Los operadores del exchange Bybit hicieron lo que se considera un modelo de seguridad: mantenían los fondos principales en una cartera fría y realizaban transferencias programadas de una parte a una caliente. Vieron con sus propios ojos la dirección del destinatario en la pantalla y confirmaron la transferencia. Y el dinero fue a parar a un lugar completamente distinto. En febrero de 2025, Lazarus se llevó unos $1.5 mil millones — el mayor hackeo de la historia de las criptomonedas — sin romper una sola clave, sino sustituyendo lo que la gente veía en la pantalla. Este caso cambia la propia noción de dónde se encuentra el límite de la seguridad.
▶ Caso en vídeo: Bybit 2025 (voz en español).
Alrededor del 21 de febrero de 2025, se robaron aproximadamente $1.5 mil millones de Bybit. El FBI atribuyó el ataque al grupo Lazarus (conocido también con los nombres TraderTraitor y APT38) — el mismo grupo cibernético norcoreano detrás del hackeo de Ronin. Pero mientras Ronin fue un ataque a un puente, aquí el vector resultó ser fundamentalmente distinto y mucho más insidioso.
El hackeo no fue un "hackeo" en el sentido habitual: los atacantes no descifraron las claves privadas de la cartera fría ni rompieron la criptografía. Atacaron lo que se sitúa entre el ser humano y la blockchain — la interfaz.
Bybit usaba Safe{Wallet} (una cartera multifirma) para gestionar los fondos. Los atacantes inyectaron JavaScript malicioso en la interfaz de usuario de esta cartera — un frontend alojado en el almacenamiento en la nube AWS S3. Se trata de un clásico ataque a la cadena de suministro: lo que se comprometió no fue la cartera en sí ni el exchange directamente, sino el código que dibuja la interfaz para los firmantes.
Lo que sigue es la parte más insidiosa. Cuando los operadores de Bybit realizaron una transferencia programada de la cartera fría a la caliente, el script malicioso sustituyó los datos de la transacción. En la pantalla, los firmantes veían una operación legítima y esperada — y la confirmaron obedientemente. Pero lo que en realidad se estaba firmando era una transacción completamente distinta, que enviaba los fondos a las direcciones de los atacantes. La gente firmó, con sus claves reales, algo distinto de lo que creía.
Las claves no fueron robadas. Lo que se sustituyó fue la realidad que esas claves estaban firmando.
— la esencia del ataque a Bybit (paráfrasis para explicar el mecanismo)
Mientras que en el caso de Bitfinex los ladrones tuvieron miedo de tocar el botín durante seis años, Lazarus en 2025 actuó exactamente al revés — a la máxima velocidad. El grupo lo entendió: en cuanto la industria reconociera los fondos robados y empezara a bloquear direcciones, la ventana de lavado se cerraría. Así que el dinero se puso en movimiento casi al instante.
La respuesta a la velocidad de Lazarus fue la velocidad de la industria. El FBI publicó sin demora una lista de 51 direcciones de Ethereum vinculadas al robo, para que los exchanges, los detectores de mezcladores y los servicios AML pudieran añadirlas de inmediato a sus listas negras y congelar cualquier fondo entrante. Este es el modelo moderno de defensa: no solo el Estado, sino todo el ecosistema actúa como una red de bloqueo distribuida. Cuanto antes se conozcan las direcciones, menos salidas "limpias" le quedan al lavador.
Para nosotros, los especialistas en screening, esto ilustra el sentido de las sanciones dinámicas y de las listas de "hackers". Tales listas se actualizan literalmente pisando los talones de los acontecimientos, y un sistema AML está obligado a incorporarlas sin demora — de lo contrario dejará pasar dinero que el resto del mercado ya ha reconocido como robado.
Comparando dos casos del mismo grupo, vemos cómo evoluciona el adversario.
En los últimos tres casos no dejó de aparecer una herramienta de lavado — el mezclador Tornado Cash. En el siguiente y último caso real de la sección lo analizaremos por separado: cómo y por qué las sanciones de EE. UU. se impusieron, por primera vez, no sobre una persona o una empresa, sino sobre líneas de código de programa.
Los hechos se presentan a partir de fuentes abiertas. Los materiales tienen fines educativos.