Corea del Norte, a pesar de su aislamiento, se ha consolidado como una potencia en el cibercrimen, utilizando sofisticados ataques para financiar su programa de armas y el régimen. Recientes incidentes, como el robo masivo a Binance, han puesto de manifiesto la creciente capacidad y especialización de sus grupos de ciberdelincuentes, quienes emplean tecnologías avanzadas para evadir la detección y blanquear los fondos sustraídos. Estos actos no solo representan pérdidas económicas significativas, sino que también revelan la audacia y la estrategia detrás de las operaciones de Pyongyang en el ciberespacio.
Corea del Norte es uno de los países más aislados y herméticos del planeta. Su comercio exterior es limitado, arrastra sanciones desde hace años y la información sobre lo que ocurre dentro de sus fronteras es escasa. A pesar de esto, se ha revelado como una auténtica superpotencia en el cibercrimen. Aunque aún no hay confirmación oficial, varios indicios sugieren que Pyongyang podría estar detrás del incidente de ciberseguridad que provocó la desaparición de unos 6.360 millones de dólares de las carteras de Binance. No es el primer ataque de este tipo atribuido a grupos de ciberdelincuentes altamente especializados que operan bajo las órdenes de Corea del Norte.
El impacto total del golpe a Binance se calcula en unos 6.300 millones de dólares, y podría haber sido mayor si no se hubiera logrado congelar la mitad. Tether bloqueó aproximadamente 1.600 millones y Circle más de 800 millones en USDC. Esta cifra cuadruplica el récord anterior en el robo de criptomonedas, el de Bybit en 2025, donde se esfumaron unos 1.500 millones de dólares en criptodivisas.
La firma de ciberseguridad TRM Labs tiene una "alta confianza" en que el autor del robo es TraderTraitor, un grupo vinculado a la red de ciberdelincuentes Lazarus. Según TRM Labs, "varias características de este ataque coinciden con robos anteriores vinculados a Corea del Norte". Otros investigadores apuntan en la misma dirección, aunque se recomienda cautela ya que la atribución es preliminar y el FBI no se ha pronunciado oficialmente.
El precedente más reciente es Bybit. En febrero de 2025, 1.500 millones de dólares en Ether desaparecieron, y el FBI lo atribuyó a Corea del Norte días después. Los ladrones distribuyeron parte del botín entre miles de direcciones de varias cadenas de bloques para blanquearlo. Los investigadores han vinculado el ataque de Bybit con el de Binance porque algunas de las direcciones utilizadas en este último golpe también se usaron en el de 2025. Chainalysis calculó que los hackers vinculados al régimen habían robado unos 2.020 millones de dólares en criptodivisas solo en 2025, un 51% más que el año anterior y el mayor total registrado. El acumulado histórico alcanzaba los 6.750 millones de dólares. Washington ya acusó en 2021 a tres programadores militares de robar 1.300 millones.
Kaspersky documentó en una investigación la Operación FlashHole, activa desde al menos julio de 2025 y dirigida a empresas surcoreanas de software, construcción y telecomunicaciones. Los atacantes usaron un currículum falso con una foto probablemente creada con IA, una artimaña sencilla que sirve como señuelo para ataques de phishing. Sin embargo, la novedad es una herramienta de Lazarus que protege la descarga de nuevos programas con ML-KEM-1024, un algoritmo poscuántico. Sojun Ryu, investigador de Kaspersky, dijo a El País que esta tecnología "se considera la criptografía del futuro, está diseñada para seguir siendo segura contra computadoras cuánticas". ML-KEM es uno de los tres estándares que NIST finalizó en agosto de 2024. Ningún ordenador cuántico conocido rompe aún el cifrado actual, por lo que Lazarus se cubre de un riesgo futuro. Para Ryu, esto revela que los ciberdelincuentes al servicio de Pyongyang tienen un nivel de conocimientos y especialización muy avanzado, y utilizan las tecnologías más vanguardistas para "que sus cargas maliciosas no queden expuestas ante defensores o investigadores".
La directora de Inteligencia Nacional de EE. UU., Tulsi Gabbard, declaró ante el Congreso que esos robos ayudan a financiar el régimen de Kim Jong-un y su programa de armas estratégicas. Un informe de la ONU de 2024 calculó que el robo de criptomonedas podía aportar hasta la mitad de las divisas que recibe el país. Sin embargo, Corea del Norte cuenta con otra fuente de ingresos de divisas mucho más discreta: el teletrabajo. Informáticos norcoreanos consiguen empleo remoto con identidades robadas y usan portátiles de la empresa alojados en casas de cómplices en EE. UU., las llamadas "granjas de portátiles". El Departamento de Justicia detalló un esquema que afectó a más de 70 empresas y generó unos 3 millones de dólares. En Texas, el FBI registró más de 40 viviendas y se incautó de unos 187 dispositivos.
