Por Canuto  

TRM Labs calcula que grupos vinculados a Corea del Norte robaron USD $12.800 millones en criptomonedas desde 2017 y atribuye al país 85% del valor hackeado en 2026. La firma señala que el ataque a Binance concentró la mayor parte de las pérdidas de este año, mientras los congelamientos de stablecoins frenaron una porción del botín, pero dejaron miles de millones en activos que no pueden ser bloqueados.

***

  • TRM atribuye a actores norcoreanos USD $12.800 millones en robos cripto desde 2017, incluidos USD $7.400 millones en 2026.
  • El ataque a Binance habría sustraído USD $6.360 millones en diez cadenas; la mayor parte salió en unos 20 minutos.
  • Emisores de stablecoins y el Consejo de Seguridad de Arbitrum congelaron casi USD $2.700 millones, mientras USD $2.400 millones permanecían en BTC y ETH.

 

 

La firma de análisis blockchain TRM Labs atribuye a piratas informáticos vinculados al Estado norcoreano 100 incidentes y USD $12.800 millones en activos digitales sustraídos desde 2017. Su informe, publicado el 30 de octubre de 2026, calcula que USD $7.400 millones de ese total corresponden a este año, una cifra impulsada principalmente por el ataque a Binance.

El ataque a Binance concentra las pérdidas de 2026

TRM afirma que el 29 de octubre salieron unos USD $6.360 millones de billeteras de Binance distribuidas en diez blockchains, y que la mayor parte de los fondos se movió en cerca de 20 minutos, a partir de las 20:05 UTC. La firma atribuye el incidente, con alta confianza según su análisis de información dentro y fuera de la cadena, a TraderTraitor, una unidad patrocinada por Corea del Norte; Binance confirmó un incidente de seguridad y suspendió retiros en varias redes, pero sostuvo que los fondos de sus usuarios estaban seguros.

Binance no había publicado la causa raíz del incidente al momento del informe. Sin embargo, el FBI atribuyó a Corea del Norte el robo de más de USD $6.000 millones en activos virtuales de Binance, ocurrido alrededor del 29 de octubre de 2026. TRM identifica a TraderTraitor como responsable del ataque y lo califica como el mayor robo de criptomonedas registrado, con un monto aproximadamente cuatro veces superior a los USD $1.500 millones sustraídos de Bybit en febrero de 2025. El FBI señaló a Corea del Norte como responsable; la atribución específica a TraderTraitor corresponde al análisis de TRM.

La preparación, según TRM, comenzó al menos 36 horas antes de la salida masiva de fondos. Desde el 28 de octubre se registraron retiros pequeños desde Tornado Cash que financiaron una billetera operativa, un patrón que la firma también observó en los robos de Bybit y KelpDAO. El informe añade que el ataque a Binance involucró 50 autorizaciones prefirmadas en Ethereum y evalúa que el atacante probablemente consiguió que el sistema de firma de billeteras calientes autorizara operaciones en varias cadenas.

El robo también explica el salto de las pérdidas globales: TRM estima que los incidentes de hacking cripto sumaron USD $28.000 millones en total, y que en 2026 ya alcanzaban USD $8.700 millones, un récord. En el acumulado de este año, Corea del Norte representaría 85% del valor robado, aunque esa proporción cae a 45% si se excluye Binance. La firma calcula que el país concentró 63% de los fondos sustraídos en 2025, 39% en 2024 y 7% en 2020.

Los ataques apuntan a personas y sistemas de firma

En los datos de TRM, los ataques norcoreanos difieren de la modalidad más frecuente entre los hackers en general. Desde 2022, las vulnerabilidades de contratos inteligentes representaron 49% de los incidentes clasificados, pero solo 15% del valor sustraído; en los 100 casos atribuidos a Corea del Norte, apenas 13 fueron exploits de código y sumaron cerca de 1% del botín. Antes del ataque a Binance, alrededor de 76% del valor robado por estos actores procedía de vulneraciones de infraestructura, proporción que asciende a 88% al incluir ese caso.

Los ataques de infraestructura buscan controlar claves, servidores y sistemas que autorizan transacciones, en lugar de explotar directamente un fallo en un contrato inteligente. TRM describe una secuencia que empieza con un falso reclutador o inversionista, continúa con una prueba de programación que instala malware y puede terminar con el robo de claves SSH, cookies de sesión y credenciales de servicios en la nube. Con esos accesos, los atacantes pueden acercarse a los sistemas que firman operaciones y controlan fondos.

La firma ha vinculado patrones similares con los ataques a Atomic Wallet, CoinsPaid, Alphapo, Stake.com y CoinEx, ocurridos en 2023. También señala que supuestos intermediarios norcoreanos se habrían reunido en persona con empleados de Drift durante varios meses antes del robo ocurrido en abril de 2026, aunque presenta esa conclusión como una evaluación de sus analistas. En KelpDAO, los atacantes habrían envenenado dos nodos RPC internos y saturado los externos con tráfico, una táctica distinta que también puso en riesgo la infraestructura.

El panorama incluye además la vulneración de Ronin, Bybit, Bitget y DMM Bitcoin: en conjunto, esos casos, junto con Binance, representan USD $9.100 millones del total de USD $12.800 millones que TRM atribuye a Corea del Norte. La compañía aclara que no ha atribuido definitivamente a ese país el robo a Bitget, aunque su director ejecutivo ha dicho que la responsabilidad norcoreana es muy probable y los analistas observaron billeteras de lavado con vínculos con Bybit y AFX Bridge. TRM considera técnicamente posible que haya participado otro actor.

El lavado busca adelantarse a los congelamientos

TRM describe un patrón de lavado que suele comenzar con la fragmentación del botín entre billeteras nuevas y cadenas de transacciones sucesivas, llamadas peel chains. Los atacantes luego pueden intercambiar activos y pasar fondos entre redes mediante exchanges descentralizados, puentes y servicios de swap. Tras los robos de Bybit y KelpDAO, THORChain canalizó buena parte de esa actividad y permitió convertir activos sustraídos en Bitcoin (BTC), de acuerdo con el informe.

Después del ataque a Bybit, algunos de los primeros lotes de BTC llegaron a Wasabi y CryptoMixer, servicios que pueden dificultar la conexión entre los fondos robados y su destino posterior. TRM también ha documentado el uso de USDT en TRON, exchanges anidados y escritorios de operaciones extrabursátiles, además de corredores chinos que compran activos robados con descuento y gestionan etapas posteriores del lavado. La secuencia y los servicios utilizados, advierte la firma, varían según cada incidente.

La ruta observada tras el ataque a Binance ha sido distinta de la actividad más centrada en puentes registrada después de Bybit. TRM detectó ventas a creadores de mercado mediante contratos basados en intenciones, préstamos respaldados por activos robados en Aave y JustLend, y operaciones en exchanges descentralizados. Al momento del informe, el atacante aún controlaba más de 420.000 ETH y 18.270 BTC, con un valor estimado de USD $2.400 millones; la firma esperaba que después intervinieran puentes, servicios de swap y corredores extrabursátiles, pero esos movimientos todavía no se habían producido.

La posibilidad de congelar fondos depende de la forma en que se mantengan: los emisores pueden bloquear los tokens que administran y los exchanges pueden restringir depósitos, pero BTC y ETH no tienen un emisor que pueda congelarlos. A las 00:30 UTC del 30 de octubre, TRM informó que se habían inmovilizado casi USD $2.700 millones, cerca de 42% del total sustraído. La rapidez es decisiva porque, si el atacante intercambia tokens congelables por activos nativos antes de que se identifiquen las direcciones, se reduce la capacidad de intervención.

Stablecoins, investigaciones y medidas de prevención

Entre los fondos bloqueados, Tether congeló unos USD $1.770 millones en USDT y Circle unos USD $825 millones en USDC. Ripple inmovilizó USD $40,5 millones en RLUSD, mientras otros USD $48 millones en ese token ya se habían vendido antes del bloqueo; World Liberty Financial congeló USD $27,8 millones en USD1. El Consejo de Seguridad de Arbitrum bloqueó, por su parte, alrededor de USD $30 millones.

TRM presenta esos casos como una carrera entre el robo y la identificación de las billeteras afectadas. Tras el ataque a KelpDAO, el Consejo de Seguridad de Arbitrum congeló unos ETH 30.766, valorados entonces en aproximadamente USD $75 millones, y la firma reportó que el atacante aceleró el lavado. También describe congelamientos de Tether solicitados por autoridades estadounidenses en casos de trabajadores de TI, incluidos fondos ligados a una acción de decomiso de USD $7,7 millones presentada por el Departamento de Justicia en junio de 2025.

La investigación fuera de la cadena puede ayudar a conectar direcciones con personas, empleadores y redes de facilitadores, según TRM. El informe cita el uso de identidades robadas o fabricadas para solicitar empleos remotos, en ocasiones con documentos falsos, y menciona que KnowBe4 contrató sin saberlo a un trabajador de este tipo y que Vidoc Security registró a dos postulantes que habrían usado deepfakes. También señala que estos operativos buscan puestos en empresas vinculadas con inteligencia artificial.

El Departamento de Justicia anunció el 13 de octubre de 2026 una acusación formal en el Distrito Norte de Ohio que describe una presunta trama entre 2019 y aproximadamente julio de 2025: diez acusados con base en China habrían usado identidades falsas, VPN y sistemas proxy para conseguir empleos remotos en más de 70 compañías estadounidenses. Facilitadores en Estados Unidos presuntamente alojaban computadoras portátiles corporativas en sus hogares, y el esquema habría generado más de USD $3 millones que se cree fueron destinados a entidades norcoreanas sancionadas; son acusaciones que deben probarse en tribunales. TRM también menciona que, en septiembre, el FBI allanó más de 40 residencias sospechosas de alojar granjas de laptops, confiscó unos 187 dispositivos entre computadoras y equipos KVM y arrestó a dos ciudadanos estadounidenses.

En materia de sanciones, TRM indica que la OFAC designó en noviembre de 2025 a banqueros y empresas de fachada, e incluyó 53 direcciones cripto, y que el 28 de octubre de 2026 designó a diez personas y una entidad relacionadas con la facilitación de esquemas de trabajadores de TI. La firma también observó transferencias directas de USDT desde direcciones atribuidas a Amnokgang hacia uno de los facilitadores designados, y reportó más de USD $12,7 millones recibidos por billeteras vinculadas a Cheil Credit Bank entre junio de 2023 y mayo de 2025, con entradas que parecían pagos salariales.

Para reducir la exposición, TRM recomienda filtrar las direcciones etiquetadas y volver a revisar transacciones a medida que se incorporan nuevas atribuciones, además de seguir los movimientos de varios saltos entre cadenas, swaps y corredores. También aconseja vigilar delegaciones EIP-7702 y cambios en los sistemas de firma, pedir a los creadores de mercado controles sobre sus contrapartes y sumarse a alertas en tiempo real para acelerar posibles congelamientos. En las contrataciones remotas, propone verificar identidades y ubicaciones, y revisar pagos repetitivos de montos redondos a cuentas recién abiertas.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados