Bybit demanda a Corea del Norte y al Grupo Lazarus por el mayor robo de criptomonedas de la historia

En el mayor robo de criptomonedas de la historia, el Grupo Lazarus de Corea del Norte —confirmado oficialmente por el FBI como el autor— sustrajo aproximadamente $1,500 millones de Bybit el 21 de febrero de 2025 . Dieciocho meses después, Bybit dio un paso legal sin precedentes: presentó una demanda civil contra el propio Estado soberano de Corea del Norte.

La acción legal de Bybit y sus primeros resultados

El 7 de agosto de 2026, Bybit, el segundo exchange de criptomonedas más grande del mundo por volumen de operaciones, presentó una demanda civil en el Tribunal de Distrito de EE.UU. para el Distrito de Columbia contra la República Popular Democrática de Corea (RPDC), su agencia de inteligencia Buró General de Reconocimiento (RGB) y el Grupo Lazarus .

La demanda se presentó inicialmente bajo secreto de sumario el 18 de junio de 2026 y se hizo pública a principios de agosto de 2026 . El tribunal ya había actuado: el 19 de junio de 2026, un juez federal concedió la solicitud de Bybit para un descubrimiento acelerado, lo que le da al exchange una vía práctica para identificar a los presuntos intermediarios y rastrear los fondos robados a través de la cadena de bloques . El mismo juez emitió una orden judicial preliminar que congela ciertos activos robados en manos de individuos y entidades no identificados, enumerados como acusados "John Doe", prohibiéndoles transferir o disipar los activos mientras el caso continúa .

Bybit declaró que está ampliando la colaboración con las fuerzas del orden y socios de la industria para fortalecer la rendición de cuentas por los delitos cibernéticos relacionados con criptomonedas . La orden de congelación de activos civiles y el descubrimiento acelerado apoyan directamente la capacidad de las autoridades para rastrear y, eventualmente, recuperar los fondos robados que aún se mueven a través del ecosistema cripto.

Cómo se relaciona esto con las investigaciones penales

La demanda civil de Bybit corre en paralelo a las investigaciones penales en curso lideradas por el FBI. El FBI atribuyó públicamente el hackeo de Bybit a Corea del Norte el 26 de febrero de 2025, nombrando la actividad maliciosa cibernética específica como "TraderTraitor" (también rastreada como APT38) . Bybit ha confirmado que el caso civil permanece separado de las investigaciones penales en curso en EE.UU. .

Este enfoque de doble vía —recuperación civil de activos y enjuiciamiento penal— es una estrategia estándar en los grandes delitos financieros, permitiendo a Bybit buscar congelaciones inmediatas de activos mientras las autoridades construyen su caso penal.

La escala del robo de criptomonedas de Corea del Norte

El hackeo de Bybit es el incidente más grande en un patrón mucho más amplio. Según la firma de inteligencia de cadena de bloques Chainalysis, los hackers norcoreanos robaron al menos $2,020 millones en criptomonedas en 2025, un aumento interanual del 51% que elevó el total acumulado de robos de criptomonedas de la RPDC a $6,750 millones . A nivel mundial, el robo total de criptomonedas alcanzó los $3,400 millones en 2025 .

Los robos continuaron en 2026. Solo en la primera mitad del año, los hackers vinculados a Corea del Norte robaron aproximadamente $643 millones, lo que representa aproximadamente dos tercios de todos los fondos cripto robados en todo el mundo . En abril de 2026, dos robos ejecutados con precisión en plataformas de finanzas descentralizadas —una brecha de $285 millones en Drift Protocol y un exploit de $292 millones en Kelp DAO— representaron conjuntamente el 76% de todas las pérdidas por hackeos cripto rastreadas hasta ese mes .

Métodos utilizados por los hackers norcoreanos

Los grupos de hackers norcoreanos han desarrollado un conjunto de herramientas sofisticadas. El hackeo de Bybit en sí mismo implicó la manipulación de una interfaz de firma multifirma durante una transferencia rutinaria de Ethereum desde la billetera fría de Bybit a una billetera cálida, engañando a los firmantes para que aprobaran un contrato malicioso que vació la billetera .

Otros métodos incluyen:

• Ingeniería social: BlueNoroff, una subunidad motivada financieramente del Grupo Lazarus identificada por primera vez en 2014 FF, utiliza llamadas falsas de Zoom y Microsoft Teams con enlaces de reuniones con errores tipográficos (typosquatting), reconocimiento profundo y cuentas de Telegram secuestradas para engañar a ejecutivos de criptomonedas para que instalen malware F.
• Huella digital de billeteras: El kit de phishing de BlueNoroff escanea las máquinas de las víctimas en busca de billeteras de criptomonedas antes de lanzar un ataque, asegurando que solo los objetivos de alto valor continúen F.
• Ataques a la cadena de suministro: En julio de 2026, Amazon Threat Intelligence vinculó a actores norcoreanos con compromisos de bibliotecas de software de código abierto populares (paquetes de Node Package Manager) utilizados para inyectar puertas traseras .

Amenazas continuas de BlueNoroff

Hasta agosto de 2026, BlueNoroff sigue siendo altamente activo. Los investigadores describen esta plataforma de phishing impulsada por operadores como que despliega video deepfake de IA y malware de escaneo de billeteras con una puntuación de gravedad CVSS de 9.5 (crítica) F. El grupo continúa atacando a ejecutivos de Web3, exchanges de criptomonedas y plataformas DeFi a través de campañas de ingeniería social cada vez más sofisticadas . Durante cinco meses a partir de finales de 2025, se registraron más de 80 dominios falsos para estos ataques, y se combinaron videos robados con imágenes generadas por IA para mejorar la credibilidad . La investigación de Arctic Wolf identificó más de 100 víctimas en más de 20 países, incluido el 41% en Estados Unidos F.

Estas campañas en curso subrayan por qué la demanda civil de Bybit, la investigación criminal del FBI y la colaboración en toda la industria son importantes: la misma infraestructura patrocinada por el Estado que robó $1,500 millones de Bybit está atacando activamente a la próxima víctima en este momento.