La mayoría de los robos de criptomonedas los cometen actores solitarios y pequeños equipos en busca de un golpe rápido. Pero hay un jugador de otra escala — el grupo de hackers patrocinado por el Estado de Corea del Norte. Para él, irrumpir en exchanges y puentes no es una aventura, sino una partida del presupuesto: los miles de millones robados van a parar a los programas del régimen. Entender cómo opera Lazarus es entender de dónde procede la cripto más «tóxica» del sector.
Lazarus Group es un grupo de hackers patrocinado por el Estado de Corea del Norte, y eso lo cambia todo. Un ladrón corriente teme ser atrapado, dispone de recursos limitados y actúa de forma caótica. Un grupo patrocinado por el Estado funciona de otra manera: tiene personal, tiempo, paciencia y cobertura política. No intenta esconderse de su propio país — al contrario, actúa en interés de ese país. Según los investigadores y los organismos de sanciones, los fondos robados van a parar a los programas del régimen, lo que saca estos robos del ámbito de la delincuencia y los sitúa en el de la seguridad nacional.
Precisamente por eso a Lazarus se le llama, con razón, el principal «proveedor» de cripto robada del sector. Cuando en una verificación te topas con una dirección etiquetada como vinculada a este grupo, no estás tratando simplemente con dinero sucio, sino con fondos bajo sanciones y bajo escrutinio geopolítico. Equivocarse aquí sale especialmente caro.
Al grupo se le atribuyen miles de millones de dólares robados de plataformas e infraestructuras cripto. Repasemos los casos confirmados de nuestro expediente.
Fíjate en el patrón en la elección de los objetivos. Ronin y Harmony son puentes y sidechains, los nodos por los que los activos se mueven entre blockchains. Bybit es un gran exchange. Atomic Wallet es una cartera. Todos ellos son puntos donde se concentran los fondos de otros: donde converge el dinero de muchos usuarios, el botín de una sola brecha alcanza su máximo. El grupo no caza carteras al azar, sino «depósitos» de infraestructura.
Técnicamente los ataques difieren, pero ambos son instructivos. En el caso de Ronin Bridge el objetivo era el propio puente — el mecanismo que retiene los activos en garantía para el paso entre redes. Al hacerse con el control del nodo, los atacantes retiraron 173,600 ETH y 25.5M USDC. OFAC no solo atribuyó el robo a Lazarus, sino que además añadió la dirección ETH 0x098B716B8Aaf21512996dC57EB0615e2383E2f96 — que contenía el ETH robado (alrededor de $400M en aquel momento) — a la lista de sanciones. Es un precedente raro e importante: una dirección concreta de la blockchain se convierte en objeto sancionado.
El caso Bybit es un ataque de cadena de suministro de manual. El mecanismo no apuntaba a la criptografía de la blockchain, sino al front end: se inyectó JavaScript malicioso en la interfaz de Safe{Wallet} alojada en AWS S3. Cuando se estaba produciendo una transferencia programada de una cartera fría a una cartera caliente, la interfaz manipulada mostraba a los operadores la transacción «correcta» mientras que en realidad intercambiaba sus datos y desviaba los fondos. Los fondos robados se convirtieron después rápidamente en BTC y otros activos y se dispersaron por miles de direcciones; unos $160M se blanquearon en las primeras 48 horas, y el FBI publicó 51 direcciones ETH relacionadas con el ataque.
"Not your keys, not your coins."
— Andreas Antonopoulos, sobre el control de las claves y una transacción verificable como última línea de defensa
El caso Bybit añade un matiz importante a esta máxima: incluso cuando posees las claves, puedes perder monedas si se te muestra una transacción intercambiada para firmar. Un ataque al front end esquiva la idea misma de «lo revisé y lo firmé» — el operador firmó lo que veía, pero lo que veía no era lo que estaba ocurriendo. De ahí la regla del sector: una transacción debe verificarse en un dispositivo independiente, sin confiarla a una única interfaz.
Para el especialista AML la técnica de la brecha es secundaria — lo que importa más es qué le ocurre al dinero después. Y aquí Lazarus tiene una firma reconocible: mezcladores, cross-chain (puentes, swaps) y OTC. En el caso de Ronin, por ejemplo, parte de los fondos pasó por el mezclador Tornado Cash, luego por el puente Ren — y de ahí a bitcoin. Fue a través de Tornado Cash como el grupo blanqueó los fondos de Ronin, y esto se convirtió en uno de los fundamentos para las sanciones sin precedentes contra el propio smart contract del mezclador en 2022.
El proceso de blanqueo estándar de Lazarus
Brecha de un puente / exchange → Fragmentación en miles de direcciones → Mezclador (Tornado Cash) → Cross-chain: puente Ren → BTC → OTC / retirada a dinero fiat
Desglosemos cada etapa en términos de por qué la necesita el atacante y qué deja tras de sí para el analista:
Fíjate por separado en la velocidad. En el caso de Bybit una parte significativa se metió en el proceso de blanqueo dentro de los dos primeros días, literalmente. Un grupo patrocinado por el Estado no se demora: cuenta con retirar el máximo antes de que el sector se coordine y congele las direcciones. Esto plantea una contra-tarea a la defensa — reaccionar con la misma rapidez, lo que dio origen a la práctica de publicar listas de direcciones relacionadas (51 direcciones para Bybit, la dirección sancionada para Ronin) para su bloqueo inmediato en todo el sector.
Los hechos se presentan a partir de fuentes abiertas. Este material tiene fines educativos.