El fantasma detrás de la pantalla: descubriendo el mundo secreto de los hackers norcoreanos Lazarus

Escrito por: ChandlerZ, Foresight News

Nota del editor: En el mundo de las criptomonedas, la riqueza puede transferirse en cuestión de minutos. Una oferta de trabajo aparentemente normal, una actualización de software, pueden ocultar la entrada a activos enormes. La sección "Historias Cripto" de Foresight News sigue a las personas detrás de esos eventos extraños, buscando las partes de la historia que aún no han sido reveladas a través de datos públicos y pistas de financiamiento.

En esta segunda entrega, nos acercamos al Lazarus Group. Este grupo de hackers vinculado a Corea del Norte ha sido señalado por su relación con el ataque a Sony Pictures, el robo de 81 millones de dólares del Banco Central de Bangladesh, y múltiples robos de activos criptográficos. Después de que Binance sufriera un ataque, volvió a aparecer en la vista pública. ¿De dónde vienen estas personas ocultas detrás de la pantalla? ¿Cómo se acercan a sus objetivos y cómo transfieren los activos robados?

En octubre de 2026, se robaron 6.34 mil millones de dólares en activos digitales de Binance, estableciendo un récord en la historia de la industria de las criptomonedas.

Justo un mes antes, un ingeniero de Binance recibió una invitación a una entrevista que parecía normal en una plataforma de búsqueda de empleo. La empresa reclutadora organizó primero una entrevista por video y luego invitó a una persona que se hacía pasar por el CEO de la compañía para una segunda ronda de entrevistas. Al final, la persona envió una tarea de programación pidiendo al ingeniero que la descargara en su computadora de trabajo.

Según el informe preliminar publicado el 3 de noviembre, la empresa reclutadora fue completamente ficticia, y la tarea contenía código malicioso. Los atacantes utilizaron esto para infiltrarse en la computadora del ingeniero y, el 20 de octubre, aprovecharon una herramienta de IA interna de Binance para obtener permisos de acceso al sistema de implementación, logrando finalmente romper el sistema de firma de billetera. A pesar de que Binance interceptó y congeló aproximadamente 2.85 mil millones de dólares, esta invasión iniciada por una "falsa oferta de trabajo" aún estableció un récord de robo en la industria de las criptomonedas.

El FBI atribuyó este caso a la actividad de hackers norcoreanos conocida como TraderTraitor, que es una de las ramas centrales del infame Lazarus Group. El mismo día del ataque a Binance, un informe de investigación publicado por Microsoft reveló una evolución más peligrosa: este grupo de hackers norcoreanos ha integrado completamente la IA generativa en sus operaciones diarias, no solo falsificando en masa empresas de reclutamiento y personalizando guiones de entrevistas, sino que incluso utilizan herramientas de IA de código abierto para ayudar en la explotación de vulnerabilidades.

Después de años de evolución, este equipo secreto ha convertido la industria de las criptomonedas en una enorme máquina generadora de divisas. Según datos de Chainalysis y la Corporación de Promoción del Comercio e Inversión de Corea, en 2025, los hackers norcoreanos robaron al menos 2.02 mil millones de dólares en activos criptográficos, lo que equivale a 4.3 veces el total de las exportaciones de mercancías de Corea del Norte ese año (469 millones de dólares). Además, TRM Labs estima que, hasta octubre de 2026, los hackers norcoreanos han robado aproximadamente 12.8 mil millones de dólares; de las pérdidas globales de 8.7 mil millones de dólares por hackers en criptomonedas en 2026, Corea del Norte acaparó el 85% del total, mientras que en 2020, esta proporción era solo del 7%.

¿Por qué, a pesar de la continua persecución y severas sanciones de las agencias de aplicación de la ley en todo el mundo, Lazarus sigue robando más y más, incluso acaparando más del 80% de los grandes robos en cadena a nivel mundial? ¿Quiénes son realmente estas personas ocultas detrás de la pantalla? ¿Cómo se entrenan, cómo se infiltran y cómo blanquean miles de millones en dinero robado?

Estas preguntas pueden comenzar a responderse a partir de los hackers norcoreanos que han sido descubiertos.

Hackers norcoreanos descubiertos

No es fácil ver la verdadera cara de estos "programadores fantasmas", pero en más de diez años de un juego del gato y el ratón, hay algunas grietas que permiten a los observadores vislumbrar la realidad detrás de la pantalla.

La primera grieta apareció en un currículum enviado a Dalian, China, hace 15 años.

En enero de 2011, la empresa norcoreana Chosun Expo recomendó a un joven graduado de la Universidad de Tecnología de Kim Il Sung en Pyongyang, Pak Jin Hek (es decir, Park Jin Hyok), para reemplazar a un desarrollador en el equipo de Dalian. En el currículum, Park hablaba inglés y chino, era experto en Java y había trabajado en el desarrollo de juegos en línea. En ese momento, parecía ser solo un programador ordinario en el extranjero.

En mayo de 2011, mencionó en un correo electrónico que había estado viviendo en Dalian durante un año y que planeaba regresar a Corea del Norte para casarse, esperando poder quedarse en el país a largo plazo. Unos meses después, informó que regresaría a su país la semana siguiente.

Imagen de Park Jin Hyok utilizada en el reporte de CBS

Sin embargo, años después, cuando el FBI investigó el ataque a Sony Pictures, el robo de 81 millones de dólares del Banco Central de Bangladesh y el caso del ransomware WannaCry, se encontró inesperadamente con el correo electrónico de trabajo de Park de aquel entonces. Olvidó cortar completamente los lazos: en su libreta de direcciones del correo electrónico personal, guardaba la dirección de la cuenta de hacker "Kim Hyon Woo", y otra cuenta de trabajo tenía acceso a archivos en la nube de hackers, incluso compartían el mismo dispositivo y dirección de red.

Este pequeño rastro de vida y la intersección de redes de acción hicieron de Park un rostro emblemático en la lista de los más buscados del FBI. Según informantes de Reuters, los estudiantes de ciencias talentosos en Corea del Norte son seleccionados y enviados a las unidades de ciberseguridad del ejército o enviados al extranjero.

Durante el día, son programadores subcontratados que generan divisas para la empresa; por la noche, son cazadores en la dark web bajo órdenes del estado.

Si se dice que Park necesitaba estar físicamente en el extranjero hace diez años, el segundo infiltrado expuesto demuestra el aterrador "camuflaje perfecto" de la era de la IA.

En julio de 2024, la empresa de ciberseguridad estadounidense KnowBe4 contrató a un ingeniero senior remoto. El solicitante usurpó la identidad de un ciudadano estadounidense legítimo, presentando una foto generada por IA, y pasó cuatro rondas de entrevistas por video y todas las verificaciones de antecedentes. La falla no se hizo evidente hasta que la empresa envió una computadora Mac de trabajo, ya que la dirección de entrega era en realidad una granja de computadoras en Estados Unidos, que se especializa en ayudar a hackers extranjeros a alojar computadoras para falsificar IP estadounidenses. Menos de 25 minutos después de encender la computadora, este "nuevo empleado" no pudo esperar para implantar malware a través de una Raspberry Pi, activando instantáneamente una alerta en el terminal. Cuando el equipo de seguridad llamó para verificar, rápidamente cortó la conexión, y finalmente fue confirmado como un infiltrado norcoreano por Mandiant y el FBI.

Para 2025 y 2026, cuando el intercambio de rostros y las identidades falsas hicieron que las verificaciones de antecedentes convencionales fueran ineficaces, el tercer hacker norcoreano fue descubierto de una manera llena de humor negro.

Con una gran cantidad de personal de TI norcoreano disfrazado de desarrolladores japoneses y estadounidenses ingresando a la industria Web3, algunos proyectos de criptomonedas, abrumados, inventaron una pregunta de entrevista definitiva que siempre funciona: el "test de Kim Jong-un". En abril de 2026, el investigador de seguridad blockchain Tanuki42 publicó un video de 82 segundos de una entrevista remota: un solicitante que usaba el seudónimo Taro Aikuchi y afirmaba vivir en el distrito de Meguro en Tokio, respondió con fluidez a las preguntas técnicas, pero cuando el entrevistador le pidió que repitiera una grosería insultando a Kim Jong-un para descartar a los agentes norcoreanos, el "ingeniero japonés" instantáneamente cambió de color.

Primero fingió que la señal era mala, y cuando el entrevistador insistió, cayó en un silencio total, y luego cortó la conexión apresuradamente. En cuestión de minutos, modificó rápidamente su cuenta de Telegram, borró registros y cerró su página de LinkedIn.

A pesar de que estos técnicos dominan los códigos de blockchain más avanzados y las técnicas de deepfake de IA, en un entorno de estricta vigilancia y un sistema de responsabilidad colectiva, seguir insultando públicamente al líder supremo sigue siendo una línea roja que no se atreven a cruzar.

Desde el Park Jin Hyok que compartía un correo electrónico en un apartamento alquilado en Dalian, hasta el falso ingeniero estadounidense que engañó cuatro entrevistas con IA, y el "desarrollador de Tokio" que cortó la conexión por una frase política tabú, estos tres momentos de exposición a lo largo de 15 años han comenzado a revelar un pequeño fragmento del enorme iceberg que es Lazarus.

Lazarus, no solo un "robo cibernético"

En noviembre de 2014, el sistema informático de Sony Pictures fue destruido, y una gran cantidad de información interna no publicada y correos electrónicos de ejecutivos fueron filtrados. Un grupo que se hacía llamar "Guardians of Peace" se atribuyó la responsabilidad. En ese momento, Sony estaba preparando el lanzamiento de la película "The Interview", que ficticiamente retrataba el asesinato del líder norcoreano. En la posterior acusación del Departamento de Justicia de EE. UU., se afirmó que los atacantes apoyados por Corea del Norte no solo robaron información y paralizaron computadoras, sino que también amenazaron a los empleados con bombas.

Meses después, la empresa de seguridad Novetta lideró una investigación sobre el malware involucrado en el ataque. Los investigadores descubrieron que parte del código del incidente de Sony provenía de herramientas utilizadas en ataques cibernéticos anteriores. El informe "Operation Blockbuster" publicado en 2016 agrupó a esta fuerza de ataque oculta bajo el nombre de "Lazarus Group".

A medida que la investigación avanzaba, el público comenzó a darse cuenta de que Lazarus no era solo un grupo de ladrones, sino una parte de una máquina estatal bien organizada. En 2019, cuando el Departamento del Tesoro de EE. UU. sancionó a Lazarus, BlueNoroff y Andariel, los vinculó claramente a la Agencia de Reconocimiento Militar de Corea del Norte (RGB).

La empresa de seguridad Palo Alto Networks, a través de su unidad Unit 42, elaboró en 2024 un mapa panorámico de relaciones. Bajo la dirección de la RGB, múltiples grupos de actividad cibernética cumplen diferentes funciones, y su caza ya ha cruzado la industria de las criptomonedas, abarcando el sistema financiero global, la defensa militar y la inteligencia de medios.

El mapa de relaciones de las actividades cibernéticas relacionadas con la RGB de Corea del Norte elaborado por Unit 42 en 2024.

En esta red, el enfoque en la industria de blockchain y criptomonedas es solo una parte de ella, como Slow Pisces (también conocido como Jade Sleet), que se superpone al caso de TraderTraitor de Binance, y Gleaming Pisces (también conocido como Citrine Sleet), que se especializa en difundir el troyano AppleJeus a través de software de comercio falso.

Fuera del círculo de criptomonedas, las acciones de otras ramas también son impactantes. En el ámbito financiero tradicional, Alluring Pisces (es decir, BlueNoroff/APT38) ya había convertido al sistema bancario global en un cajero automático antes del auge de las criptomonedas. Su obra más impactante fue el robo al Banco Central de Bangladesh en 2016.

En el ámbito de la defensa y la industria militar, Jumpy Pisces (es decir, Andariel) desempeña el papel de un ladrón de tecnología que opera bajo el lema "financiar la guerra con la guerra". Según la acusación presentada por el Departamento de Justicia de EE. UU. en julio de 2024, esta rama ha formado un ciclo cerrado único. Por un lado, atacan a varios hospitales y entidades médicas en EE. UU. utilizando el ransomware Maui, exigiendo rescates para financiar sus operaciones; por otro lado, utilizan ese dinero para comprar servidores y penetrar en contratistas de defensa de EE. UU., bases aéreas y agencias de investigación de defensa en Corea del Sur, robando de manera específica los planos de diseño confidenciales de motores de aviones de combate F-15, satélites de reconocimiento militar, submarinos y instalaciones de combustible nuclear y enriquecimiento de uranio.

En el ámbito de los medios y la inteligencia estratégica, Selective Pisces (Diamond Sleet) y Sparkling Pisces (Kimsuky) se enfocan en robar secretos y crear un efecto de parálisis. Además de haber paralizado a gigantes del entretenimiento como Sony Pictures en años anteriores, en los últimos años han disfrazado repetidamente a sus miembros como periodistas de medios occidentales y académicos de think tanks, enviando "guiones de entrevistas" o invitaciones a reuniones que contenían troyanos a periodistas, diplomáticos y think tanks de defensa que informan sobre asuntos de Corea del Norte; incluso han registrado en masa cuentas falsas en redes sociales, haciéndose pasar por investigadores de seguridad de primer nivel para "contrarrestar el phishing" a expertos en seguridad de empresas como Google, robando así vulnerabilidades de software (0-day) que aún no se han hecho públicas y las cartas ocultas de las políticas de Corea del Norte de varios países.

Los investigadores clasifican los grupos principalmente según los objetivos de ataque, las características del malware y la infraestructura del servidor, pero cuando diferentes equipos comparten bibliotecas de código o servidores de salto durante las operaciones, distinguir quién llevó a cabo cada acción se convierte en una tarea casi imposible, como cortar tofu.

Pero lo que se puede afirmar con certeza es que "robar dinero" y "robar secretos" ya están altamente entrelazados en esta máquina.

Desde cuentas del banco central hasta billeteras de intercambio

Antes de que los intercambios de criptomonedas se convirtieran en un objetivo principal, los bancos ya habían entrado en la mira de los investigadores.

En febrero de 2016, la computadora del banco central de Bangladesh que se conecta al sistema de mensajería bancaria internacional SWIFT fue hackeada. Documentos judiciales de EE. UU. indican que los atacantes emitieron órdenes de transferencia en nombre del banco central, solicitando al Banco de la Reserva Federal de Nueva York que transfiriera dólares de la cuenta del banco central al extranjero.

Los atacantes intentaron transferir casi mil millones de dólares, de los cuales 81 millones llegaron a cuentas en Filipinas, y luego se movieron a través de bancos, agencias de remesas y casinos; otra suma de 20 millones de dólares fue interceptada por el banco receptor en Sri Lanka. Los investigadores descubrieron que la cuenta receptora en Filipinas había sido abierta con un nombre falso un año antes.

Además de la cuenta receptora, los atacantes también necesitaban entender cómo el banco manejaba las transferencias. Mandiant, tras investigar los ataques de APT38 contra instituciones financieras, descubrió que, después de ingresar a la red de la víctima, recopilan credenciales de cuentas, buscan computadoras que procesan transacciones SWIFT y luego buscan oportunidades para emitir órdenes de transferencia. En los casos observados por la empresa, los atacantes permanecieron en la red de la víctima un promedio de aproximadamente 155 días, siendo el tiempo más largo casi dos años.

Flujo de ataque de APT38 según Mandiant

Años después, los fondos de la industria de las criptomonedas también comenzaron a convertirse en un objetivo. En 2022, el puente cross-chain Ronin utilizado por el juego Axie Infinity fue robado, con pérdidas que superaron los 600 millones de dólares, y el FBI atribuyó el ataque a Lazarus. Dos años después, el intercambio japonés DMM Bitcoin perdió 4502.9 bitcoins, que en ese momento valían aproximadamente 308 millones de dólares. Las agencias de aplicación de la ley de EE. UU. y Japón atribuyeron el caso a TraderTraitor.

Los investigadores reconstruyeron la entrada del caso DMM. En marzo de 2024, un atacante que se hacía pasar por reclutador contactó a un empleado de la empresa de software de billeteras Ginco en LinkedIn, enviando una supuesta prueba de trabajo que contenía código malicioso. Después de obtener acceso, el atacante se hizo pasar por el empleado y, utilizando el sistema de comunicación de la empresa, se cree que alteró una solicitud de transacción normal de DMM.

En febrero de 2025, el intercambio de criptomonedas Bybit se preparaba para transferir una cantidad de Ethereum de una billetera fría a una billetera de uso diario. La billetera fría se utiliza para almacenar activos, y esta transferencia debía realizarse a través de la interfaz del proveedor de billeteras Safe, con la firma conjunta de varios autorizados. La empresa de seguridad encargada de la investigación, Sygnia, luego reconstruyó el proceso de ataque. Ya el 4 de febrero, la computadora de un desarrollador de Safe había mostrado actividad maliciosa; al día siguiente, el atacante utilizó el token de acceso de ese desarrollador para ingresar al entorno en la nube de Safe.

El 19 de febrero, el atacante insertó contenido malicioso en el código llamado por la página web de Safe y estableció condiciones de activación, esperando que la billetera objetivo de Bybit iniciara la operación. Dos días después, el personal autorizado de Bybit procesó la transferencia a través de la interfaz de Safe y vio una solicitud de transferencia interna que parecía normal.

Pero según la revisión de la empresa de seguridad NCC Group, la transacción aprobada por los firmantes contenía una operación maliciosa que invocaba un contrato preestablecido por el atacante, alterando la lógica de control de la billetera fría. Una vez ejecutada la transacción, el atacante pudo transferir los activos de la billetera sin necesidad de obtener nuevamente la firma múltiple original. Aproximadamente 1.5 mil millones de dólares en activos fueron luego extraídos.

Diagrama del proceso de robo de Bybit según Curvegrid

Según la investigación de Sygnia, el código malicioso fue eliminado aproximadamente dos minutos después de que se realizó la transacción. La investigación sugiere que la computadora del desarrollador de Safe pudo haber sido inicialmente comprometida a través de ingeniería social, aunque el método específico de contacto aún no se ha confirmado.

La configuración de firma múltiple de Bybit requería que varios autorizados aprobaran la transacción, lo que originalmente podría haber reducido el riesgo de que una sola cuenta comprometida causara problemas. Después de que el atacante ingresó al entorno en la nube de Safe, alteró la página web que utilizaban conjuntamente estos firmantes, lo que finalmente permitió que la transacción maliciosa fuera aprobada.

Además de infiltrarse en proveedores de software, algunos individuos de Corea del Norte también han sido acusados de utilizar identidades falsas para ingresar a empresas de criptomonedas. En 2025, el Departamento de Justicia de EE. UU. acusó a cuatro ciudadanos norcoreanos de participar en un plan de robo, de los cuales dos fueron empleados como desarrolladores en una empresa de blockchain y en una empresa de tokens virtuales. La fiscalía afirmó que aprovecharon sus oportunidades laborales para robar y transferir más de 900,000 dólares en activos virtuales.

Es importante destacar que el otro extremo del proceso de reclutamiento también puede estar lleno de trampas. Microsoft, tras investigar un grupo de actividades que denomina Sapphire Sleet, descubrió que los atacantes se hacían pasar por reclutadores en plataformas sociales, primero discutiendo oportunidades laborales con el objetivo y luego organizando entrevistas técnicas, pidiendo a la otra parte que instalara software malicioso disfrazado de herramientas de reunión o actualizaciones de herramientas de desarrollo. La prueba de trabajo que recibió el empleado de Ginco en el caso DMM también apareció en un proceso de contacto similar.

Incluso estas tácticas continúan actualizándose. En un informe de octubre de 2026, Microsoft señaló que los atacantes relacionados con Corea del Norte habían comenzado a utilizar IA generativa para investigar objetivos, redactar contenido de contacto y crear identidades falsas. Una invitación que parece estar cuidadosamente preparada para la experiencia de un solicitante puede haber sido el resultado de la recopilación de información sobre su historial laboral y relaciones sociales.

¿A dónde fue el dinero robado?

Después de mover los activos, los atacantes generalmente dividen los fondos en varias nuevas billeteras, algunas direcciones reciben dinero y luego lo transfieren sucesivamente, dejando registros dispersos en la cadena. Luego, los fondos pueden ser cambiados a través de intercambios descentralizados o servicios cross-chain, convirtiéndose en otros tokens o trasladándose a otra cadena de bloques. Cuanto más se convierten, más deben seguir los investigadores rastreando nuevas direcciones y sus contrapartes en las transacciones.

El flujo de fondos después del robo de Bybit proporciona una pista. En febrero de 2025, el Ethereum robado de Bybit comenzó a fluir hacia miles de direcciones. Los atacantes dividieron, convirtieron y luego transfirieron a través de servicios cross-chain. TRM Labs informó que, dentro de 48 horas, al menos 160 millones de dólares habían sido transferidos y entraron en canales de lavado de dinero.

Al rastrear estas transferencias, el investigador en cadena ZachXBT notó a otro grupo de personas. Según su investigación publicada en octubre de 2026, después del ataque a Bybit, aparecieron más de diez cuentas en grupos públicos de Telegram y Discord, buscando manejar órdenes relacionadas con los fondos robados. Uno de los comerciantes que usaba el seudónimo Jimmy Green llamó su atención.

ZachXBT decidió acercarse a él como cliente. El 6 de marzo de 2025, transfirió 349,700 USDC a una nueva dirección, preparándose para realizar varias transacciones con Jimmy. Jimmy proporcionó una dirección de recepción, permitiéndole transferir USDC en la cadena de Ethereum y luego cambiarlo por USDT en la cadena de Tron. ZachXBT rastreó y descubrió que la billetera que pagó las tarifas de transacción para esta dirección de recepción podía rastrearse hasta los fondos robados de Bybit y aparecía en la lista pública de direcciones involucradas en el caso.

Para continuar en contacto con Jimmy, ZachXBT realizó varias transacciones con él, asumiendo una pérdida de aproximadamente el 5% en cada una. Ambos hablaron sobre transacciones, así como sobre mahjong, comida y familia. A medida que aumentaba el contacto, Jimmy comenzó a hablar con esta persona que creía que era un cliente sobre los negocios de su equipo, incluyendo la transferencia de fondos de Bybit para clientes norcoreanos y las operaciones del equipo en Hong Kong y China continental.

ZachXBT afirmó que Jimmy le había informado un día antes que una suma de dinero sería transferida a Solana, y al día siguiente apareció la transferencia correspondiente en la cadena. El 12 de marzo, Jimmy le envió una captura de pantalla de la transacción cross-chain, y ZachXBT encontró el pedido correspondiente en THORChain según el monto y el tiempo. Las tres direcciones de Solana que luego proporcionó ayudaron a rastrear un grupo de fondos robados de Bybit por un valor superior a 12 millones de dólares; según él, Tether posteriormente congeló 442,000 USDT relacionados con este grupo de direcciones.

Jimmy también le afirmó a ZachXBT que su equipo había manejado la mayor parte de los activos robados de Bybit. ZachXBT considera que el patrón de lavado de dinero que observó coincide con esta afirmación. Presentó sus hallazgos a las fuerzas del orden y a investigadores del sector privado involucrados en el caso, y no fue hasta octubre de 2026 que hizo pública esta experiencia.

Después de que ocurriera un incidente de seguridad, Binance anunció que aproximadamente 3 mil millones de dólares en activos relacionados con el evento han sido congelados en la cadena. TRM Labs observó que los atacantes vendieron parte de los activos a través de intercambios descentralizados y creadores de mercado, y también hipotecaron parte de los activos robados en protocolos de préstamos como Aave y JustLend, para obtener otros activos.

Mientras tanto, Binance comenzó a reponer los activos afectados. El 2 de noviembre, la plataforma informó que aproximadamente el 95% de los activos relacionados ya habían sido reabastecidos y publicó pruebas de reservas de algunos de los principales activos. El 3 de noviembre, Binance anunció la restauración de más activos y retiros de la red, mientras que la investigación de seguridad sigue en curso.