Los hackers norcoreanos robaron aproximadamente 7.610 millones de dólares en criptomonedas en 38 incidentes entre enero y octubre de 2026, según la firma de inteligencia blockchain BitOK. En los seis ataques principales, secuestraron a las personas y los sistemas que autorizan los retiros, en lugar de explotar vulnerabilidades en el código.
Las congelaciones y confiscaciones permitieron recuperar 2.860 millones de dólares, y dejaron 4.750 millones fuera de alcance. Binance por sí sola representa 6.410 millones del total, mientras que 32 robos menores contra personas y empresas suman 178,4 millones de dólares.
Por qué las auditorías de código no detuvieron a los hackers norcoreanos
Según el informe de BitOK, todos los retiros de los seis mayores ataques llevaban firmas válidas o superaban las comprobaciones estándar. En Binance, el punto de entrada fue el portátil de un ingeniero de DevOps y un contenedor del servicio de firma.
Esto coincide con hallazgos anteriores sobre cómo ocurrió el hackeo en octubre. En otros casos, los atacantes comprometieron a los firmantes de multifirma de Drift, una plataforma de trading basada en Solana; a un único verificador de puente de KelpDAO; y el sistema de billeteras de Bitget.
Antes de cada robo, los operadores probaron la ruta exacta con cantidades pequeñas. Por ejemplo, el contrato del ataque a Binance se ejecutó públicamente cuatro horas antes del robo.
El horario parece el de una jornada laboral. En una muestra de 540 transacciones, el 48 % de la actividad tuvo lugar entre las 4 p. m. y las 9 p. m., hora de Pionyang.
Los operadores incluso se tomaron libres los festivos oficiales de Corea del Norte: no se registró actividad en esos días. El sábado, el domingo y el lunes, en conjunto, representaron apenas el 10 % de las transacciones.
Sin embargo, una vez iniciado un ataque, la rutina cambiaba. Los scripts tomaban el control y los movimientos de fondos se realizaban sin pausa, las 24 horas.
Minutos para intercambiar, días para desaparecer
La velocidad determina qué aún puede congelarse. En cuestión de minutos, los hackers norcoreanos intercambiaban las stablecoins por ETH o pedían ETH prestado usando como garantía los activos robados, porque ningún emisor puede congelar ETH.
Tras el exploit del puente de rsETH en abril, los primeros 52,440 ETH salieron de los protocolos de préstamos en poco más de ocho minutos. Luego, los fondos permanecieron inactivos entre 2,5 y 5 días, antes de que los scripts los transfirieran a través de THORChain, un protocolo de intercambio entre cadenas.
El blanqueo resultó ser barato. En 2.257 intercambios vinculados a Binance, por un valor de 55,8 millones de dólares, los costos totales fueron de apenas el 0,50 %.
Por lo tanto, las congelaciones solo funcionaron allí donde las stablecoins aún no se habían movido. En Binance, se congeló o incautó el 43 % de los fondos robados, frente al 6 % del total combinado de los demás ataques importantes.
Incluso en ese caso, el momento jugó en contra. Tether recibió la primera solicitud de congelación 34 minutos después del retiro de Binance. Para entonces, ya habían salido 345 millones de USDT de la dirección original.
El rastro más claro surgió de un error al limpiar los fondos. Tras enviar 5.047 ETH a través de Umbra, una herramienta de privacidad con direcciones ocultas, y del puente Stargate, el operador transfirió el saldo residual a una sola billetera.
El 31 de agosto, 150 direcciones vaciaron sus fondos en esa billetera receptora en 3 minutos y 36 segundos. La transferencia vinculó los robos de AFX y del 28 de agosto, y en septiembre aparecieron direcciones de Bitget. En total, la billetera recibió apenas 0,27 ETH.
Las direcciones de liquidación compartidas vinculan ahora cinco ataques de hackers norcoreanos, desde KelpDAO en abril hasta Binance en octubre. BitOK afirma que esto apunta a un único operador de blanqueo, aunque los hackeos podrían haber sido realizados por equipos diferentes.
«Los pequeños saldos residuales se convirtieron en el rastro más claro que dejó el operador en todo el año», afirmó BitOK
Las claves de firma son la nueva superficie de ataque
Chainalysis ya había vinculado el robo de Bitget con Corea del Norte en octubre. Los datos de BitOK muestran ahora cómo los hackers norcoreanos repiten el mismo método en exchanges y protocolos DeFi.
El punto débil ha pasado de los contratos inteligentes a los empleados, los dispositivos y los servicios de firma. Las congelaciones de los emisores solo ayudan durante los primeros minutos, y desde entonces Binance ha cubierto la mayoría de las pérdidas de sus usuarios con sus propias reservas.