Un acontecimiento que conmocionó al sector
En la madrugada del 30 de octubre de 2026, los monederos calientes de Binance situados en nueve cadenas fueron atacados simultáneamente y se transfirieron activos por valor de más de 6.260 millones de dólares.
Al día siguiente, el Buró Federal de Investigaciones de Estados Unidos (FBI) acusó formalmente a un grupo de hackers norcoreanos de participar en el robo. Las autoridades estadounidenses indicaron que, si se confirma que Corea del Norte fue responsable, Washington entablará nuevas conversaciones.
Desde que robaron 7 millones de dólares al atacar la plataforma surcoreana Bithumb en 2017, hasta la desaparición de decenas de miles de millones de Binance de la noche a la mañana, Corea del Norte, un país con una red extremadamente aislada, se ha convertido en menos de diez años en el principal depredador del mundo cripto.
I. Un PDF y una brecha de 600 millones de dólares
La lógica de ataque que mejor dominan los hackers norcoreanos es: encontrar a una persona $\rightarrow$ engañarla $\rightarrow$ usarla para abrir una puerta.
•
Caso Ronin Bridge (marzo de 2022, 620 millones de dólares):
Los atacantes enviaron por LinkedIn a un ingeniero sénior de Sky Mavis una oferta de empleo falsa en formato PDF. En cuanto el ingeniero abrió el archivo, un programa espía se infiltró en el sistema y ayudó a los hackers a robar cuatro claves de validadores. A esto se sumó una autorización temporal antigua que no se había revocado, lo que acabó provocando el robo de 620 millones de dólares.
•
Caso Bybit (febrero de 2025, 1.500 millones de dólares):
Los atacantes no fueron directamente contra Bybit, sino que se infiltraron en la infraestructura de Safe{Wallet}, el proveedor de servicios de monederos multifirma de la plataforma. Insertaron código malicioso en el proceso de firma y comprometieron por completo la cadena de suministro de un proveedor.
•
Caso Binance (octubre de 2026, 6.260 millones de dólares):
Los hackers vulneraron el portátil de un ingeniero de operaciones y, aprovechando los sistemas internos y el protocolo EIP-7702, hicieron que un monedero caliente firmara una autorización de delegación maliciosa. Al final, sustrajeron todos los fondos.
II. «Colarse en casa»: tu compañero de trabajo podría ser un espía norcoreano
Además de los ataques externos, Corea del Norte también infiltra discretamente a numerosas empresas de criptomonedas mediante el envío de grandes cantidades de trabajadores de TI.
•
Alcance de la infiltración: según estimaciones de la ONU, los trabajadores norcoreanos de TI generan para el régimen hasta 600 millones de dólares al año. Según CrowdStrike, en solo 12 meses se infiltraron en más de 320 empresas.
•
Métodos de infiltración: usan pasaportes y visados falsos, así como IA generativa para superar entrevistas por videollamada. Se centran en startups que ofrecen trabajo remoto y pagan en criptomonedas.
•
Casos típicos:
•
En marzo de 2024, un desarrollador interno (que en realidad era un espía norcoreano) sustrajo 62 millones de dólares del juego NFT Munchables, basado en la cadena Blast; sin embargo, tras la presión de la comunidad, devolvió inesperadamente la totalidad del dinero.
•
El fundador de Truflation descubrió que cinco miembros del equipo eran trabajadores norcoreanos (un tercio del total). Poco después, se filtró una clave privada y la empresa perdió 5 millones de dólares.
III. Barrera en las entrevistas: el «Kim Jong-un» que no puede hablar
La comunidad de seguridad descubrió un método sencillo, aunque ingenioso, para identificar a candidatos norcoreanos: pedirles que hagan un breve comentario negativo sobre Kim Jong-un, máximo líder de Corea del Norte.
Durante una operación encubierta real, un hacker norcoreano que se hacía pasar por candidato demostró gran habilidad técnica, pero se quedó en silencio de inmediato y abandonó la videollamada cuando el entrevistador le pidió que opinara sobre Kim Jong-un. En Corea del Norte, criticar públicamente al máximo líder puede acarrear que tres generaciones de una misma familia sean encarceladas. Esto constituye un «detector de mentiras» imposible de superar.
IV. Guerra secreta: nueve años para formar hackers estatales
El programa de ciberguerra de Corea del Norte se remonta a la «guerra secreta» de la década de 1980.
1.
Selección brutal: cada año solo se admite a 100 de los 5.000 solicitantes de la Universidad Tecnológica de Kim Chaek. El criterio principal es un origen político (antecedentes de clase) extremadamente estricto.
2.
Entrenamiento infernal: los alumnos reciben a diario un entrenamiento intensivo en programación e ingeniería inversa de sistemas operativos. Está estrictamente prohibido depender de herramientas ya existentes; deben escribir el malware por su cuenta.
3.
Grandes recompensas: tras graduarse, son enviados al extranjero para infiltrarse. Su sueldo mensual puede alcanzar los 2.000 dólares (el doble del de un embajador destinado en el extranjero común) y se les asignan amplios apartamentos en Pionyang, además del derecho a establecerse allí.
V. Las cinco ramas del imperio fantasma
El grupo Lazarus, identificado por el Departamento del Tesoro de Estados Unidos, es en realidad una extensa red formada por varios equipos operativos estatales:
•
TraderTraitor (cazadores de grandes sumas): se especializa en atacar plataformas de intercambio, custodios y sistemas de monederos (como Ronin, WazirX y Bybit).
•
AppleJeus (asesinos de la cadena de suministro): desarrolla software troyanizado y aprovecha vulnerabilidades de día cero en navegadores (como en el caso de Radiant Capital).
•
BlueNoroff (cazadores financieros): en sus inicios atacaba bancos tradicionales y el sistema SWIFT; ahora se ha volcado por completo a las criptomonedas y al sector del capital de riesgo.
•
Famous Chollima (infiltrados): falsifican su identidad para conseguir empleo en importantes empresas tecnológicas y de criptomonedas.
•
DangerousPassword (red de arrastre): envía correos de phishing en masa y falsifica programas de mensajería.
Conclusión
Tras el incidente de Binance, Elon Musk comentó en la plataforma X: «Todos los días son días cero».
Con la profunda integración de la inteligencia artificial, la eficiencia de los hackers para redactar correos de phishing, falsificar currículums y generar código malicioso se ha multiplicado. Los atacantes solo necesitan tener éxito una vez, mientras que los defensores deben evitar cualquier fallo.
Detrás de un país cuyo PIB per cápita no alcanza los 2.000 dólares se esconde una maquinaria bélica estatal que lleva cuatro décadas en funcionamiento. Toda la industria de las criptomonedas debe afrontar esta cruda realidad: su adversario es un Estado nuclear con todo el poder de la ciberguerra a su disposición.