El grupo de ciberdelincuentes norcoreano Lazarus ha perpetrado el mayor robo cibernético de la historia tras sustraer criptomonedas por valor de 6.300 millones de dólares desde Binance, la mayor plataforma de intercambio de divisas digitales del mundo. La compañía denunció el ataque este jueves, y las sospechas apuntan de inmediato al colectivo patrocinado extraoficialmente por Corea del Norte, que de esta forma supera su propio récord anterior, cuando en abril del año pasado sustrajo 1.500 millones de dólares a la plataforma Bybit.
El modus operandi del grupo ha sido recurrente en los últimos años: comprometer el equipo de un empleado clave para infiltrarse en los sistemas y operar con relativa libertad. En esta ocasión, las investigaciones preliminares indican que los atacantes habrían vulnerado el ordenador portátil de un ingeniero de Binance y, a partir de ahí, utilizado sus credenciales para acceder a los sistemas internos de la plataforma y retirar fondos sin que las alarmas se activaran de inmediato. La propia compañía confirmó estos primeros indicios, aunque los análisis forenses completos podrían tardar semanas o meses en arrojar conclusiones definitivas.
El sello de Lazarus: sofisticación y precisión quirúrgica
El ataque a Binance reproduce el patrón que Lazarus ya exhibió en el robo a Bybit, donde lograron interceptar los movimientos de divisas del CEO de la plataforma tras infectar el ordenador de un desarrollador de una empresa proveedora de billeteras digitales. En aquella ocasión, instalaron un código malicioso que permaneció oculto hasta que se produjeron las transacciones, momento en que desviaron los fondos a billeteras controladas por el grupo y borraron todo rastro en menos de dos minutos. Hervé Lambert, director de operaciones globales de Panda Security, calificó entonces el método como “un malware de precisión quirúrgica” ejecutado con un nivel de sofisticación extremadamente alto.
“Esto es, sin duda, obra de Corea del Norte”, ha señalado Nick Carlsen, analista de TRM Labs, al diario The Wall Street Journal. Las autoridades de Pyongyang han negado en anteriores ocasiones cualquier vínculo con los ataques a plataformas de criptomonedas, y la propia naturaleza del ciberespacio dificulta la atribución directa. Los equipos de hackers operan de forma extraoficial, sin uniformes ni presencia física necesariamente en suelo norcoreano, lo que añade capas de complejidad a cualquier investigación internacional.
El historial de Lazarus en el robo de criptoactivos es extenso. Antes del golpe a Bybit, en 2022 sustrajeron 625 millones de dólares en ethers de una web vinculada al videojuego Axie Infinity. Solo en 2024, el grupo robó criptomonedas por 1.340 millones de dólares en 47 incidentes, según un informe de Chainalysis, mientras que en 2023 la cifra alcanzó los 660 millones en 20 acciones distintas. La magnitud del robo a Binance equivale a una fracción significativa del producto interno bruto de Corea del Norte, estimado en unos 17.000 millones de dólares por el servicio de estadística de la ONU.
Un régimen asfixiado que apuesta por el cibercrimen
La sofisticación de los hackers norcoreanos se explica, en parte, por la necesidad del régimen de Kim Jong-un de obtener divisas frente a las sanciones internacionales que asfixian su economía. Desde que asumió el poder en 2009, el líder norcoreano identificó el potencial de la esfera digital tanto para espiar y sabotear a sus adversarios como para financiar al Estado. La australiana Anna Fifield, autora del libro El gran sucesor, describe cómo el régimen selecciona a estudiantes con aptitudes para la informática, algunos desde los 11 años, y los forma en escuelas especiales y en la Universidad de Automatización de Pyongyang, donde durante cinco años se les enseña a hackear sistemas y crear virus.
Lazarus es una rareza entre las amenazas persistentes avanzadas (APT), grupos organizados de hackers con capacidades superiores, patrocinados extraoficialmente por gobiernos. Estos equipos cuentan con estructuras jerárquicas, departamentos especializados y recursos económicos que les permiten ejecutar ataques complejos y coordinados. En teoría, solo los servicios secretos de potencias como Estados Unidos, Rusia o Reino Unido superan su poder. El grupo norcoreano ha incorporado tecnología de punta, incluyendo encriptación poscuántica, inteligencia artificial y deepfakes, para perfeccionar sus operaciones.
Además del robo de criptomonedas, Lazarus ha protagonizado acciones de sabotaje de gran escala. Se le atribuye el lanzamiento en 2017 de WannaCry 2.0, el mayor ransomware de la historia, que afectó a unos 300.000 ordenadores en 150 países y paralizó el sistema de salud del Reino Unido. Durante la pandemia de covid-19, los hackers norcoreanos intentaron infiltrarse en los sistemas de farmacéuticas como AstraZeneca y Pfizer, que desarrollaban vacunas contra el virus, en lo que pudo haber sido un intento de torpedear el proceso o de robar secretos industriales.
El robo a Binance, que según Axios podría haberse visto parcialmente frustrado al impedirse la conversión de unos 3.000 millones de dólares a moneda de curso legal, representa un nuevo golpe para la seguridad del ecosistema de criptoactivos y refuerza la preocupación internacional por las capacidades cibernéticas de Corea del Norte. Las autoridades financieras y de ciberseguridad de diversos países deberán extremar las medidas de protección ante un adversario que, como demuestra este episodio, sigue innovando y superando sus propios límites.
