Diario de la Innovación

ciberseguridad

Corea del Norte consolida su ciberpotencia: del robo récord a Binance al cifrado poscuántico para borrar su rastro

Fotografía que ilustra la noticia: Corea del Norte consolida su ciberpotencia: del robo récord a Binance al cifrado poscuántico para borrar su rastro
(xataka.com)

El incidente que esta madrugada vació unos 6.300 millones de dólares en criptomonedas de las carteras de Binance ha destapado lo que los investigadores de seguridad llevaban tiempo advirtiendo: Corea del Norte ha dejado de ser un actor marginal para convertirse en una superpotencia del ciberataque, con una sofisticación técnica y una capacidad operativa que ahora emplea también algoritmos de cifrado poscuántico. Los indicios apuntan a Lazarus, el grupo de ciberdelincuentes ligado al régimen, aunque la atribución sigue siendo preliminar y el FBI no se ha pronunciado.

Por

Un golpe récord con la firma de Pyongyang

El impacto total del ataque a Binance se calcula cercano a los 6.300 millones de dólares, aunque podría haber sido mayor: la mitad del botín quedó congelada porque Tether bloqueó unos 1.600 millones y Circle más de 800 millones en USDC. La cifra cuadruplica el anterior récord en robo de criptomonedas, los 1.500 millones de dólares en Ether que desaparecieron de Bybit en febrero de 2025.

La firma de análisis TRM Labs asegura tener "alta confianza" en que el autor es TraderTraitor, un grupo vinculado a la red Lazarus. Según la compañía, "varias características de este ataque coinciden con robos anteriores vinculados a Corea del Norte", aunque otros investigadores prefieren ser cautos: la atribución es preliminar y el FBI aún no se ha pronunciado oficialmente.

El vínculo con Bybit no es solo de método. Los investigadores han encontrado direcciones de carteras utilizadas en el ataque de 2025 que han reaparecido en este último golpe, un patrón que refuerza la hipótesis de que el mismo colectivo está detrás de ambos. El FBI atribuyó oficialmente el robo de Bybit a Corea del Norte días después de que ocurriera, y los atacantes blanquearon parte del botín repartiéndolo entre miles de direcciones de varias cadenas de bloques.

Cifrado poscuántico: la nueva frontera de Lazarus

Más allá del robo en Binance, Kaspersky documentó en una investigación la denominada Operación FlashHole, activa desde al menos julio de 2025 y dirigida a empresas surcoreanas de software, construcción y telecomunicaciones. El señuelo es sencillo: un currículum falso con una foto probablemente creada con inteligencia artificial para lanzar ataques de phishing.

La novedad está en la herramienta que los atacantes usan para proteger la descarga de nuevos programas: ML-KEM-1024, un algoritmo de cifrado poscuántico. Sojun Ryu, investigador de Kaspersky, explicó que esta tecnología "se considera la criptografía del futuro, está diseñada para seguir siendo segura contra computadoras cuánticas". ML-KEM es uno de los tres estándares que el NIST finalizó en agosto de 2024.

Ningún ordenador cuántico conocido es capaz aún de romper el cifrado actual, así que el uso de esta herramienta anticipa un riesgo futuro. Para Ryu, el detalle revela el nivel de conocimientos y especialización de los ciberdelincuentes a sueldo de Pyongyang, que emplean "las tecnologías más vanguardistas para que sus cargas maliciosas no queden expuestas ante defensores o investigadores".

Un modelo de autofinanciación que madura

El robo de criptomonedas se ha convertido en una fuente de divisas clave para el régimen. La directora de Inteligencia Nacional de EE UU, Tulsi Gabbard, declaró ante el Congreso que esos robos ayudan a financiar a Kim Jong-un y a su programa de armas estratégicas. Un informe de la ONU de 2024 calculó que el robo de criptomonedas podía aportar hasta la mitad de las divisas que recibe el país.

Chainalysis calculó que los hackers vinculados al régimen habían robado unos 2.020 millones de dólares en criptodivisas solo en 2025, un 51% más que el año anterior y el mayor total registrado. El acumulado histórico llegaba a los 6.750 millones de dólares. Washington ya acusó en 2021 a tres programadores militares de robar 1.300 millones.

Más allá del ciberrobo, Pyongyang mantiene otra vía de ingresos discreta: el teletrabajo. Informáticos norcoreanos consiguen empleo remoto con identidades robadas y usan portátiles de la empresa alojados en casas de cómplices en EE UU, las llamadas "granjas de portátiles". El Departamento de Justicia detalló un esquema que afectó a más de 70 empresas y generó unos 3 millones de dólares. En Texas, el FBI registró más de 40 viviendas y se incautó de unos 187 dispositivos.