Por Canuto  

Carteras atribuidas al grupo Lazarus movieron 244 BTC valorados en USD $19,42 millones, pero el destino de los fondos aún no ha sido identificado públicamente.
***

  • Lookonchain reportó el traslado de 244,148 BTC desde carteras atribuidas a Lazarus Group.
  • El movimiento se produjo después de otra transferencia de 262,2 BTC realizada a comienzos de agosto.
  • La transacción no ha sido vinculada públicamente con el hackeo de Bybit ni demuestra por sí sola una venta.

Carteras atribuidas al grupo Lazarus, vinculado a Corea del Norte, volvieron a registrar actividad con el traslado de 244,148 BTC valorados en aproximadamente USD $19,42 millones. El movimiento reactivó la vigilancia sobre una de las operaciones de hacking más persistentes del ecosistema cripto, aunque todavía no existe una identificación pública del destino ni una confirmación de que los fondos procedan de un robo específico.

Una transferencia cuyo destino sigue sin revelarse

Lookonchain informó el 28 de agosto que varias carteras atribuidas a Lazarus Group se habían reactivado y habían movido 244,148 BTC aproximadamente una hora antes de su alerta. En ese momento, Bitcoin cotizaba cerca de USD $79.500, por lo que la plataforma de análisis estimó el valor de la operación en USD $19,42 millones.

El reporte no identificó la dirección receptora ni precisó si las monedas llegaron a un exchange, un mezclador o una cartera controlada por el propio grupo. Esa ausencia de información impide concluir que Lazarus haya vendido los activos o iniciado un proceso de liquidación.

La blockchain permite verificar cuándo los fondos pasan de una dirección a otra, pero no muestra automáticamente quién controla cada cartera. La atribución depende de etiquetas y análisis elaborados por investigadores, empresas de inteligencia blockchain o autoridades que conectan patrones de actividad con organizaciones concretas.

Por esa razón, el movimiento del 28 de agosto constituye una señal de actividad, no una prueba definitiva sobre la intención del operador. El destino de las monedas será determinante para establecer si se trató de una reorganización interna, una estrategia de ocultamiento o un paso previo a nuevas transferencias.

Agosto concentró más de USD $36 millones en movimientos

La transferencia de 244,148 BTC siguió a otro movimiento considerable registrado a comienzos de agosto. El 12 de agosto, Lookonchain señaló que una cartera identificada como vinculada a Lazarus había enviado 262,2 BTC, valorados entonces en aproximadamente USD $16,64 millones, hacia una dirección recién creada.

En aquella ocasión, la plataforma describió la operación como un traslado de cartera a cartera y no como una venta. La nueva dirección, al igual que la receptora del movimiento posterior, no fue presentada públicamente como una plataforma de intercambio ni vinculada de forma concluyente con un servicio de conversión.

Tomando los valores en dólares comunicados para ambas operaciones, los movimientos de agosto involucraron más de USD $36 millones en Bitcoin. Sin embargo, no se ha confirmado que las transacciones provengan del mismo saldo, respondan a una única campaña o persigan idéntico objetivo.

La actividad anterior explica el interés de los investigadores por seguir las rutas posteriores. En marzo de 2025, cinco direcciones desconocidas recibieron en conjunto 44,07 BTC, valorados en unos USD $3,76 millones, desde carteras atribuidas a Lazarus, lo que redujo las tenencias de la cartera rastreada a 13,441 BTC en ese momento.

El robo a Bybit dispersó los fondos por miles de direcciones

El contexto más delicado para interpretar los nuevos movimientos es el robo sufrido por Bybit en febrero de 2025, cuyo valor fue estimado en USD $1.500 millones. El exchange presentó el 7 de agosto una demanda ante un tribunal federal de Washington, D.C., contra Corea del Norte y Lazarus Group para intentar recuperar activos relacionados con el ataque.

La acción civil también nombró a la Oficina General de Reconocimiento de Corea del Norte, conocida como RGB y considerada por el Tesoro de EE. UU. como la principal agencia de inteligencia del país. Un juez federal emitió una orden judicial preliminar que bloqueó a demandados no identificados de transferir, vender o disponer de ciertos activos relacionados con el caso.

La demanda de Bybit avanza por separado de las investigaciones penales que siguen abiertas en Estados Unidos, y la orden preliminar no representa una decisión final sobre la propiedad o la responsabilidad. Su función inmediata consiste en preservar los activos identificados mientras continúa el litigio y evitar que desaparezcan durante el proceso.

El FBI atribuyó el ataque de febrero a actores norcoreanos que operaban bajo el nombre TraderTraitor. Según la agencia, los atacantes convirtieron parte de los fondos en Bitcoin y otros activos antes de repartirlos entre miles de direcciones ubicadas en distintas blockchains.

La agencia advirtió que los activos probablemente volverían a moverse y que, con el tiempo, podrían cambiarse por monedas emitidas por gobiernos. También pidió a exchanges, puentes, protocolos de finanzas descentralizadas, compañías de análisis blockchain y operadores de nodos bloquear las transacciones relacionadas con las direcciones identificadas.

Para abril de 2025, el CEO de Bybit, Ben Zhou, afirmó que 27,6% de los fondos robados ya no podía rastrearse, según un informe de agosto sobre los métodos de ataque norcoreanos. La dispersión de activos entre numerosas carteras de Bitcoin había dificultado la investigación, aunque la pérdida de trazabilidad no equivale necesariamente a una liquidación confirmada.

Lookonchain no ha conectado directamente la transferencia de 244,148 BTC con el hackeo de Bybit. Ninguna agencia gubernamental ni empresa de inteligencia blockchain citada en los reportes disponibles ha identificado públicamente el origen de las monedas involucradas en el movimiento del 28 de agosto.

La actividad norcoreana se extiende a nuevos objetivos

Chainalysis estimó que hackers norcoreanos robaron al menos USD $2.020 millones en criptomonedas durante 2025, un aumento de 51% frente al año anterior. La firma calculó que el valor acumulado de los robos cripto atribuidos al país alcanzó como mínimo USD $6.750 millones al cierre de ese periodo.

En su informe de diciembre de 2025, Chainalysis indicó que las operaciones norcoreanas representaron 76% del valor perdido en ataques contra servicios cripto durante el año. La firma observó menos incidentes confirmados, pero montos promedio más elevados en las brechas que sí lograron concretarse.

El análisis también describió un cambio en los objetivos: los operadores norcoreanos apuntaron cada vez más a empresas mediante suplantación de identidad y acceso de empleados. Algunos actores se presentaron como candidatos a puestos de trabajo para ingresar a negocios cripto, mientras otros fingieron reclutar personal para compañías conocidas de Web3 e inteligencia artificial.

La actividad atribuida a Lazarus continuó en abril de 2026, cuando atacantes drenaron aproximadamente 116.500 rsETH, valorados en unos USD $292 millones, desde el puente basado en LayerZero de KelpDAO. LayerZero atribuyó preliminarmente el ataque a la unidad TraderTraitor de Lazarus Group.

Chainalysis señaló después que los atacantes comprometieron la infraestructura que entregaba información blockchain al sistema de verificación de LayerZero. Al introducir datos falsos, consiguieron que un contrato de Ethereum liberara activos aunque no se hubiera producido una quema equivalente de tokens en la red de origen.

Una intervención rápida bloqueó un segundo intento de robo estimado en aproximadamente USD $95 millones, mientras el Arbitrum Security Council congeló más de 30.000 ETH que investigadores conectaron con transacciones posteriores del atacante. Para junio, el atacante de KelpDAO había movido unos USD $220 millones en activos no congelados mediante servicios de privacidad, mientras cerca de USD $1,7 millones permanecían en sus carteras originales.

Las rutas de esos fondos incluyeron THORChain, Wasabi, Tornado Cash y Umbra, una combinación que refleja la dificultad de seguir activos cuando pasan por múltiples redes y herramientas de privacidad. Ese antecedente no demuestra una relación con los 244,148 BTC de agosto, pero ayuda a explicar por qué las nuevas transferencias generan atención inmediata entre exchanges y firmas de monitoreo.

Las sanciones estadounidenses elevan el riesgo operativo

La Oficina de Control de Activos Extranjeros del Tesoro de EE. UU. sancionó a Lazarus Group en septiembre de 2019 mediante una orden ejecutiva dirigida contra el gobierno norcoreano. OFAC identificó a Lazarus, Bluenoroff y Andariel como grupos de hackers controlados por el Estado y conectados con la RGB.

Bajo esa designación, cualquier propiedad perteneciente a Lazarus que ingrese a Estados Unidos o quede bajo posesión o control de una persona estadounidense debe bloquearse y reportarse a OFAC. Las regulaciones del Tesoro también prohíben, en términos generales, que ciudadanos y empresas estadounidenses realicen transacciones con entidades sancionadas sin autorización de la agencia.

El Tesoro ha vinculado a Lazarus con ataques contra gobiernos, instituciones financieras, empresas de medios, fabricantes, operadores de infraestructura y negocios de criptomonedas. Entre los episodios atribuidos al grupo figuran la brecha contra Sony Pictures en 2014 y el ransomware WannaCry, que afectó computadoras en al menos 150 países.

Las autoridades estadounidenses también han actuado contra servicios utilizados para procesar fondos asociados con el grupo. En 2022, el Tesoro sancionó al mezclador Blender.io después de afirmar que había manejado más de USD $20,5 millones procedentes del robo de unos USD $620 millones a Ronin Network, ataque que el FBI atribuyó posteriormente a Lazarus Group y APT38.

En agosto de 2023, el FBI alertó por separado a las empresas cripto sobre movimientos relacionados con Bitcoin robado por actores norcoreanos de TraderTraitor. La agencia indicó que el grupo podría intentar liquidar más de USD $40 millones en BTC y publicó seis direcciones para que las compañías privadas las examinaran.

El nuevo traslado no permite saber si Lazarus pretende vender, ocultar o simplemente reorganizar sus activos. Mientras no aparezcan nuevas conexiones en la cadena, el principal efecto de la operación será mantener bajo escrutinio a los intermediarios que podrían recibir las monedas y recordar que una dirección etiquetada no equivale, por sí sola, a una condena judicial.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados