Detectan infiltración norcoreana en 1.640 empresas para robar criptomonedas

Vangelis Stykas, CTO de Kumio, logró infiltrarse en la infraestructura de un grupo de ciberespionaje norcoreano tras un descuido donde los atacantes infectaron sus propios sistemas. Tras 22 meses de monitoreo en sus canales de Slack y Discord, Stykas recopiló 5 terabytes de información interna.

La filtración expuso a 1.640 organizaciones afectadas a nivel global. De este grupo, entre 700 y 800 sufrieron brechas graves que comprometieron accesos raíz (root) en servidores de Amazon Web Services (AWS) y claves privadas de plataformas de criptomonedas.

Lo revelado por Stykas coincide con un informe de Chainalysis en el que confirma que los robos con violencia física contra propietarios de criptomonedas suman 30 millones de dólares en el primer semestre, un 37% más que en 2023, como lo informó CriptoNoticias más temprano.

La evidencia deja claro que la industria de las criptomonedas enfrenta una amenaza multidimensional. Por un lado, la guerra cibernética impulsada por hackers de Corea del Norte y el avance de la inteligencia artificial para explotar vulnerabilidades de código; por el otro, la irrupción del crimen organizado en el plano físico.

El anzuelo de la oferta perfecta

Según Stykas, la caza de la vulnerabilidad comienza con cuando un desarrollador que presta servicios a varias compañías recibe una oferta por LinkedIn para un nuevo trabajo con un salario tentador. Para optar al puesto, baja la «prueba técnica» en la misma computadora con la que trabaja a diario. El archivo ejecuta el código malicioso (malware) en su máquina y los hackers roban sus contraseñas corporativas y archivos de acceso a los servidores de sus clientes actuales.

Otro método es la infiltración directa. Es cuando el hacker norcoreano aplica al puesto de trabajo usando una identidad falsa. Una vez contratado de forma remota, la empresa le otorga accesos internos (Slack, repositorios de código, servidores). Desde adentro, el hacker infecta la red corporativa o directamente extrae información sensible y claves privadas.

Entre las víctimas confirmadas por Stykas figuran Coinbase, Uniswap Labs, el Hospital Infantil de Boston y el Consejo Superior de la Magistratura de Italia, junto a firmas tecnológicas y bancarias de Asia y Europa. El objetivo principal de los hackers es el robo de bitcoin y criptomonedas.

El botín finaliza en el programa nuclear norcoreano. El grupo Lazarus robó 2.020 millones de dólares en criptomonedas durante 2025 (un 51% más que el año anterior). Desde 2017, el acumulado supera los 6.750 millones.

Solo en abril de 2026, los ataques a plataformas financieras descentralizadas (DeFi) KelpDAO y Drift Protocol de las que se llevaron 577 millones de dólares en criptoactivos. Ese dinero financia misiles balísticos y pruebas atómicas, burlando las sanciones, como lo confirman las investigaciones.

Pero lo más perturbador del hallazgo es que los piratas se contratan. Se hacen pasar por empleados remotos, cobran nóminas en Occidente, asisten a reuniones y filtran inteligencia. Stykas lo resumió con una pregunta incómoda: «Ese ingeniero estrella que trabaja desde casa, ¿estás seguro de que existe?».

Cuando la fuerza bruta reemplaza al phishing

El «ataque de llave inglesa» no usa código malicioso. Usa golpes, amenazas y privación de libertad. La víctima entrega la clave privada o sufre las consecuencias. La transacción es inmediata e irrevocable y no hay banco central que la detenga.

Chainalysis confirma 46 incidentes violentos en el primer semestre de 2026. Si la tendencia se mantiene, el año superará los 58 millones de dólares registrados en 2025, el nivel más alto reportado hasta la fecha.

Los allanamientos de morada han pasado del 26% al 37% de los casos. Los secuestros siguen siendo más lucrativos (53% del botín), pero irrumpir en una casa es más fácil que mantener a un rehén días enteros.

Chainalysis destapa el detonante del repunte en Francia. Un funcionario de Hacienda robó y vendió en 2024 una base de datos con los nombres, direcciones exactas, teléfonos y monederos de criptomonedas de los principales hodlers del país.

Los delincuentes habrían comprado esa lista y montaron operativos de vigilancia. En más del 40% de los incidentes en Francia, los atacantes amenazaron directamente a los familiares de la víctima para forzar el pago.

Lo que revela el rastro de las criptomonedas

El análisis de los fondos robados revela tres niveles de sofisticación en el procesamiento del botín:

• Oportunistas: utilizan exchanges de criptomonedas centralizados para liquidar los activos, lo que los deja expuestos a un rastreo sencillo por parte de las autoridades.

• Atacantes técnicos: emplean puentes entre redes de criptomonedas y protocolos de mezcla para fragmentar y ocultar el rastro digital de los activos digitales.

• Redes del crimen organizado: operan estructuras integradas que canalizan los activos directamente hacia el financiamiento del narcotráfico y el terrorismo internacional.

Esta progresión confirma que el ataque de llave inglesa ya es una práctica industrializada.

Ambos informes convergen en la misma advertencia de que los propietarios de criptomonedas son cazados en dos dimensiones. En la digital y en la física.

Además, ambas esferas pueden retroalimentarse. Los piratas norcoreanos poseen claves que podrían vender a redes criminales; las redes poseen ubicaciones que podrían compartir con actores estatales. Los activos digitales ahora son el botín perfecto para ambos.

La mejor clave no basta

Para los tenedores particulares de criptoactivos, ocultar el patrimonio es una necesidad. La clave privada de las wallets de criptomonedas no solo debe guardarse de los hackers, sino de quienes sepan dónde vives.

Para las empresas, especialmente las de criptomonedas, verificar a un empleado remoto no es un trámite de Recursos Humanos, es un filtro de seguridad nacional.

El verdadero cambio de paradigma no reside en la sofisticación de las herramientas empleadas, sino en la desaparición de las fronteras defensivas. Cuando un ataque informático puede financiar un programa nuclear en Asia y la filtración de una base de datos puede comprometer la integridad física de una familia en Europa, la ciberseguridad pasa a ser una cuestión de supervivencia.

La privacidad, lejos de ser un privilegio o una opción técnica, es, junto a la verificación permanente, la única línea de defensa posible.