Corea del Norte se ha convertido en una superpotencia del ciberataque y lo está utilizando para autofinanciarse

Es uno de los países más aislados y herméticos del planeta. Su comercio exterior se limita a unos pocos países afines, arrastra sanciones desde hace años y casi nadie sabe qué ocurre realmente más allá de las fronteras. Aun así, Corea del Norte se ha revelado como una auténtica superpotencia en el cibercrimen.

Aunque todavía no se puede confirmar de forma oficial, algunos indicios y coincidencias apuntan Pyongyang podría estar tras el incidente de ciberseguridad que esta madrugada ha hecho desaparecer unos 6.360 millones de dólares de las carteras de Binance. No es el primer ataque de este estilo que se atribuye a grupos de ciberdelincuentes altamente especializados que actúan a las órdenes de Corea del Norte.

Binance, un robo récord con firma conocida. El impacto total del golpe a Binance se calcula cercano a los 6.300 millones de dólares, y podría haber sido mayor si no fuera porque la mitad quedó congelada. Tether bloqueó unos 1.600 millones y Circle más de 800 millones en USDC. Esta cifra cuadruplica la del anterior récord en el robo de criptomonedas: el de Bybit de 2025 en el que se esfumaron unos 1.500 millones de dólares en criptodivisas.

En Xataka La IA está rompiendo todas las barreras de la ciberseguridad. Ha conseguido hackear a los hackers

La firma de ciberseguridad TRM Labs tiene "alta confianza" en que el autor del robo es TraderTraitor, un grupo vinculado a la red de ciberdelincuentes Lazarus. Según TRM LAbs, "varias características de este ataque coinciden con robos anteriores vinculados a Corea del Norte". Otros investigadores apuntan en la misma dirección. Conviene ir con cautela ya que la atribución es todavía preliminar y el FBI no se ha pronunciado oficialmente al respecto.

Bybit y un régimen que cobra en cripto. Sin embargo, el precedente más reciente es Bybit. En febrero de 2025 se esfumaron 1.500 millones de dólares en Ether, y el FBI lo atribuyó a Corea del Norte días después. Los ladrones repartieron parte del botín obtenido entre miles de direcciones de varias cadenas de bloques para blanquearlo. Los investigadores han vinculado el ataque de Bybit con el de Binance porque algunas de las direcciones que se han utilizado en este último golpe, también se usaron en el de 2025.

Chainalysis calculó que los hackers vinculados al régimen habían robado unos 2.020 millones de dólares en criptodivisas solo en 2025, un 51% más que el año anterior y el mayor total registrado. El acumulado histórico llegaba a los 6.750 millones de dólares. Washington ya acusó en 2021 a tres programadores militares de robar 1.300 millones.

Cifrado poscuántico para esconder su rastro. Kaspersky documentó en una investigación la Operación FlashHole, activa desde al menos julio de 2025 y dirigida a empresas surcoreanas de software, construcción y telecomunicaciones. Los atacantes usaron un currículum falso con una foto probablemente creada con IA. Una artimaña bastante sencilla que sirve como señuelo para ataques Phishing. Sin embargo, la novedad es una herramienta de Lazarus que protege la descarga de nuevos programas con ML-KEM-1024, un algoritmo poscuántico.

Sojun Ryu, investigador de Kaspersky, dijo a El País que esta tecnología "se considera la criptografía del futuro, está diseñada para seguir siendo segura contra computadoras cuánticas". ML-KEM es uno de los tres estándares que NIST finalizó en agosto de 2024. Ningún ordenador cuántico conocido rompe aún el cifrado actual, así que Lazarus se cubre de un riesgo futuro. Para Ryu, eso revela que los ciberdelincuentes en nómina de Pyongyang tienen un nivel de conocimientos y especialización muy avanzado, y utilizan las tecnologías más vanguardistas para "que sus cargas maliciosas no queden expuestas ante defensores o investigadores".

EEUU construyó el ejército más poderoso del mundo. Ahora hay quienes señalan su talón de Aquiles: la ciberguerra

El dinero tiene destino. La directora de Inteligencia Nacional de EE UU, Tulsi Gabbard, dijo ante el Congreso que esos robos ayudan a financiar al régimen de Kim Jong-un y a su programa de armas estratégicas. Un informe de la ONU de 2024 calculó que el robo de criptomonedas podía aportar hasta la mitad de las divisas que recibe el país.

Sin embargo, Corea del Norte cuenta con otra fuente de ingresos de divisas mucho más discreta: el teletrabajo. Informáticos norcoreanos consiguen empleo remoto con identidades robadas y usan portátiles de la empresa alojados en casas de cómplices en EEUU, las llamadas "granjas de portátiles". El Departamento de Justicia detalló un esquema que afectó a más de 70 empresas y generó unos 3 millones de dólares. En Texas, el FBI registró más de 40 viviendas y se incautó de unos 187 dispositivos.

Imagen | Flickr (Prachatai)

-
La noticia Corea del Norte se ha convertido en una superpotencia del ciberataque y lo está utilizando para autofinanciarse fue publicada originalmente en Xataka por Rubén Andrés .