Corea del Norte, a pesar de su aislamiento, se ha consolidado como una superpotencia en el cibercrimen, utilizando estos ataques para financiar su régimen. Recientes incidentes, como el robo masivo de criptomonedas a Binance, sugieren la participación de grupos vinculados a Pyongyang. Estos ciberdelincuentes demuestran una sofisticación tecnológica avanzada, empleando incluso cifrado poscuántico para ocultar sus operaciones y el destino de los fondos sustraídos.
Corea del Norte, uno de los países más aislados y herméticos del mundo, con un comercio exterior limitado y bajo sanciones internacionales, ha emergido como una potencia en el cibercrimen. Aunque no hay confirmación oficial, indicios y coincidencias apuntan a que Pyongyang podría estar detrás del reciente incidente de ciberseguridad que resultó en la desaparición de aproximadamente 6.360 millones de dólares de las carteras de Binance.
Este no es el primer ataque de esta índole que se atribuye a grupos de ciberdelincuentes altamente especializados que operan bajo las órdenes de Corea del Norte. El golpe a Binance, estimado en cerca de 6.300 millones de dólares, pudo haber sido aún mayor si no se hubieran congelado la mitad de los fondos, con Tether bloqueando unos 1.600 millones y Circle más de 800 millones en USDC. Esta cifra cuadruplica el récord anterior en robos de criptomonedas, el de Bybit en 2025, donde se perdieron 1.500 millones de dólares.
La firma de ciberseguridad TRM Labs tiene "alta confianza" en que el autor del robo es TraderTraitor, un grupo asociado a la red de ciberdelincuentes Lazarus. Según TRM Labs, "varias características de este ataque coinciden con robos anteriores vinculados a Corea del Norte". Otros investigadores concuerdan con esta dirección, aunque se recomienda cautela, ya que la atribución es preliminar y el FBI no ha emitido un pronunciamiento oficial.
El precedente más reciente es Bybit. En febrero de 2025, se esfumaron 1.500 millones de dólares en Ether, y el FBI lo atribuyó a Corea del Norte días después. Los ladrones distribuyeron parte del botín entre miles de direcciones en diversas cadenas de bloques para blanquearlo. Los investigadores han conectado el ataque de Bybit con el de Binance, ya que algunas de las direcciones utilizadas en este último incidente también se emplearon en el de 2025. Chainalysis estimó que los hackers vinculados al régimen robaron aproximadamente 2.020 millones de dólares en criptodivisas solo en 2025, un incremento del 51% respecto al año anterior y la cifra más alta registrada. El acumulado histórico alcanzó los 6.750 millones de dólares. Washington ya había acusado en 2021 a tres programadores militares de sustraer 1.300 millones.
Kaspersky documentó en una investigación la Operación FlashHole, activa desde al menos julio de 2025 y dirigida a empresas surcoreanas de software, construcción y telecomunicaciones. Los atacantes emplearon un currículum falso con una imagen probablemente generada por IA, una táctica sencilla de señuelo para ataques de phishing. Sin embargo, la novedad es una herramienta de Lazarus que protege la descarga de nuevos programas con ML-KEM-1024, un algoritmo poscuántico. Sojun Ryu, investigador de Kaspersky, señaló que esta tecnología "se considera la criptografía del futuro, está diseñada para seguir siendo segura contra computadoras cuánticas". ML-KEM es uno de los tres estándares que el NIST finalizó en agosto de 2024. Aunque ningún ordenador cuántico conocido ha roto el cifrado actual, Lazarus se está preparando para un riesgo futuro. Para Ryu, esto demuestra que los ciberdelincuentes al servicio de Pyongyang poseen un nivel de conocimiento y especialización muy avanzado, utilizando las tecnologías más vanguardistas para "que sus cargas maliciosas no queden expuestas ante defensores o investigadores".
La directora de Inteligencia Nacional de EE UU, Tulsi Gabbard, declaró ante el Congreso que estos robos contribuyen a financiar el régimen de Kim Jong-un y su programa de armas estratégicas. Un informe de la ONU de 2024 calculó que el robo de criptomonedas podría aportar hasta la mitad de las divisas que recibe el país. Sin embargo, Corea del Norte cuenta con otra fuente de ingresos de divisas mucho más discreta: el teletrabajo. Informáticos norcoreanos consiguen empleo remoto con identidades robadas y utilizan portátiles de la empresa alojados en casas de cómplices en EE UU, conocidas como "granjas de portátiles". El Departamento de Justicia detalló un esquema que afectó a más de 70 empresas y generó unos 3 millones de dólares. En Texas, el FBI registró más de 40 viviendas y se incautó de unos 187 dispositivos.
