La mayoría de los robos de criptomonedas son oportunistas, llevados a cabo por individuos o pequeños grupos que persiguen un pago. Una categoría de robo más pequeña pero desproporcionadamente dañina es diferente en su naturaleza, no solo en escala. Es llevada a cabo por grupos de hackeo vinculados públicamente por agencias gubernamentales a un estado nación, operando con la paciencia, los recursos, y la disciplina operativa de un aparato de inteligencia en lugar de una empresa criminal ordinaria. Los informes públicos del FBI, el Tesoro de Estados Unidos, y las firmas de análisis blockchain se han centrado abrumadoramente en Corea del Norte en esta categoría, y la escala documentada de esa actividad es ahora lo suficientemente grande como para representar una parte significativa de todo el robo de criptomonedas a nivel mundial.
Quién está detrás de estos ataques
El FBI ha atribuido públicamente el robo de Bybit de febrero de 2025, el mayor robo de criptomonedas jamás registrado, a un grupo que rastrea como TraderTraitor, al que identifica como parte del aparato más amplio del Grupo Lazarus asociado con Corea del Norte. El FBI también ha nombrado a individuos específicos, incluido Park Jin Hyok, en sus materiales públicos de los más buscados en conexión con actividad cibernética relacionada. Estas atribuciones no son etiquetas informales del sector. Son hallazgos formales publicados por una agencia federal de aplicación de la ley, distintos de la especulación sobre atacantes que a veces circula tras una brecha sin ese mismo respaldo.
La escala de la actividad
Según el Informe de Crimen Cripto 2026 de Chainalysis, los actores vinculados a Corea del Norte robaron aproximadamente dos mil millones de dólares en criptomonedas durante 2025, un aumento del cincuenta y uno por ciento respecto al año anterior, elevando su total acumulado rastreado públicamente a aproximadamente seis mil setecientos cincuenta millones de dólares. El mismo informe encontró que el robo vinculado a Corea del Norte representó la mayoría de todas las criptomonedas robadas mediante hackeos y exploits en el período medido. La actividad ha continuado hacia 2026, con aproximadamente trescientos nueve millones de dólares robados en una docena de incidentes solo en el primer trimestre, incluida una parte del exploit de Drift Protocol cubierto en nuestra guía sobre cómo ocurren los exploits de DeFi.
La atribución pública de esta escala proviene de hallazgos formales del FBI y el Tesoro, y de análisis independientes publicados por firmas de inteligencia blockchain, no de especulación informal, razón por la cual puede reportarse con confianza en lugar de tratarse como un rumor.
Técnicas distintivas documentadas en informes públicos
Apuntar a las personas, no solo al código
El robo de Bybit ilustra un patrón más amplio documentado en múltiples incidentes: en lugar de atacar directamente la infraestructura blockchain de un objetivo, estos grupos han comprometido repetidamente las computadoras de desarrolladores, las cadenas de suministro de software de terceros, y a las personas responsables de aprobar transacciones, usando el acceso obtenido para manipular lo que ve un firmante legítimo antes de aprobar una transferencia.
Un ciclo de lavado estructurado y paciente
Los informes públicos describen un patrón de lavado distintivo asociado con el robo vinculado a Corea del Norte, moviendo fondos en tramos típicamente mantenidos por debajo de los quinientos mil dólares cada uno a lo largo de un ciclo de aproximadamente cuarenta y cinco días, y dependiendo en gran medida de servicios de movimiento de dinero en idioma chino, puentes entre cadenas, y protocolos de mezcla en lugar de mover los fondos robados directa y visiblemente hacia un solo punto de conversión a efectivo. Nuestras guías sobre el lavado entre cadenas y los servicios de mezcla cubren estos mecanismos con más profundidad técnica.
Reutilización de infraestructura probada en múltiples robos
El mezclador Sinbad.io, por ejemplo, fue documentado por Chainalysis y el Tesoro de Estados Unidos como procesador de fondos no solo de un robo, sino de múltiples incidentes importantes vinculados al Grupo Lazarus, incluidos los robos del puente Horizon y de Axie Infinity, antes de ser incautado y sancionado. Este patrón de reutilizar la misma infraestructura de lavado en operaciones aparentemente no relacionadas es una de las formas en que los analistas e investigadores logran vincular incidentes aparentemente no relacionados con los mismos actores.
Más allá del hackeo: el esquema fraudulento de trabajadores de TI
No todo el robo de criptomonedas vinculado a un estado ocurre mediante un exploit técnico. El Departamento de Justicia de Estados Unidos ha documentado un esquema separado y ampliamente procesado en el que Corea del Norte despacha trabajadores de TI capacitados para hacerse pasar por desarrolladores de software independientes y conseguir empleo remoto en empresas, incluidas firmas de criptomonedas y blockchain, usando identidades estadounidenses robadas o prestadas, computadoras proxy, y facilitadores conscientes o inconscientes con base en Estados Unidos. Según anuncios del Departamento de Justicia, uno de estos esquemas usó las identidades robadas de al menos ochenta personas estadounidenses y generó más de cinco millones de dólares en ingresos para el gobierno norcoreano a lo largo de varios años, lo que llevó a declaraciones de culpabilidad de facilitadores con base en Estados Unidos en 2025.
En junio de 2025, un gran jurado federal acusó directamente a ciudadanos norcoreanos, marcando los primeros cargos estadounidenses presentados contra los propios trabajadores fraudulentos en lugar de solo contra sus facilitadores nacionales. Según esa acusación, los individuos se infiltraron en una firma blockchain con sede en Atlanta y en una empresa cripto separada con sede en Serbia obteniendo acceso legítimo de desarrollador, y luego abusaron de ese acceso para robar aproximadamente novecientos quince mil dólares en criptomonedas, lavando las ganancias a través de servicios de mezcla y cuentas fantasma consistentes con los patrones de lavado más amplios descritos anteriormente. El esquema ilustra que, para un actor suficientemente paciente y con recursos estatales, obtener la confianza a nivel de desarrollador dentro de una organización objetivo puede ser un punto de entrada tan efectivo como una vulnerabilidad técnica, y considerablemente más difícil de detectar para un gerente de contratación durante un proceso de entrevista remota estándar.
Cómo se realiza realmente la atribución
La atribución pública de un robo mayor a un grupo vinculado a un estado no se hace a la ligera, y típicamente se basa en una combinación de indicadores técnicos, como la reutilización de código malicioso y la superposición de infraestructura con campañas previamente documentadas, y análisis forense financiero que rastrea los fondos robados hasta billeteras y servicios de lavado ya asociados con incidentes anteriores. El FBI ha emitido periódicamente avisos públicos de servicio nombrando directamente a TraderTraitor y a operadores de Lazarus, y solicitando a los proveedores de servicios de criptomonedas que bloqueen transacciones vinculadas a direcciones específicas asociadas con un robo dado, un paso práctico destinado a frenar el lavado en las secuelas inmediatas de un ataque.
La respuesta política global
La Oficina de Control de Activos Extranjeros del Tesoro de Estados Unidos ha sancionado a una serie de individuos, direcciones de billetera, y servicios vinculados a la actividad de lavado relacionada con Corea del Norte, incluido el mezclador Sinbad y, en un momento, Tornado Cash. Esa sanción a Tornado Cash fue levantada más tarde en 2025 tras un fallo judicial sobre cómo pueden tratarse legalmente los contratos inteligentes autónomos, un desarrollo cubierto con más detalle en nuestra guía sobre cómo afectan los servicios de mezcla a una investigación, aunque el régimen de sanciones más amplio dirigido a actores vinculados a estados y a las direcciones específicas que controlan ha continuado.
¿Es Corea del Norte el único actor vinculado a un estado a vigilar?
Los informes públicos y la atribución formal se concentran abrumadoramente en Corea del Norte cuando se trata de robo de criptomonedas sostenido y a gran escala, y esa concentración se refleja con precisión a lo largo de esta guía en lugar de como una suposición sobre el campo en su conjunto. Los investigadores de seguridad han documentado a otros grupos afiliados a estados nación involucrados en espionaje cibernético y ataques disruptivos contra una variedad de objetivos, pero la combinación específica de escala, persistencia, y motivación financiera directa vista en el robo de criptomonedas vinculado a Corea del Norte, medida en miles de millones de dólares por Chainalysis y formalmente atribuida por el FBI y el Tesoro, no tiene igual en actividad comparablemente documentada y públicamente atribuida de otros estados en el espacio de las criptomonedas específicamente. Esta guía se centra en lo que realmente respaldan los informes públicos creíbles en lugar de especular sobre otros actores sin ese mismo nivel de atribución.
Qué significa esto para el sector y para las víctimas
Un grupo de hackeo vinculado a un estado es un adversario materialmente diferente de un estafador individual o un cazador de exploits a pequeña escala. Puede permitirse pasar meses infiltrando el entorno de desarrollo de un objetivo antes de intentar un robo, puede absorber la pérdida de un canal de lavado y pivotar de inmediato hacia otro, y no se ve disuadido por la perspectiva de un arresto individual de la forma en que podría estarlo un criminal ordinario. Para los exchanges y protocolos, esto significa que la seguridad tiene que dar cuenta de un adversario paciente y bien dotado de recursos, no solo de atacantes oportunistas. Para las víctimas individuales de una brecha posteriormente atribuida a uno de estos grupos, generalmente significa que los esfuerzos de recuperación dependen en gran medida del rastreo rápido y de la cooperación internacional de las fuerzas del orden, ya que la negociación informal con el atacante, a veces posible tras un exploit independiente más pequeño, no es una vía realista.
También significa que la participación pública del FBI, incluida la atribución nombrada y las solicitudes de bloqueo de direcciones específicas, es en sí misma una parte significativa de la respuesta, ya que moviliza simultáneamente a exchanges y equipos de cumplimiento en todo el sector en lugar de dejar que cada plataforma investigue un incidente por su cuenta. Las víctimas de un incidente posteriormente atribuido a un grupo vinculado a un estado deben esperar que su caso se trate como parte de una investigación federal mucho más grande y en curso en lugar de un asunto aislado, lo cual puede significar actualizaciones individuales más lentas pero también acceso a un conjunto mucho mayor de recursos de rastreo y de historial de casos previos del que típicamente recibiría un robo más pequeño e independiente.
Preguntas frecuentes
TraderTraitor es un grupo específico que el FBI rastrea como parte del aparato más amplio del Grupo Lazarus asociado con Corea del Norte. Los informes públicos a veces usan ambos nombres de forma algo intercambiable, pero TraderTraitor se refiere más específicamente al subgrupo que el FBI ha atribuido a incidentes como el robo de Bybit.
Según el Informe de Crimen Cripto 2026 de Chainalysis, el robo acumulado rastreado públicamente atribuido a actores vinculados a Corea del Norte ha alcanzado aproximadamente seis mil setecientos cincuenta millones de dólares, con aproximadamente dos mil millones de dólares de esa cifra robados solo durante 2025, un aumento del cincuenta y uno por ciento respecto al año anterior.
Los informes públicos y los hallazgos de sanciones del Tesoro de Estados Unidos describen el robo de criptomonedas vinculado a Corea del Norte como un mecanismo de financiamiento significativo para el estado, ofreciendo una forma de generar grandes cantidades de moneda fuerte fuera del sistema bancario tradicional, que está sujeto a extensas sanciones internacionales contra el país.
Se ha producido una recuperación parcial en algunos casos, generalmente cuando los fondos se congelan en un exchange o servicio antes de ser completamente lavados, o mediante acción internacional de las fuerzas del orden. La recuperación total es poco común dada la sofisticación y paciencia del proceso de lavado que usan estos grupos, razón por la cual la prevención y la detección rápida siguen siendo la defensa principal.
Fuentes y lecturas adicionales
- 2026 Crypto Crime Report Introduction · Chainalysis
- FBI Confirms North Korean Lazarus Group Behind $1.5 Billion Bybit Crypto Heist · Picus Security
- Treasury Sanctions Mixer Used by the DPRK to Launder Stolen Virtual Currency · U.S. Department of the Treasury
- Two North Korean Nationals and Three Facilitators Indicted for Multi-Year Fraudulent Remote Information Technology Worker Scheme · U.S. Department of Justice