727 FinanceDesde el robo de 6.300 millones de dólares a Binance hasta grandes atracos en la industria de las criptomonedas como Bybit y Ronin, el grupo de hackers norcoreano TraderTraitor ha salido gradualmente a la luz. ¿Cómo ha utilizado esta red de hackers, designada por el gobierno de Estados Unidos, el reclutamiento falso, los ataques a la cadena de suministro y el secuestro de firmas para sustraer casi 10.000 millones de dólares en activos cripto?
Autor: BlockBeats
El 1 de noviembre, la Oficina Federal de Investigaciones de EE. UU. emitió un aviso que atribuye los 6.300 millones de dólares robados a Binance el 29 de octubre a Corea del Norte. El aviso utilizó un término: TraderTraitor.
Si se busca este nombre, se descubrirá que los 1.500 millones de dólares de Bybit, los 300 millones de dólares de Bitget y varios casos importantes de criptomonedas de años anteriores están todos vinculados a este nombre.
TraderTraitor no es una empresa ni una casilla en un organigrama. Es un nombre en clave que el gobierno de EE. UU. ha asignado a una categoría de comportamiento.
En abril de 2022, el FBI, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) y el Departamento del Tesoro de EE. UU. emitieron conjuntamente un aviso numerado AA22-108A. Esa fue la primera aparición formal del término. En aquel momento, se refería a varios troyanos disfrazados de software de trading de criptomonedas, como DAFOM, TokenAIS y CryptAIS, cuyas interfaces parecían convincentes y que comenzaban a robar claves privadas una vez instalados.
Quienes están detrás de esto han sido llamados durante mucho tiempo en la industria Lazarus Group, APT38, BlueNoroff y Stardust Chollima. No son cuatro equipos separados. Lazarus es el nombre paraguas; APT38 (Mandiant), BlueNoroff (Kaspersky) y Stardust Chollima (CrowdStrike) son tres nombres dados por diferentes empresas de seguridad a la misma línea de obtención de ingresos.
Dos años después, la etiqueta se adjuntó a conductas específicas. El 23 de diciembre de 2024, el FBI, el Centro de Delitos Cibernéticos del Departamento de Defensa de EE. UU. y la Agencia Nacional de Policía de Japón publicaron conjuntamente una atribución del caso de robo de 300 millones de dólares a DMM, utilizando por primera vez la expresión "actores cibernéticos norcoreanos rastreados como TraderTraitor" y enumerando sus tres alias: Jade Sleet (nombre de Microsoft), UNC4899 (nombre de Google) y Slow Pisces (nombre de Palo Alto).
La información ahora es relativamente clara: TraderTraitor es la unidad dentro del grupo Lazarus más amplio que se especializa en activos cripto y actualmente es la más lucrativa. Al menos desde 2020, se ha centrado exclusivamente en la blockchain: plataformas de trading, DeFi, proveedores de servicios de billetera, fondos cripto y personas que poseen grandes cantidades de monedas.
De robar bancos a robar plataformas de trading
Lazarus es un nombre paraguas que lo abarca todo, desde borrar los discos duros de Sony Pictures en 2014 hasta sacar dinero del Banco de Bangladés en 2016.
Tomemos el caso del Banco de Bangladés. La unidad que lo llevó a cabo se llamaba entonces APT38, también conocida como BlueNoroff. En febrero de 2016, falsificaron instrucciones SWIFT (el sistema internacional de mensajería utilizado para transferencias interbancarias) e intentaron transferir 1.000 millones de dólares de la cuenta del Banco de Bangladés en la Reserva Federal de Nueva York. Finalmente obtuvieron 81 millones de dólares, porque un error ortográfico en una transferencia hizo que un banco intermediario la detuviera.
El oficio de estudiar los procedimientos operativos de los bancos, encontrar brechas en la revisión manual y falsificar instrucciones se trasplantó posteriormente sin cambios a las plataformas de trading de criptomonedas.Hacia 2020. Comenzaron a perfeccionar sus métodos, con el mundo cripto como objetivo. La razón es fácil de adivinar: hay dinero y no hay regulación, y la liquidez es decente.
Hay varias modalidades de ataque.
La primera es el reclutamiento falso. Un cazatalentos te contacta en LinkedIn, mantiene una conversación agradable y, al final, te envía una "prueba de programación previa al empleo" o un instalador de una "herramienta interna". Una vez instalado, la máquina es suya. Los 620 millones de dólares de Ronin se perdieron así.
La segunda es la cadena de suministro. En lugar de engañar a las personas, pasan a contaminar las cadenas de herramientas de los desarrolladores: repositorios maliciosos en GitHub, paquetes envenenados en npm, proveedores de servicios de identidad como JumpCloud. Una persona queda comprometida y una cadena de empresas downstream queda comprometida también.
La tercera es alterar directamente las transacciones. En el caso de DMM japonés, robaron las credenciales de acceso de la otra parte, se infiltraron en las comunicaciones internas de la empresa de wallets Ginco y luego alteraron una transferencia que debería haber sido normal. En el caso de Bybit, hackearon la computadora de un desarrollador de Safe{Wallet} e insertaron un script en el front end web; los firmantes seguían viendo una página normal, pero lo que firmaban era otra transacción.
Esto también incluye el caso de Binance esta vez.
Los atacantes se prepararon con 36 horas de antelación, firmaron 50 autorizaciones EIP-7702 —una nueva función de Ethereum que permite a una wallet "alquilar" temporalmente un programa para su uso— y luego hicieron que la hot wallet de Binance transfiriera el dinero por sí misma; 40 minutos, a través de 10 redes. La conclusión de una firma de seguridad es que muy probablemente ya habían llegado al sistema de firma de Binance.
El monto involucrado en los casos de esta organización
Los doce casos más famosos: 9.700 millones de dólares.
Solo Binance representa 6.300 millones. Los once casos restantes, de 2022 a 2026, suman 3.440 millones.
Los 1.500 millones de Bybit fueron el front end alterado; los 620 millones de Ronin fueron la estafa de reclutamiento; los 388 millones de Bitget fueron instrucciones de retiro falsificadas escritas en el sistema de la wallet.
DMM 308 millones, WazirX 235 millones, Harmony y Atomic 100 millones cada uno, Alphapo 60 millones, CoinEx 55 millones, Stake 41 millones, CoinsPaid 37 millones.
En el gráfico, solo los casos de Binance, Bybit y DMM fueron nombrados directamente por el gobierno de Estados Unidos como TraderTraitor. Ronin, Harmony, Stake, Alphapo, CoinsPaid y Atomic fueron atribuidos por el FBI a Lazarus/APT38; WazirX fue nombrado en una declaración conjunta de Estados Unidos, Japón y Corea del Sur en enero de 2025; CoinEx solo fue inferido por firmas de análisis on-chain. El caso de Bitget es sospechado por múltiples firmas de estar relacionado con TraderTraitor, pero ninguna lo ha atribuido formalmente.
Según estadísticas de TRM, Corea del Norte ha llevado a cabo 100 casos desde 2017, por un total de aproximadamente 12.800 millones de dólares; 7.400 millones en lo que va de este año; el 85% del total global de robos de criptoactivos en 2026 se atribuye a Corea del Norte. Esta tabla cubre solo doce de ellos.Las personas cuyos rostros pueden ser identificados
Hay más de un hacker norcoreano señalado por funcionarios estadounidenses para quien también se han publicado fotos. Park Jin Hyok, Jon Chang Hyok y Kim Il aparecieron en la acusación formal de febrero de 2021; en 2024 se añadió a Rim Jong Hyok, con una recompensa de 10 millones de dólares.
Park Jin Hyok (Park Jin Hyok), buscado por el FBI
Park Jin Hyok fue uno de los primeros en ser acusado: en junio de 2018, el Departamento de Justicia de EE. UU. presentó cargos penales contra él, y la acusación se hizo pública en septiembre del mismo año. La acusación indicaba que la conspiración en la que participó incluía el ataque a Sony Pictures en 2014, el ataque WannaCry en 2017 y los 81 millones de dólares transferidos del Banco de Bangladés en 2016. Sigue prófugo y nunca ha comparecido ante el tribunal.
Seguimiento del robo de Binance
Binance ha cubierto aproximadamente el 90% con fondos de la empresa, el fondo SAFU y el fondo de seguros de futuros; el 10% restante son tokens ilíquidos; toda la pérdida la asume la empresa, no los usuarios.
Hasta el 1 de noviembre, alrededor de 2.700 millones de dólares, o aproximadamente el 42%, habían sido congelados por los emisores de stablecoins y el Consejo de Seguridad de Arbitrum. Los atacantes aún poseen 420.000 ETH y 18.270 BTC, unos 2.400 millones de dólares.
La ruta de blanqueo de dinero sigue siendo la práctica habitual: puentes entre cadenas para cambiar de cadena, servicios como THORChain para intercambiar monedas, mezcladores para mezclar y dispersar las monedas de muchas personas juntas, y finalmente el comercio extrabursátil.
Esta vez hubo algunos contratiempos. THORChain retrasó accidentalmente hace poco el blanqueo de los fondos robados en el ataque a Binance debido a una reorganización de la cadena de Ethereum. Esta reorganización de la cadena provocó que THORChain emitiera por error reembolsos duplicados a un usuario que depositó 10 ETH, lo que a su vez desencadenó una pausa de emergencia del protocolo, impidiendo temporalmente a todos los usuarios realizar intercambios entre cadenas, incluidos los blanqueadores del grupo de hackers norcoreano.
La última vez, los fondos robados de Bitget pasaron por THORChain, y THORChain no los congeló en absoluto, diciendo que la descentralización significa que no pueden congelarlos, pero eso no es lo que dijeron cuando ellos mismos fueron hackeados la última vez. Cuando THORChain reanude el servicio, si los fondos robados del robo de Binance de esta vez siguen pasando por THORChain, no está claro con qué excusa saldrán a engañar a la gente.