Cómo el Grupo Lazarus y otros operadores cibernéticos vinculados a Corea del Norte convirtieron en objetivos a instituciones financieras y plataformas de criptomonedas de todo el mundo, y por qué las fuerzas del orden internacionales tienen dificultades para llevarlos ante la justicia.
He estado investigando la historia de los ciberataques norcoreanos, en particular su participación en el robo de criptomonedas, y hay una pregunta que no deja de rondarme la cabeza.
¿Cómo puede un grupo de hackers robar miles de millones de dólares a instituciones financieras y plataformas de intercambio de criptomonedas que operan en varios países y, aun así, seguir siendo tan difícil de detener físicamente por parte de las fuerzas del orden internacionales?
No estamos hablando de un incidente aislado ni de un pequeño grupo de ciberdelincuentes sin experiencia. Estamos ante un patrón de operaciones que se ha prolongado durante una década y que involucra a bancos, redes de pago, plataformas de intercambio de criptomonedas, puentes de cadena de bloques, desarrolladores de software e inversores particulares.
El nombre que aparece una y otra vez en estas investigaciones es Lazarus Group, una organización de piratería informática vinculada a Corea del Norte.
A lo largo de los años, los métodos han evolucionado. Lo que comenzó con ataques contra la infraestructura bancaria tradicional se extendió gradualmente a las plataformas de intercambio de criptomonedas, las plataformas DeFi y los ecosistemas de cadena de bloques.
Pero lo más interesante de esta historia no es simplemente cuánto dinero se ha robado. Es lo difícil que se ha vuelto detener estas operaciones, identificar a las personas que están detrás de ellas y llevarlas ante un tribunal.
Veamos las pruebas.
1. Una década de ciberataques: de los bancos tradicionales a las criptomonedas
Robo al Bangladesh Bank en 2016
Se robaron con éxito aproximadamente 81 millones de dólares del Bangladesh Bank mediante instrucciones fraudulentas de pago SWIFT. Los investigadores vincularon la operación con hackers norcoreanos.
Los atacantes intentaron transferir aproximadamente 951 millones de dólares, pero se detuvo la mayoría de las transferencias intentadas.
Ransomware WannaCry de 2017
Un ataque mundial de ransomware afectó a cientos de miles de ordenadores. Las víctimas perdieron el acceso a sus archivos y se les pidió que pagaran en Bitcoin para recuperarlo.
El Servicio Nacional de Salud del Reino Unido fue una de las organizaciones afectadas. Posteriormente, el Departamento de Justicia de Estados Unidos vinculó la operación con hackers norcoreanos.
2018: BankIslami Pakistan
Este incidente es especialmente relevante para Pakistán.
Según el Departamento de Justicia de Estados Unidos, se robaron aproximadamente 6,1 millones de dólares de BankIslami Pakistan mediante una operación coordinada de extracción de efectivo de cajeros automáticos conocida como FASTCash.
Esto demuestra que estas operaciones no se limitaron a instituciones financieras occidentales.
2022: Ronin Network
Se robaron aproximadamente 625 millones de dólares en criptomonedas de Ronin Network, asociada a Axie Infinity.
El FBI atribuyó el ataque a Lazarus Group y APT38.
2022: Harmony Horizon Bridge
Se robaron otros 100 millones de dólares aproximadamente del puente Horizon de Harmony. Posteriormente, el FBI atribuyó el ataque a Lazarus Group.
2023: Atomic Wallet, CoinsPaid y Alphapo
Estos incidentes involucraron aproximadamente:
Atomic Wallet: 100 millones de dólares.
CoinsPaid: 37 millones de dólares.
Alphapo: 60 millones de dólares.
El FBI vinculó a actores afiliados a Corea del Norte con estos incidentes.
2024: WazirX, DMM Bitcoin y otros ataques
Varias importantes plataformas y proyectos de criptomonedas sufrieron pérdidas sustanciales:
DMM Bitcoin: aproximadamente 308 millones de dólares.
WazirX: aproximadamente 235 millones de dólares.
Upbit: aproximadamente 50 millones de dólares.
Radiant Capital: aproximadamente 50 millones de dólares.
Rain Management: aproximadamente 16,13 millones de dólares.
Los gobiernos de Estados Unidos, Japón y Corea del Sur atribuyeron varios de estos ataques a actores norcoreanos.
Hackeo de Bybit Exchange en 2025
Este fue otro importante punto de inflexión.
El 21 de febrero de 2025 robaron de Bybit aproximadamente 1.500 millones de dólares en activos virtuales.
El 26 de febrero, el FBI atribuyó oficialmente el ataque a Corea del Norte e identificó la actividad como TraderTraitor.
Los investigadores observaron que los activos robados se movían a través de miles de direcciones de monederos y varias redes de cadena de bloques.
Incidente de Binance de 2026: 6.300 millones de dólares
El último incidente del que se ha informado ha elevado considerablemente las apuestas.
El 29 de octubre de 2026, Binance sufrió un presunto robo de criptomonedas por un valor superior a 6.000 millones de dólares.
El 31 de octubre, el FBI atribuyó oficialmente el robo a Corea del Norte e identificó la operación como TraderTraitor.
Según el FBI, los atacantes estaban convirtiendo los activos robados principalmente en Ethereum, y se espera que continúen blanqueándolos a través de plataformas DeFi y servicios de intercambio instantáneo de criptomonedas.
Binance también afirmó que había dispuesto aproximadamente 6.340 millones de dólares para cubrir las pérdidas declaradas y que colaboraba con socios del sector para congelar los activos afectados.
Esto no es simplemente otro incidente de seguridad de una plataforma de intercambio. Demuestra la magnitud de la exposición financiera que puede resultar cuando atacantes sofisticados vulneran infraestructuras críticas de activos digitales.
👉 ¿Cómo operan realmente estos hackers?
Algo que me preocupa especialmente es que estas operaciones no siempre comienzan con un ataque directo a la infraestructura de los monederos de una plataforma de intercambio.
A veces, el punto de entrada es un empleado común y corriente.
Entre las técnicas de las que se ha informado figuran:
Ingeniería social: Los atacantes se hacen pasar por reclutadores, empleadores, socios comerciales o contactos de confianza para acceder a los empleados y sus dispositivos.
Distribución de malware: El software malicioso y las tareas de programación pueden comprometer ordenadores y exponer credenciales confidenciales.
Ataques dirigidos a empleados: Las personas con acceso a sistemas internos, la gestión de monederos y la aprobación de transacciones se convierten en objetivos valiosos.
Falsas contrataciones en el sector de TI: Según se ha informado, operativos vinculados a Corea del Norte han utilizado identidades falsas para conseguir empleos remotos en empresas internacionales.
Blanqueo de criptomonedas: Los activos robados se mueven a través de varios monederos, servicios de intercambio y redes de cadena de bloques para complicar las investigaciones.
Un aviso conjunto de ciberseguridad publicado en septiembre de 2026 describió la campaña WaterPlum, que atacó a profesionales de TI mediante falsas ofertas de empleo.
Entre diciembre de 2025 y julio de 2026, el aviso informó de al menos 30.000 dispositivos comprometidos en más de 100 países, más de 7.000 monederos de criptomonedas afectados y aproximadamente 10,71 millones de dólares en criptomonedas robadas.
Piénsalo por un momento.
Un desarrollador que busca un empleo remoto podría convertirse, sin saberlo, en un punto de entrada a la infraestructura tecnológica más amplia de una organización.
👉 La gran pregunta: ¿Por qué no pueden las agencias internacionales arrestar a estos hackers?
Aquí es donde la historia se complica considerablemente.
Contamos con organismos como el FBI, Interpol, fuerzas policiales nacionales, servicios de inteligencia y empresas especializadas en investigaciones de cadenas de bloques.
Pueden investigar ataques, identificar movimientos sospechosos de monederos, publicar avisos, imponer sanciones e incluso obtener acusaciones penales.
Pero ninguna de esas medidas pone automáticamente a un sospechoso entre rejas.
Hay varias razones.
@ Los hackers pueden encontrarse físicamente fuera de la jurisdicción del país que investiga
Según la acusación formal del Departamento de Justicia de Estados Unidos de 2021, tres hackers norcoreanos vinculados al ejército estaban relacionados con operaciones asociadas a Lazarus Group y APT38.
La acusación sostenía que algunos de estos operativos habían estado destinados en países como China y Rusia.
Esto genera un grave problema jurisdiccional.
Un investigador estadounidense puede tener pruebas contra un sospechoso, pero si esa persona se encuentra físicamente en otro país, el FBI no puede simplemente entrar en ese país y arrestarla.
El organismo investigador necesita la cooperación del país donde se encuentra el sospechoso.
Sin esa cooperación, una orden de arresto puede quedar sin ejecutar durante años.
@ Corea del Norte es una jurisdicción extremadamente difícil para las fuerzas del orden internacionales
Pensemos en la situación práctica.
Si los investigadores identifican a un sospechoso que, según creen, opera desde Corea del Norte, ¿cómo pueden llegar físicamente hasta esa persona?
No pueden simplemente enviar un equipo de arresto a territorio norcoreano.
Necesitan cooperación jurídica internacional, acceso al sospechoso y un procedimiento legal que pueda hacerse cumplir.
Las relaciones políticas, las sanciones, las restricciones diplomáticas y la falta de cooperación práctica pueden hacer que estos casos sean excepcionalmente difíciles.
Esta es una de las razones por las que identificar a un hacker vinculado a Corea del Norte no significa necesariamente que se pueda arrestar a esa persona.
@ Atribuir un ataque no equivale a demostrar la responsabilidad penal de una persona
Hay otra distinción importante.
Un organismo puede concluir que un ciberataque está relacionado con Lazarus Group basándose en similitudes entre el malware, la infraestructura, los patrones operativos, los movimientos de monederos y la inteligencia disponible.
Pero demostrar que una persona concreta cometió personalmente un delito específico exige otro nivel de pruebas.
Los investigadores deben establecer:
¿Quién controlaba realmente los sistemas comprometidos?
¿Quién inició o autorizó las transacciones?
¿Quién controlaba los monederos que recibieron los fondos robados?
¿Qué pruebas vinculan al sospechoso con la operación?
¿Se pueden presentar esas pruebas ante un tribunal y superar el escrutinio jurídico?
Una dirección de cadena de bloques no revela automáticamente la identidad real de su titular.
La atribución puede ser técnicamente convincente y, aun así, requerir pruebas adicionales para un proceso penal.
@ Las criptomonedas se mueven más rápido que los procedimientos jurídicos internacionales
Esta es probablemente una de las dificultades más graves.
Cuando las criptomonedas robadas se mueven a través de varios monederos, plataformas de intercambio, puentes y aplicaciones descentralizadas, los investigadores deben seguir el rastro de los activos en distintas jurisdicciones.
Es posible que tengan que ponerse en contacto con distintas plataformas de intercambio, unidades de inteligencia financiera, organismos reguladores y fuerzas del orden.
Cada país tiene sus propias leyes, procedimientos y requisitos para congelar o incautar activos.
Para cuando una solicitud formal llega a otra jurisdicción, es posible que los fondos ya se hayan movido varias veces.
Una cadena de bloques puede proporcionar un registro permanente de las transacciones, pero eso no garantiza que los investigadores puedan identificar de inmediato a las personas que controlan los monederos.
@ El uso de intermediarios dificulta las investigaciones
Las operaciones vinculadas a Corea del Norte también han involucrado a facilitadores y blanqueadores de dinero en terceros países.
Estos intermediarios pueden ayudar a:
Convertir criptomonedas en monedas tradicionales.
Abrir cuentas en plataformas de intercambio con identidades falsas.
Mover fondos a través de distintas redes financieras.
Proporcionar acceso a servicios financieros internacionales.
Ocultar la conexión entre el robo inicial y el destinatario final.
Esto crea otra capa de separación entre los hackers originales y el dinero.
Los investigadores pueden llegar a identificar a un facilitador o congelar un monedero sin llegar de inmediato a las personas que planearon y ejecutaron el ataque original.
@ La cooperación internacional no siempre es rápida ni constante
Imaginemos un robo que involucra a una plataforma de intercambio de un país, un hacker que opera desde otro, servidores ubicados en un tercer país y criptomonedas robadas que pasan por plataformas registradas en varias otras jurisdicciones.
¿Qué país dirige la investigación?
¿Quién tiene autoridad para congelar los activos?
¿Qué organismo reúne las pruebas?
¿Quién procesa a los sospechosos?
No son preguntas sencillas.
Un análisis de 2026 del Centro de Estudios Estratégicos e Internacionales destacó las dificultades que plantean la fragmentación de las regulaciones internacionales, la lentitud de la cooperación transfronteriza y la falta de un sistema plenamente coordinado para investigar, congelar y confiscar las ganancias procedentes de delitos relacionados con criptomonedas.
El problema no es que los organismos internacionales no hagan nada. El problema es que su autoridad y capacidad práctica están divididas por las fronteras nacionales.
👉 ¿Han identificado y acusado realmente las agencias internacionales a alguno de estos hackers?
Sí. Y esta es una distinción importante.
En septiembre de 2018, el Departamento de Justicia de Estados Unidos acusó al programador norcoreano Park Jin Hyok en relación con la presunta conspiración vinculada al robo al Bangladesh Bank, WannaCry y el ataque a Sony Pictures.
En febrero de 2021, el Departamento de Justicia anunció cargos adicionales contra tres programadores norcoreanos vinculados al ejército:
Park Jin Hyok
Jon Chang Hyok
Kim Il
El FBI también publicó una notificación de búsqueda de Park Jin Hyok.
Sin embargo, hay una gran diferencia entre acusar a alguien y arrestarlo físicamente.
La notificación de búsqueda del FBI indica que la última ubicación conocida de Park era Corea del Norte.
Esto ilustra la dificultad central: los investigadores pueden identificar sospechosos, preparar casos, obtener órdenes judiciales e imponer sanciones, pero detener físicamente a los sospechosos sigue siendo un desafío aparte.
Al mismo tiempo, las autoridades internacionales han tenido más éxito al perseguir a facilitadores, redes de empleo fraudulento en el sector de TI e intermediarios de blanqueo de dinero que se encuentran fuera de Corea del Norte.
En otras palabras, la respuesta internacional no se limita a intentar arrestar a los propios hackers. También se dirige contra las redes financieras y operativas que les permiten actuar.
👉 ¿Por qué es más fácil congelar criptomonedas robadas que arrestar a quienes están detrás del robo?
Esta es una distinción que todo inversor en criptomonedas debería entender.
Cuando los investigadores identifican fondos robados depositados en una plataforma de intercambio centralizada, pueden solicitar que la plataforma congele los activos correspondientes.
Pero cuando esos activos se transfieren a monederos de autocustodia, protocolos descentralizados o servicios que operan en jurisdicciones con cooperación limitada, la situación se vuelve mucho más difícil.
Consideremos tres escenarios distintos:
__ Los investigadores identifican un monedero y los fondos se transfieren a una plataforma de intercambio centralizada que coopera. Puede haber una oportunidad de congelar los activos.
__ Los fondos pasan por varias aplicaciones descentralizadas y servicios entre cadenas. Rastrearlos se vuelve más complicado.
__ Los investigadores identifican los movimientos de los monederos, pero no pueden determinar quién controla las direcciones de destino. Pueden saber adónde fue el dinero sin saber quién lo controla físicamente.
Por eso, las empresas de análisis de cadenas de bloques, las plataformas de intercambio y las fuerzas del orden necesitan cada vez más trabajar juntas.
Tanto la alerta del FBI sobre Bybit de febrero de 2025 como la alerta sobre Binance de octubre de 2026 demuestran la importancia de colaborar con plataformas de intercambio, operadores de infraestructura de cadena de bloques y servicios DeFi.
👉 ¿Qué deberían aprender de esta década las plataformas de intercambio de criptomonedas?
Creo que el sector debe ir más allá de la seguridad básica de los monederos.
Las mayores vulnerabilidades pueden encontrarse en los sistemas que rodean esos monederos.
Estas son cinco áreas que merecen una atención seria:
✅ Aprobaciones independientes de transacciones
Los retiros de grandes cantidades deberían requerir varias aprobaciones independientes, en lugar de depender de un único sistema o empleado comprometido.
✅ Seguridad de empleados y desarrolladores
La verificación de antecedentes, la seguridad de los dispositivos, los permisos restringidos y el examen cuidadoso del código externo son esenciales.
✅ Supervisión de transacciones en tiempo real
Los patrones de retiro inusuales, la actividad sospechosa de los monederos y los cambios inesperados en el comportamiento de las transacciones deberían activar alertas inmediatas.
✅ Mecanismos de respuesta de emergencia
Las plataformas de intercambio deberían contar con procedimientos claros para suspender retiros, coordinarse con operadores de cadenas de bloques y solicitar la congelación de activos.
✅ Auditorías de seguridad independientes
Las revisiones de seguridad deberían examinar toda la infraestructura de firma de transacciones, los permisos internos, las cadenas de suministro de software y las integraciones de terceros.
✅ Mi observación final: el verdadero desafío es la rendición de cuentas
Tras examinar estos incidentes, no creo que la mayor preocupación en materia de seguridad del sector de las criptomonedas sea simplemente si otra plataforma de intercambio será hackeada.
Ese riesgo siempre existirá.
La pregunta más importante es si el sector y las fuerzas del orden internacionales pueden colaborar con suficiente rapidez para identificar a los atacantes, desarticular sus redes financieras, recuperar los activos robados y, finalmente, llevar a los responsables ante un tribunal.
La historia que va desde el Bangladesh Bank en 2016 hasta Bybit en 2025 y el presunto incidente de Binance en octubre de 2026 muestra cuánto ha cambiado el panorama de amenazas.
Pero hay una diferencia entre rastrear una transacción, identificar a un grupo de hackers, demostrar la responsabilidad penal de una persona y arrestarla físicamente.
Son cuatro desafíos distintos.
Y quizá esa sea la realidad más inquietante de la ciberdelincuencia moderna: el mundo puede ver cómo se mueven miles de millones de dólares a través de una cadena de bloques transparente y, aun así, tener dificultades para encarcelar a los responsables.
Para los inversores en criptomonedas, esto debería servir de recordatorio de que la transparencia, la descentralización y la tecnología avanzada no garantizan la seguridad automáticamente.
El sector necesita controles internos más sólidos, una mejor cooperación internacional y una rendición de cuentas real. Porque recuperar el dinero robado es importante, pero prevenir el próximo ataque lo es aún más.
#BinanceToResumePhaseOneOfWithdrawals #BinanceHadAlreadyCovered$6BofHackLoss #FBIConfirmsNorthKoreaIsResponsibleForBinanceCryptoHack #BinanceSAFUFundTransferCompleted7499BTC #BinanceRecovery90% of stolen assets
