El mayor robo de criptomonedas de la historia: ¿qué ocurrió en Bybit?
El 21 de febrero de 2025, el mundo presenció el mayor robo de criptomonedas jamás registrado. Casi 1.500 millones de dólares en activos digitales desaparecieron de Bybit, una plataforma de intercambio de criptomonedas con sede en Dubái, en una sola y devastadora brecha de seguridad. La magnitud y sofisticación del ataque conmocionaron al sistema financiero mundial y dejaron al descubierto no solo las vulnerabilidades de los mercados de criptomonedas de Asia, en rápido crecimiento, sino también el alcance alarmante de los operadores informáticos de Corea del Norte patrocinados por el Estado.
Contenido
- El mayor robo de criptomonedas de la historia: ¿qué ocurrió en Bybit?
- ¿Cómo se desarrolló el ataque?
- Consecuencias inmediatas y respuesta del sector
- ¿Quién estuvo detrás del ataque? El Grupo Lazarus de Corea del Norte y TraderTraitor
- Las tácticas del Grupo Lazarus
- ¿Cómo blanqueó Corea del Norte las criptomonedas robadas?
- Finanzas descentralizadas: un arma de doble filo
- ¿Por qué Corea del Norte ataca las criptomonedas y cuáles son las consecuencias mundiales?
- El factor humano: ingeniería social y vulnerabilidades en la nube
- El ecosistema de criptomonedas de Asia: ¿un eslabón débil?
- Respuesta del sector y de los reguladores
- El ejército cibernético de Corea del Norte: una amenaza creciente
- Ataques anteriores de gran repercusión
- Los desafíos para las autoridades y el camino a seguir
- Lecciones regulatorias y de seguridad
- En resumen
Bybit, una de las mayores plataformas de intercambio de criptomonedas del mundo, con más de 60 millones de usuarios, se encontró en el epicentro de una nueva era de ciberdelincuencia. Según la empresa de análisis de cadenas de bloques Chainalysis, el ataque representó casi el 70% de todos los activos digitales robados en el mundo durante el primer semestre de 2025. El incidente puso de relieve las crecientes fisuras del ecosistema digital y señaló una peligrosa escalada de las tácticas y ambiciones de los piratas informáticos norcoreanos.
¿Cómo se desarrolló el ataque?
La brecha comenzó con una transacción aparentemente rutinaria. Ben Zhou, director ejecutivo de Bybit, aprobó lo que parecía ser una transferencia estándar de ether (ETH), una criptomoneda popular, entre cuentas de la empresa. Sin que él lo supiera, los piratas informáticos ya habían vulnerado la interfaz de software que Bybit utilizaba para gestionar estas transacciones. En cuestión de minutos, los atacantes tomaron el control de una billetera que contenía 401.000 ETH —por valor de 1.500 millones de dólares en ese momento— y transfirieron los fondos a direcciones bajo su control.
Las investigaciones revelaron que los piratas informáticos aprovecharon una vulnerabilidad de un producto de software gratuito llamado Safe, que Bybit utilizaba para almacenar y gestionar activos digitales. Al manipular la interfaz de usuario de Safe e introducir código malicioso, los atacantes engañaron a Bybit para que autorizara la transacción fraudulenta. La brecha no fue solo un fallo técnico, sino también un recordatorio contundente de los riesgos que plantean las dependencias de software de terceros en el sector de las finanzas digitales.
Consecuencias inmediatas y respuesta del sector
El impacto fue inmediato y grave. Los mercados de criptomonedas se desplomaron y el bitcóin cayó un 20% respecto de sus máximos de enero. La confianza en el sector se tambaleó, sobre todo porque el ataque se produjo cuando responsables políticos de Estados Unidos y otros lugares debatían nuevas regulaciones para fomentar la adopción generalizada de los activos digitales.
Bybit respondió asegurando a sus clientes que sus fondos estarían cubiertos y puso en marcha un programa de recompensas por recuperación, que ofrecía hasta el 10% de los activos recuperados a quienes ayudaran a rastrear y congelar las criptomonedas robadas. En pocas semanas, se identificaron y congelaron más de 40 millones de dólares en fondos robados, y se pagaron más de 4 millones de dólares en recompensas a quienes colaboraron. Sin embargo, los expertos advirtieron que la mayoría de los activos robados ya se había «esfumado»: se habían blanqueado mediante canales sofisticados y probablemente no podrían recuperarse.
¿Quién estuvo detrás del ataque? El Grupo Lazarus de Corea del Norte y TraderTraitor
Aunque Corea del Norte rara vez se atribuye la responsabilidad de ciberataques, las pruebas en el caso de Bybit eran contundentes. El FBI, junto con empresas internacionales de ciberseguridad, atribuyó el ataque al notorio Grupo Lazarus de Corea del Norte y a su subgrupo conocido como TraderTraitor. Estos piratas informáticos patrocinados por el Estado se han hecho tristemente célebres por sus audaces robos, cuyos ingresos utilizan para financiar los programas nucleares y de misiles del régimen.
Según el FBI, la campaña «TraderTraitor» combina ingeniería social, ataques a la cadena de suministro y explotación de vulnerabilidades técnicas. El grupo es conocido por atacar a organizaciones de cadenas de bloques y criptomonedas, a menudo mediante falsas ofertas de empleo y programas maliciosos de código abierto para infiltrarse en sus objetivos. Una vez dentro, despliega programas maliciosos para robar credenciales y claves de billeteras de criptomonedas y, en última instancia, desviar grandes cantidades de activos digitales a direcciones controladas por Corea del Norte.
Las tácticas del Grupo Lazarus
Las tácticas del Grupo Lazarus han evolucionado rápidamente. En los últimos años, ha:
- Utilizado campañas de suplantación de identidad en plataformas como LinkedIn, Slack y Telegram para convencer a empleados de que descarguen programas maliciosos.
- Vulnerado los equipos de desarrolladores e inyectado código malicioso en las cadenas de suministro de software.
- Aprovechado vulnerabilidades en servicios en la nube y programas de almacenamiento, como en el ataque a Bybit.
- Recurrido a herramientas de finanzas descentralizadas (DeFi), puentes entre cadenas y mezcladores de criptomonedas para blanquear fondos robados y ocultar su origen.
El Dr. Tom Robinson, cofundador de la empresa de análisis de cadenas de bloques Elliptic, explicó la eficacia del grupo:
«Corea del Norte es la mejor en blanquear criptomonedas; probablemente utiliza herramientas automatizadas y trabaja por turnos para convertirlas en efectivo».Las operaciones del grupo combinan la sofisticación de un Estado con la agilidad de los ciberdelincuentes, lo que lo convierte en una amenaza formidable para el sistema financiero mundial.
¿Cómo blanqueó Corea del Norte las criptomonedas robadas?
Uno de los aspectos más alarmantes del robo a Bybit fue la rapidez y eficiencia con que se blanquearon los activos robados. En 48 horas, se habían canalizado al menos 160 millones de dólares a través de canales ilícitos y, al final de la primera semana, se habían movido más de 400 millones. A principios de marzo, concluyó la fase inicial del blanqueo: la gran mayoría del ether robado se había convertido en bitcóin y distribuido entre miles de billeteras.
Finanzas descentralizadas: un arma de doble filo
Los piratas informáticos recurrieron ampliamente a protocolos de finanzas descentralizadas (DeFi), en particular a puentes entre cadenas como THORchain, para intercambiar activos y ocultar su rastro. Estas herramientas, diseñadas para permitir transferencias fluidas entre distintas criptomonedas sin intermediarios, también dificultan que las autoridades rastreen y congelen fondos ilícitos.
Tras transferir el ether robado a la cadena de bitcóin, los piratas informáticos depositaron grandes cantidades en mezcladores de criptomonedas como Wasabi y CryptoMixer. Estos servicios combinan transacciones de varios usuarios, lo que hace casi imposible rastrear el origen de monedas específicas. Aunque la transparencia de la cadena de bloques permite hacer un seguimiento público de las transacciones, el enorme volumen y la complejidad del proceso de blanqueo desbordaron a los equipos de cumplimiento normativo y a los investigadores.
Pese a estos esfuerzos, una parte significativa del bitcóin convertido sigue inactiva, lo que sugiere que los piratas informáticos se preparan para liquidar grandes cantidades o para ocultarlas aún más mediante redes extrabursátiles, en particular en regiones con controles laxos, como algunas zonas de China.
¿Por qué Corea del Norte ataca las criptomonedas y cuáles son las consecuencias mundiales?
Corea del Norte recurre al robo de criptomonedas por necesidad. Aislado por las sanciones internacionales y ante graves dificultades económicas, el régimen ha convertido la ciberdelincuencia en una fuente principal de divisas. Naciones Unidas estima que Corea del Norte ha robado más de 3.000 millones de dólares en criptomonedas desde 2017 y se cree que gran parte de esa suma financia sus programas armamentísticos.
El ataque a Bybit forma parte de una tendencia más amplia. Solo en el primer semestre de 2025 se robaron más de 2.170 millones de dólares en criptomonedas en todo el mundo, y los piratas informáticos norcoreanos fueron responsables de casi el 70% de esa cifra. Este aumento de la ciberdelincuencia tiene consecuencias mundiales: debilita la confianza en las finanzas digitales y provoca llamados a una regulación más estricta y a una mayor cooperación internacional.
El factor humano: ingeniería social y vulnerabilidades en la nube
Las vulnerabilidades técnicas son solo una parte de la historia. Los piratas informáticos norcoreanos se han vuelto expertos en ingeniería social: engañan a empleados para que les den acceso a sistemas sensibles. A menudo se hacen pasar por responsables de selección de personal o profesionales de tecnologías de la información y ofrecen falsas oportunidades laborales para inducir a las víctimas a descargar programas maliciosos o revelar sus credenciales. Estas tácticas han resultado especialmente eficaces contra empresas de criptomonedas que operan en la nube y suelen depender de equipos de trabajo remotos y programas de terceros.
Benjamin Read, investigador de seguridad de Wiz, señaló:
«TraderTraitor se centra en explotar vulnerabilidades en la nube porque allí están los datos y el dinero, sobre todo en las empresas de criptomonedas más nuevas, cuya infraestructura se basa principalmente en la nube».A medida que crece el sector, también aumenta la superficie de ataque a disposición de actores de amenazas sofisticados.
El ecosistema de criptomonedas de Asia: ¿un eslabón débil?
El ataque a Bybit ha dejado al descubierto importantes vulnerabilidades en el sector de las finanzas digitales de Asia. El rápido crecimiento, las lagunas regulatorias y la dependencia de programas de terceros han convertido a la región en un objetivo prioritario para los ciberdelincuentes. Según Chainalysis, el incidente «dejó al descubierto las crecientes fisuras de seguridad en el ecosistema digital de Asia y señaló la llegada de una nueva era de ciberdelincuencia».
Aunque Bybit tiene su sede en Dubái, su base de usuarios y su actividad se encuentran profundamente arraigadas en Asia. El auge de las criptomonedas en la región ha avanzado más rápido que el desarrollo de normas de seguridad sólidas, lo que ha dejado expuestos a las plataformas de intercambio y a los inversionistas ante ataques cada vez más sofisticados.
Respuesta del sector y de los reguladores
Tras el ataque a Bybit, los líderes del sector y los reguladores están reevaluando su enfoque de la seguridad. Bybit se ha comprometido a cubrir las pérdidas de los clientes y trabaja con expertos forenses para rastrear y recuperar los activos robados. Mientras tanto, gobiernos y organismos encargados de hacer cumplir la ley piden una mayor cooperación internacional y el desarrollo de protocolos de seguridad estandarizados para las plataformas de intercambio de criptomonedas.
El Gobierno de Estados Unidos, bajo la administración de Trump, ha convertido las criptomonedas en una prioridad de su política tecnológica, con el objetivo de situar al país como líder mundial en finanzas digitales. Sin embargo, el ataque a Bybit ha puesto de relieve la urgente necesidad de regulaciones más estrictas y mejores medidas de seguridad para proteger a los consumidores y mantener la confianza en el sector.
El ejército cibernético de Corea del Norte: una amenaza creciente
El Grupo Lazarus y sus subgrupos, incluido TraderTraitor, representan la vanguardia de las capacidades cibernéticas de Corea del Norte. Se cree que estos grupos cuentan con miles de integrantes que trabajan por turnos para maximizar la eficiencia. Sus operaciones están muy organizadas y combinan recursos propios de un Estado con la agilidad de las organizaciones ciberdelictivas.
La estrategia cibernética de Corea del Norte tiene varias facetas. Además de los robos directos, el régimen emplea a trabajadores remotos de tecnologías de la información para infiltrarse en empresas tecnológicas, robar propiedad intelectual y extorsionar a compañías. Los ingresos de estas actividades se envían a Pionyang, donde sirven para apoyar los programas armamentísticos del país, sometidos a sanciones, y sostener su debilitada economía.
Según Chainalysis, los piratas informáticos norcoreanos fueron responsables del 61% de todos los fondos robados en criptomonedas en 2024 y están en camino de superar esa cifra en 2025. Su capacidad para adaptarse e innovar —mediante el uso de inteligencia artificial para redactar correos de suplantación de identidad convincentes, la explotación de nuevas tecnologías y los ataques tanto a grandes plataformas de intercambio como a billeteras individuales— los convierte en una amenaza persistente y cambiante.
Ataques anteriores de gran repercusión
El ataque a Bybit es el más reciente de una serie de grandes robos de criptomonedas atribuidos a Corea del Norte. Entre los incidentes más destacados figuran:
- El ataque al puente Ronin en 2022 (600 millones de dólares robados)
- La brecha de seguridad de Atomic Wallet en 2023 (100 millones de dólares robados)
- El ataque a UpBit en 2019 (41 millones de dólares robados)
- El robo a KuCoin en 2020 (275 millones de dólares robados)
Cada ataque ha demostrado un nivel creciente de sofisticación técnica y alcance operativo, y la brecha de Bybit estableció una nueva referencia en ambos aspectos.
Los desafíos para las autoridades y el camino a seguir
Pese a la transparencia de la tecnología de cadenas de bloques —en la que cada transacción queda registrada públicamente—, las autoridades afrontan importantes dificultades para rastrear y recuperar las criptomonedas robadas. El uso de mezcladores, puentes entre cadenas y plataformas de intercambio descentralizadas permite a los piratas informáticos mover y ocultar fondos con rapidez, a menudo más rápido de lo que los investigadores pueden responder.
La cooperación internacional es esencial. El FBI ha publicado listas de direcciones de billeteras asociadas a piratas informáticos norcoreanos y ha instado a las plataformas de intercambio y a los proveedores de servicios a bloquear las transacciones procedentes de esas direcciones. Sin embargo, no todas las empresas de criptomonedas están dispuestas o pueden hacerlo, y el carácter descentralizado del sector dificulta las medidas de control.
Se han logrado algunos avances. El programa de recompensas de Bybit y su colaboración con empresas de análisis de cadenas de bloques han permitido congelar decenas de millones de dólares en activos robados. Aun así, los expertos siguen siendo pesimistas sobre la posibilidad de recuperar la mayoría de los fondos, dada la experiencia de Corea del Norte y el alcance mundial de sus redes de blanqueo.
Lecciones regulatorias y de seguridad
El ataque a Bybit ha provocado llamados a:
- Establecer normas de seguridad más estrictas para las plataformas de intercambio de criptomonedas, incluidas auditorías periódicas y evaluaciones de programas de terceros
- Promover una mayor transparencia y el intercambio de información entre los actores del sector y las autoridades
- Crear marcos regulatorios internacionales para abordar el carácter transfronterizo de los delitos relacionados con las criptomonedas
- Mejorar la sensibilización y la educación del público sobre los riesgos de la ingeniería social y los ataques de suplantación de identidad
Recuperar la confianza en el sistema financiero digital exigirá un esfuerzo coordinado del sector, los reguladores y los consumidores.
En resumen
- El ataque a Bybit del 21 de febrero de 2025 provocó el robo de 1.500 millones de dólares en activos de criptomonedas, el mayor de la historia.
- El ataque se atribuye al Grupo Lazarus de Corea del Norte y a su subgrupo TraderTraitor, que combinaron la explotación de vulnerabilidades técnicas con la ingeniería social.
- Los fondos robados se blanquearon rápidamente mediante herramientas de finanzas descentralizadas, puentes entre cadenas y mezcladores de criptomonedas, lo que dificultó su recuperación.
- Se cree que las operaciones de ciberdelincuencia de Corea del Norte financian sus programas nucleares y de misiles, y representan una amenaza para la seguridad mundial.
- El incidente dejó al descubierto importantes vulnerabilidades en el ecosistema de criptomonedas de Asia y puso de relieve la necesidad de reforzar las medidas de seguridad y regulación en todo el mundo.
- La respuesta del sector y de las autoridades ha permitido congelar algunos activos robados, pero la mayoría sigue sin poder recuperarse.
- El ataque a Bybit subraya la urgente necesidad de cooperación internacional, normas de seguridad sólidas y sensibilización pública para proteger el futuro de las finanzas digitales.
