Hackeos de Bybit y Ronin: los robos de Corea del Norte

¿Qué pasó con Bybit y Ronin? En marzo de 2022, unos hackers se llevaron unos 625 millones de dólares del puente Ronin, detrás del juego Axie Infinity, tras robar 5 de sus 9 llaves de validadores; una de las vías de entrada fue una oferta de trabajo falsa. El 21 de febrero de 2025, el exchange Bybit perdió unos 1.500 millones de dólares en ether, el mayor robo cripto registrado, cuando el software de billetera que usaba su personal les mostró una transacción falsa. El FBI y el Tesoro de EE. UU. atribuyen ambos ataques al grupo norcoreano Lazarus.

La mayoría de los ladrones de bancos necesitan un auto para huir. Los mejores de Corea del Norte necesitan un perfil de LinkedIn, un PDF convincente y mucha paciencia.

¿Quién es el grupo Lazarus?#

Lazarus Group es el nombre que usan los investigadores de seguridad para los equipos de hackers estatales de Corea del Norte. El FBI llama TraderTraitor a la parte que caza empresas cripto. Según un informe de 2024 del Panel de Expertos del Consejo de Seguridad de la ONU, el panel investigaba 58 presuntos ciberataques norcoreanos contra empresas cripto entre 2017 y 2023, por unos 3.000 millones de dólares, y el dinero robado ayuda a financiar los programas de armas de destrucción masiva del país. No es un adolescente con capucha: es una oficina de gobierno con metas que cumplir.

¿Qué pasó con Ronin? (marzo de 2022)#

Ronin es una blockchain creada para Axie Infinity, un juego "play-to-earn" muy popular en 2021. Para mover dinero entre Ethereum y Ronin, los jugadores usaban el puente Ronin. Los retiros del puente necesitaban firmas de 5 de 9 validadores.

1. El anzuelo. Según informes posteriores, a un ingeniero sénior de Sky Mavis, la empresa detrás del juego, le ofrecieron un trabajo muy bien pagado. Tras varias rondas de "entrevistas" recibió la oferta en un PDF, y el archivo infectó su computadora.
2. Cuatro llaves. Desde dentro de la red de la empresa, los atacantes llegaron a las cuatro llaves de validador que operaba Sky Mavis.
3. La quinta llave. A finales de 2021, Sky Mavis recibió permiso para firmar en nombre de un quinto validador operado por la Axie DAO. Ese permiso debía ser temporal, pero nadie lo desactivó. Cinco de nueve.
4. El retiro. El 23 de marzo de 2022, los atacantes firmaron dos retiros para sí mismos: 173.600 ETH y 25,5 millones de USDC, unos 625 millones de dólares de entonces.
5. Silencio. Nadie lo notó durante seis días. El robo salió a la luz el 29 de marzo, cuando un usuario no pudo retirar 5.000 ETH del puente vacío.

Sky Mavis reunió 150 millones de dólares en una ronda liderada por Binance, usó sus propias reservas para cubrir a los usuarios y reabrió el puente el 28 de junio de 2022 con más validadores y límites más estrictos.

¿Qué pasó con Bybit? (febrero de 2025)#

Bybit, uno de los mayores exchanges cripto, guardaba la mayor parte de su ether en una billetera fría multisig: para mover fondos, varios empleados tenían que aprobar la transacción a través de la popular interfaz Safe{Wallet}. En el papel, una configuración de manual.

1. La laptop de un desarrollador. Según la investigación de Sygnia y el informe de la propia Safe, el 4 de febrero de 2025 los atacantes infectaron la Mac de un desarrollador de Safe{Wallet} y obtuvieron acceso a la cuenta en la nube de la empresa.
2. Un sitio web envenenado. El 19 de febrero cambiaron en silencio el JavaScript de la interfaz web de Safe{Wallet}. El código malicioso solo se activaba cuando se usaba la billetera de Bybit; todos los demás veían la página normal.
3. La transferencia de rutina. El 21 de febrero, los firmantes de Bybit aprobaron lo que parecía una transferencia normal de la billetera fría a la caliente. Sus pantallas mostraban la dirección correcta. Sus billeteras de hardware mostraban datos que en realidad no podían leer: una firma a ciegas.
4. La transacción real. En realidad firmaron un cambio en la lógica de la billetera que entregó el control a los atacantes, que sacaron unos 401.000 ETH y otros tokens basados en ether: cerca de 1.500 millones de dólares.
5. Limpieza. Unos dos minutos después, los atacantes borraron el código malicioso del sitio.

Lo que vino después sorprendió a muchos: Bybit siguió abierto. Su CEO, Ben Zhou, anunció el hackeo él mismo en pocas horas y dijo que los activos de los clientes seguían respaldados por completo. En pocos días, el exchange cubrió el hueco con préstamos de otras empresas y grandes compras de ETH, y ofreció una recompensa de hasta el 10 % por ayudar a congelar las monedas robadas. El 26 de febrero de 2025, el FBI señaló públicamente como culpable al grupo norcoreano TraderTraitor.

¿Cómo se lava el botín?#

Robar cripto es la mitad fácil. Convertirla en dinero utilizable es más difícil, porque cada movimiento en una blockchain pública se ve. Lazarus tiene una rutina bien ensayada:

• Dividir las monedas entre miles de direcciones para que rastrearlas tome más tiempo.
• Cambiar y saltar entre blockchains: con Bybit, la mayor parte del ETH se convirtió a bitcoin en unos diez días a través del protocolo cross-chain THORChain.
• Mezclar las monedas en mezcladores y servicios que no hacen preguntas. En 2022, el Tesoro de EE. UU. sancionó al mezclador Blender.io por lavar parte del dinero de Ronin.
• Cobrar poco a poco a través de intermediarios y cuentas en países con poca supervisión.

Una parte de los fondos se congela por el camino, pero ya en marzo de 2025 el CEO de Bybit dijo que cerca del 20 % se había "vuelto invisible".

Cronología#

Lazarus no se detuvo ahí. Los investigadores también lo vinculan con el puente Harmony (unos 100 millones de dólares, 2022), el exchange japonés DMM Bitcoin (unos 300 millones de dólares, 2024) y el puente de Kelp DAO (unos 292 millones de dólares, abril de 2026). Más en la lección Los puentes y sus hackeos.

Señales de alerta que podías ver#

• Un trabajo soñado que llega de la nada. Reclutadores que van muy rápido, pagan demasiado bien y envían archivos o "pruebas técnicas" para ejecutar son una apertura clásica de Lazarus. El mismo truco apunta a usuarios cripto y freelancers.
• Pocas llaves cuidando muchísimo dinero. Cinco llaves de nueve, la mayoría en manos de una sola empresa, protegían 600 millones de dólares. Cuenta quién controla realmente las llaves.
• Permisos que nadie recuerda. El agujero de Ronin fue un acceso temporal que quedó activado.
• Firmar lo que no puedes leer. Los firmantes de Bybit confiaron en una pantalla. Si tu billetera de hardware no puede mostrarte con claridad lo que apruebas, detente.
• Silencio. Si nadie nota un agujero de 600 millones de dólares durante seis días, nadie está vigilando.

Fuentes#

• FBI: Corea del Norte, responsable del hackeo de Bybit por 1.500 millones de USD (2025) (se abre en una pestaña nueva)
• Sygnia: Investigación del hackeo de Bybit (se abre en una pestaña nueva)
• Tesoro de EE. UU.: Sanciones al mezclador Blender.io, robo de Ronin (2022) (se abre en una pestaña nueva)
• Chainalysis: Crimen cripto, actualización de mitad de 2025 (se abre en una pestaña nueva)
• ABC News: Informe de la ONU sobre robos cripto de Corea del Norte y financiación de armas (2024) (se abre en una pestaña nueva)