Amenaza n.º 1: cómo Lazarus Group ataca a las empresas cripto

Los hackers vinculados a Corea del Norte han robado miles de millones de dólares a la industria de las criptomonedas en los últimos años. Pero un nombre aparece en los informes sobre ciberdelincuencia con más frecuencia que la mayoría: Lazarus Group. ¿Cómo convirtió una operación de hacking respaldada por el Estado el mercado cripto en una fuente de ingresos y por qué ha sido tan difícil detenerla?

Lazarus Group suele presentarse como un único grupo de hackers, pero en la práctica forma parte de una operación cibernética norcoreana mucho más amplia. Distintas investigaciones han identificado unidades y grupos asociados con nombres como APT38, BlueNoroff, TraderTraitor y otras denominaciones.

Ver publicación en X Cargando...

El tuit fue eliminado por el autor.

Pero guardamos todo 🙂.

Lo que distingue a Lazarus es su conexión con el Estado. Las autoridades estadounidenses vinculan al grupo con la Oficina General de Reconocimiento de Corea del Norte y creen que los fondos robados ayudan al país a obtener divisas pese a las sanciones internacionales.

Las criptomonedas han demostrado ser un objetivo especialmente atractivo: se pueden robar grandes sumas de forma remota, mover rápidamente entre blockchains y dividir entre miles de direcciones.

De los bancos a los exchanges de criptomonedas

La historia de Lazarus Group comenzó mucho antes de que los activos digitales se generalizaran. El grupo fue vinculado al ataque contra Sony Pictures de 2014, mientras que hackers vinculados a Corea del Norte robaron $81 millones al banco central de Bangladés a través del sistema SWIFT en 2016.

El siguiente punto de inflexión llegó cuando se expandió el mercado de las criptomonedas. A diferencia de los bancos tradicionales, las empresas cripto controlaban grandes cantidades de activos líquidos, operaban las 24 horas y a menudo dependían de un reducido número de empleados, claves privadas o sistemas de firma de transacciones.

Uno de los mayores ataques fue el hackeo de Ronin Bridge en marzo de 2022. Se robaron aproximadamente $620 millones en activos del sistema asociado con Axie Infinity. Posteriormente, el FBI atribuyó oficialmente la operación a Lazarus Group y APT38.

Ver publicación en X Cargando...

El tuit fue eliminado por el autor.

Pero guardamos todo 🙂.

En junio del mismo año, se atacó el Horizon Bridge de Harmony, lo que provocó pérdidas de alrededor de $100 millones. En 2023, Atomic Wallet, Alphapo, CoinsPaid y Stake.com se sumaron a la lista de víctimas, mientras que DMM Bitcoin, de Japón, perdió otros $308 millones en 2024.

Miles de millones robados en solo unos años

El incidente más mediático ocurrió en febrero de 2025, cuando Bybit perdió aproximadamente $1,5 mil millones. El FBI vinculó el robo a la campaña TraderTraitor de Corea del Norte. Por el monto sustraído, se convirtió en el mayor robo individual de criptomonedas de la historia.

Chainalysis estimó que los grupos vinculados a Corea del Norte robaron al menos $2 mil millones en criptomonedas solo en 2025. A finales de ese año, el total acumulado de años anteriores había alcanzado $6,75 mil millones.

Ver publicación en X Cargando...

El tuit fue eliminado por el autor.

Pero guardamos todo 🙂.

Los ataques continuaron en 2026. Los investigadores vincularon importantes robos de Drift Protocol y KelpDAO con actores norcoreanos, mientras que el hackeo de Bitget en septiembre elevó el monto robado durante el año por encima de $1 mil millones.

No todos los ataques perpetrados por grupos norcoreanos se atribuyen oficialmente a Lazarus, y distintos nombres suelen referirse a equipos separados dentro del mismo sistema respaldado por el Estado. Por ello, es más preciso afirmar que los hackers vinculados a Corea del Norte habían robado más de $7 mil millones en criptomonedas para el otoño de 2026, con Lazarus como uno de los componentes centrales de la operación.

Los hackers atacan a las personas, no a las blockchains

Las principales operaciones de Lazarus comienzan cada vez más no con una vulnerabilidad en un smart contract, sino con el acceso a un empleado o a los sistemas internos de una empresa. Falsos reclutadores contactan con desarrolladores a través de LinkedIn, envían «pruebas técnicas», archivos o repositorios maliciosos e intentan obtener credenciales o acceso a los dispositivos de trabajo.

Las autoridades estadounidenses y japonesas describieron precisamente este enfoque tras el hackeo de DMM Bitcoin. Un atacante que se hacía pasar por reclutador contactó con un empleado de Ginco, una empresa asociada al exchange, y utilizó ingeniería social para acceder a un sistema involucrado en el procesamiento de transacciones.

Otro método requiere meses de preparación. Trabajadores informáticos norcoreanos consiguen empleos en empresas cripto legítimas con identidades falsas y obtienen acceso a los sistemas internos como empleados.

Ver publicación en X Cargando...

El tuit fue eliminado por el autor.

Pero guardamos todo 🙂.

Según TRM Labs, aproximadamente el 76% del valor robado en el primer semestre de 2026 fue resultado de compromisos de sistemas internos y procesos operativos. El control de una clave privada, una cuenta o un sistema de firma de transacciones permite a los atacantes mover fondos sin explotar una vulnerabilidad en la propia blockchain.

Etapa dos: mover los fondos robados

Inmediatamente después de un ataque, los activos robados se dividen entre numerosas direcciones, se intercambian mediante plataformas descentralizadas, se transfieren entre blockchains y se canalizan a través de servicios que dificultan el rastreo de las transacciones.

Tras el hackeo de Horizon Bridge, el FBI rastreó el uso de RAILGUN, mientras que Lazarus utilizó Tornado Cash en otras operaciones y anteriormente recurrió a Sinbad. Cuando determinados servicios fueron sancionados o cerraron, las rutas de blanqueo cambiaron.

Después del hackeo de Bybit, los activos robados se convirtieron rápidamente, se distribuyeron entre miles de direcciones y se movieron entre blockchains.

Un caso reciente muestra hasta dónde se extiende esta red más allá de la propia Corea del Norte. ZachXBT afirma que una red criminal china ayudó a blanquear más de $1 mil millones robados por Lazarus en varios ataques. Tras el hackeo de Bybit, el investigador se infiltró en la red haciéndose pasar por cliente y vinculó a operadores individuales con millones de dólares en fondos robados.

Por qué Lazarus sigue siendo una amenaza sistémica

Bloquear una sola wallet o servicio rara vez detiene a Lazarus. Detrás de un grupo de direcciones pueden aparecer nuevos intermediarios, empleados que operan con identidades falsas, redes de blanqueo y un sistema que depende de un flujo constante de fondos.Las autoridades estadounidenses vinculan directamente los ingresos de estas operaciones con programas norcoreanos, incluido el desarrollo de misiles balísticos y armas nucleares. Para un régimen sometido a duras sanciones, la industria de las criptomonedas se ha convertido en una vía para obtener divisas sin acceso al sistema financiero internacional convencional.

Esto también modifica los requisitos de seguridad. Los exchanges y proyectos DeFi ya no pueden depender únicamente de las auditorías de smart contracts. También deben supervisar la contratación, los dispositivos de los empleados, los permisos de acceso, los sistemas de firma de transacciones y los contratistas externos.

Al mismo tiempo, cada gran robo aumenta la presión sobre servicios que también pueden tener usos legítimos. Los mixers, bridges y exchanges descentralizados afrontan sanciones y un mayor escrutinio regulatorio cuando cientos de millones de dólares vinculados a Corea del Norte pasan por ellos.

Durante los últimos años, Lazarus ha pasado de ser uno de muchos grupos de hackers a convertirse en una amenaza sistémica para la industria de las criptomonedas. Su ventaja no reside en una única vulnerabilidad sofisticada, sino en su capacidad para combinar ingeniería social, acceso interno, ataques técnicos y blanqueo de capitales internacional en una operación coordinada.

Por tanto, la magnitud del problema ya no puede medirse únicamente en miles de millones de dólares robados. Mientras las empresas cripto sigan siendo objetivos accesibles para obtener activos digitales líquidos y existan redes para mover y blanquear fondos robados, los ataques de Lazarus seguirán siendo una amenaza persistente para toda la industria, no incidentes aislados.