Corea del Norte es responsable de aproximadamente dos tercios de todos los robos de criptomonedas ocurridos en 2026, de acuerdo con múltiples reportes de agencias internacionales y empresas de ciberseguridad. Este fenómeno, marcado por el atraco de 1.500 millones de dólares a la plataforma Bybit y otros ataques coordinados, pone en evidencia el nivel de sofisticación alcanzado por las operaciones cibernéticas norcoreanas y la urgencia de fortalecer la defensa en el sector cripto.
La magnitud y recurrencia de estos ataques han convertido a Corea del Norte en el ciberladrón más prolífico del ecosistema cripto, con consecuencias directas sobre la seguridad de usuarios, plataformas y la reputación del sector. La utilización sistemática de vulnerabilidades en la cadena de suministro de software y la concentración de esfuerzos en plataformas de gran volumen muestran la evolución de este riesgo, elevando el estándar de exigencia en protección y vigilancia digital para toda la industria.
El mayor robo de la historia cripto: Bybit y el Grupo Lazarus
El 21 de febrero de 2026, la plataforma Bybit, uno de los mayores exchanges de criptomonedas del mundo con sede en Dubái, sufrió el mayor robo registrado hasta ahora en el sector, equivalente a 1.500 millones de dólares en activos digitales. El FBI y empresas como Check Point y DW confirmaron que el ataque fue perpetrado por el Grupo Lazarus, una célula cibercriminal ligada a la inteligencia norcoreana. Los atacantes lograron burlar los protocolos de seguridad durante una transacción de 400.000 unidades de ethereum, transfiriendo los fondos a miles de direcciones desconocidas en un sofisticado operativo de dispersión y lavado de activos.
Este golpe no es un hecho aislado. El Grupo Lazarus ya había operado el robo de 620 millones de dólares en la Ronin Network en 2022, además de otros atracos significativos a casas de cambio japonesas y estadounidenses, creando un patrón claro de ataques persistentes, dirigidos principalmente a plataformas con altos volúmenes de depósitos y sistemas de seguridad complejos, pero no infalibles.
El método: vulnerabilidades en la cadena de suministro y software crítico
Las recientes investigaciones de seguridad revelan que estos robos rara vez se deben a un único fallo. Más bien, resultan de la explotación combinada de vulnerabilidades en software de código abierto ampliamente adoptado, errores humanos y deficiencias en la gestión de claves o credenciales. En el caso de Bybit y otros incidentes de 2026, los atacantes norcoreanos comprometieron paquetes de software utilizados por miles de empresas, como Axios y Safe, mediante la manipulación de actualizaciones o funciones críticas como execTransaction. Esta técnica, conocida como ataque a la cadena de suministro, tiene un elevado potencial de daño, ya que cualquier empresa o usuario que adopte estos componentes puede quedar vulnerado sin advertirlo.
- Compromiso de cuentas de desarrolladores de software y distribución de actualizaciones maliciosas a cientos de organizaciones.
- Obtención de credenciales de acceso privilegiado para manipular fondos en exchanges y monederos digitales.
- Conversión acelerada de activos robados en bitcoin y otras divisas, dispersando los fondos a través de miles de transacciones para dificultar el rastreo.
Según la firma Mandiant, el impacto de cada ataque puede demorar meses en evaluarse completamente, ya que muchas víctimas sólo se percatan cuando hay pérdidas significativas o alertas externas.
Impacto geopolítico y financiamiento ilícito
La dimensión global de estos atracos involucra a gobiernos, organismos internacionales y la comunidad cripto en su conjunto. Un panel de la ONU y múltiples agencias occidentales han registrado que Corea del Norte ha robado al menos 3.000 millones de dólares en criptomonedas desde 2017 –la mayor parte en los últimos dos años– usando estos fondos para financiar programas nucleares y de misiles, como método alternativo frente a las sanciones internacionales. Un funcionario estadounidense estimó en 2023 que cerca de la mitad de los programas de misiles del régimen se financian con activos digitales sustraídos ilícitamente.
El Buró 121, unidad de guerra cibernética norcoreana, cuenta con al menos 6.000 agentes operando desde diferentes países, lo que refuerza la dificultad de rastrear y neutralizar estas operaciones. Además, el régimen no da señales de moderar su actividad, incluso cuando es señalado públicamente por organismos como el FBI y el Departamento del Tesoro de Estados Unidos.
| Año | Plataforma | Monto robado (USD) | Responsable atribuido |
| 2022 | Ronin Network | 620 millones | Grupo Lazarus |
| 2023 | DMM Bitcoin (Japón) | +300 millones | Grupo Lazarus |
| 2025 | Bybit | 1.500 millones | Grupo Lazarus / TraderTraitor |
Las cifras revelan una tendencia ascendente en el volumen y sofisticación de los ataques, afectando no solo a exchanges sino también a usuarios individuales y empresas de todo el mundo.
Implicancias para la ciberseguridad y el futuro cripto
El caso de los ataques norcoreanos obliga a la industria a recapitular sus estrategias de defensa. Las empresas tecnológicas, exchanges y usuarios ya no pueden asumir que el uso de claves firmadas por múltiples partes o el almacenamiento en monederos de hardware garantizan la invulnerabilidad. Cada eslabón, desde el desarrollo de software hasta las transacciones cotidianas, requiere controles multilaterales, auditorías frecuentes y capacitación constante en gestión de riesgos.
La adopción de estándares abiertos y revisados por la comunidad, el monitoreo continuado de la actividad sospechosa y la coordinación internacional para sancionar a los responsables son aspectos clave que se destacan como respuesta al desafío planteado por Corea del Norte. Alcanzar mayores niveles de seguridad operacional es ya una demanda existencial: la confianza de usuarios e inversores depende de la capacidad real de defender los activos digitales en un contexto de amenazas persistentes y sofisticadas.
Para los usuarios, verificar la solvencia y experiencia en seguridad de las plataformas donde depositan fondos se vuelve fundamental. Los desarrolladores, por su parte, deben priorizar la revisión de dependencias de software y la actualización constante de sus herramientas criptográficas. A nivel institucional, el seguimiento coordinado de las cadenas de transacciones y la persecución global del lavado de activos digitales son desafíos en evolución, con lecciones que probablemente orientarán el desarrollo del ecosistema en los próximos años.
Para información detallada sobre algunos de los ataques, pueden consultarse los reportes de CNN, DW y Xataka.