ni autorizaciones de firma.
No instales sin pensarlo extensiones de monedero proporcionadas por desconocidos.
No utilices software de monedero de procedencia desconocida.
Revisa periódicamente las autorizaciones de tu monedero y revoca las que ya no necesites.
No firmes a ciegas transacciones que no entiendas.
Antes de firmar, comprueba la dirección del destinatario, la dirección del contrato y el contenido de la transacción.
Desconfía de las autorizaciones de tokens con límite ilimitado.
Antes de realizar operaciones de gran importe, haz primero una prueba con una cantidad pequeña.
Para las cuentas de plataformas de intercambio, también conviene activar la autenticación de dos factores independiente, priorizar métodos resistentes al phishing, como las llaves de seguridad de hardware, configurar una lista de direcciones autorizadas para los retiros y activar las notificaciones de inicio de sesión y de retiro.
Es importante subrayar que los monederos de hardware pueden proteger las claves privadas, pero no garantizan que las transacciones que apruebes sean seguras. Si firmas una transacción maliciosa, el monedero de hardware también puede convertirse en la vía por la que se pierdan tus fondos.
Las plataformas de intercambio, los proyectos DeFi y los equipos de desarrollo también deben separar las claves privadas de los sistemas operativos, distribuir los permisos de multifirma, auditar el software de terceros, aplicar el principio de mínimos privilegios, supervisar las transacciones anómalas y establecer mecanismos de pausa de emergencia.
VI. Lo que realmente debe preocuparnos: los objetivos de los ciberataques están cambiando
Al repasar la historia de los ataques de la última década y más, se observa una clara evolución.
Entre 2014 y 2017, los ataques se dirigían principalmente a sistemas empresariales para robar datos y desplegar ransomware.
Entre 2016 y 2020, el alcance de los ataques se amplió a los sistemas bancarios, los sistemas internacionales de pago y las instituciones financieras.
Entre 2018 y 2021, las plataformas de intercambio de criptomonedas, los monederos y el software relacionado se convirtieron gradualmente en objetivos prioritarios.
Entre 2022 y 2023, los ataques se extendieron aún más a los puentes cross-chain, DeFi y la infraestructura de cadenas de bloques.
En 2025, la cadena de suministro, los entornos de desarrollo de terceros y los procesos de transacciones multifirma se convirtieron en puntos de entrada que conviene vigilar.
Esto no significa que todos los ataques fueran ejecutados por las mismas personas o con las mismas técnicas, sino que las actividades de ciberamenaza relacionadas con Lazarus han abarcado una parte cada vez mayor de la infraestructura financiera.
Para la industria de las criptomonedas, los límites de la seguridad están cambiando.
Antes, la preocupación se centraba en si se habían filtrado las claves privadas o si los contratos inteligentes tenían vulnerabilidades. Ahora también hay que preguntarse si los ordenadores de los desarrolladores son seguros, si el software de terceros es fiable, si se ha manipulado la interfaz de firma y si se están abusando de los permisos internos.
La historia de más de una década de ataques de Lazarus revela una realidad cruda: en la era de las finanzas digitales, el mayor riesgo puede no ser que se vulnere un sistema, sino que se aproveche la confianza.
Cuando se pueden transferir activos digitales por valor de miles de millones de dólares en poco tiempo, toda la industria debe replantearse una pregunta:
¿Estamos construyendo un sistema financiero digital seguro o simplemente trasladando a la cadena de bloques los riesgos del mundo financiero tradicional?$BTC