02 de noviembre (El País de Madrid).- Lo han vuelto a hacer. El grupo Lazarus, que en realidad es una amalgama de varios equipos de hackers de élite patrocinados extraoficialmente por Corea del Norte, ha perpetrado el mayor robo cibernético de la historia, superando al anterior, que también era suyo. Binance, la mayor plataforma del mundo de intercambio de criptomonedas, denunció este jueves el robo de divisas digitales por valor de 6.300 millones de dólares (unos 5.600 millones de euros). La sospecha apuntó desde un primer momento a Lazarus, que en los últimos años se han convertido en el azote de las criptomonedas. Su modus operandi ha sido similar al de otras ocasiones: han comprometido el equipo de un empleado clave para entrar en los sistemas y robar a placer.

“Esto es, sin duda, obra de Corea del Norte”, ha dicho Nick Carlsen, analista de TRM Labs, a The Wall Street Journal. Las autoridades de Pyongyang han negado en anteriores ocasiones tener nada que ver con el hackeo de portales de intercambios de criptomonedas, según destaca Axios. La propia naturaleza de la arena cibernética, en la que es fácil actuar sin dejar apenas rastro, hace que sea prácticamente imposible demostrar la autoría de los ciberataques. Los equipos de hackers, además, trabajan de forma extraoficial: no llevan uniforme, como los soldados, y probablemente ni siquiera estén físicamente en suelo norcoreano.

¿Cómo han logrado dar este golpe? ¿Por qué atacan a las criptomonedas? ¿Qué tienen de especial los hackers norcoreanos? Estas son algunas de las claves del que ya es el mayor robo cibernético de la historia.

Lo que se sabe del golpe

Es temprano para conocer los detalles del ciberataque: los análisis forenses suelen llevar semanas, meses o incluso años. A pesar de ello, ya se conocen algunos. Las investigaciones preliminares dicen que los hackers comprometieron el ordenador portátil de un ingeniero de Binance. A partir de ahí, los atacantes usaron las credenciales de ese empleado para entrar en los sistemas de la plataforma de intercambio de criptodivisas y retirar fondos sin que nadie se diera cuenta, según informó la propia compañía.

Puede parecer simple, pero lograrlo es extremadamente complicado. Se desconoce todavía cómo lo hicieron, pero los hackers de Lazarus ya consiguieron algo parecido en abril del año pasado, cuando robaron 1.500 millones de dólares al portal de intercambio de criptomonedas Bybit. En esa ocasión, lograron interceptar los movimientos de divisas de su CEO entrando antes en el ordenador de uno de los desarrolladores de software de una tercera empresa, la proveedora de billeteras digitales. Le instalaron un código malicioso (un programa para controlar el ordenador) que permaneció oculto hasta que se produjeron los movimientos de dinero. Fue entonces cuando desviaron las transacciones a billeteras de Lazarus y borraron todo rastro en menos de dos minutos. Hervé Lambert, director de operaciones globales de Panda Security, lo calificó como “un malware de precisión quirúrgica” ejecutado como parte de un golpe “de un nivel de sofisticación extremadamente alto”.

Expertos en criptomonedas

Hay varios motivos por lo que resulta más atractivo robar criptomonedas que dinero de curso legal. El principal tiene que ver con la propia naturaleza de las criptomonedas: su conversión a dólares o euros es difícil de rastrear. Ofrecen anonimato y liquidez rápida, lo que las hace tan atractivas para las actividades ilícitas.

Lazarus se ha especializado últimamente en el robo de criptomonedas. El golpe a Binance (6.300 millones de dólares) supera su anterior récord, los 1.500 millones de dólares sustraídos a Bybit. Antes de Bybit, el mayor robo cibernético del que se tenía constancia, de 2022, también era suyo: 625 millones de dólares en ethers sustraídos a una web relacionada con el videojuego Axie Infinity. En 2024, robaron criptos por valor de 1.340 millones de dólares en 47 incidentes, según un informe de Chainalysis. En 2023, fueron 660 millones obtenidos a través de 20 acciones distintas.

Para poner en contexto los 6.300 millones robados a Binance de una sola vez (aunque según Axios podrían haber logrado retener 3.000 millones impidiendo su conversión a moneda de curso legal), el PIB de Corea del Norte es de unos 17.000 millones de dólares, según el servicio de estadística de la ONU.

Robar para el Amado y Respetado Líder

Y esa es precisamente una de las claves que explican la extremada sofisticación de los hackers norcoreanos. El país asiático tiene un peso prácticamente irrelevante en la economía mundial. El régimen está asfixiado por las sanciones internacionales, que afectan a su principal industria, la exportación de armas.

Hace años que Kim Jong-un, conocido en su país como el Amado y Respetado Líder, encontró una solución para salir de ese agujero: conseguir dinero a través del cibercrimen. Desde que en 2009 supo ver el potencial de la esfera digital tanto para espiar y sabotear a sus enemigos (EE UU y Corea del Sur) como para ganar un dinero que no puede conseguir a través del comercio.

“El régimen norcoreano potencia activamente a los hackers de élite para incorporarlos a la Oficina 121”, escribe la australiana Anna Fifield en su libro El gran sucesor (Capitán Swing, 2021), en el que hace una radiografía de la hermética vida y carrera del nieto de Kim Il-sung. “Los estudiantes que muestran posibles aptitudes en este sentido, algunos de tan solo 11 años, son enviados a escuelas especiales y luego a la Universidad de Automatización de Pyongyang”, donde “a lo largo de cinco años se les enseña a hackear sistemas y a crear virus informáticos”.

Lazarus es una rareza en el mundo de las amenazas persistentes avanzadas (APT en sus siglas inglesas), término con el que se conoce a los grupos organizados de hackers con mayores capacidades. Estos equipos, dirigidos y patrocinados extraoficialmente por gobiernos, están muy bien estructurados y jerarquizados —cuentan con departamentos y profesionales con roles muy definidos— y disponen de recursos económicos, lo que les permite elaborar ataques complejos, coordinados y veloces. Sobre el papel, solo los servicios secretos de las grandes potencias (EE UU, Rusia o Reino Unido) tienen más poder que las APT.

Alta tecnología para robar y sabotear

El esfuerzo del régimen ha dado sus frutos. Corea del Norte cuenta a día de hoy con equipos de hackers altamente especializados y que recurren a la última tecnología. Recientemente se ha sabido que incluso recurren a encriptación poscuántica, teóricamente resistente a los ordenadores cuánticos (que supuestamente revolucionarán la informática en las próximas décadas), para cubrirse las espaldas. La inteligencia artificial (IA) y los deepfakes forman parte también de su arsenal.

Además de robar, el entramado de Lazarus también realiza acciones de sabotaje, en la línea de las APT de otros países. EEUU y Reino Unido, así como Microsoft, les atribuyen el lanzamiento en 2017 de WannaCry 2.0, el mayor ransomware de la historia. Esta modalidad de virus informático secuestra los equipos infectados y los libera tras el pago de un rescate. Se calcula que WannaCry afectó a unos 300.000 ordenadores de 150 países, incluyendo los del sistema de salud de Reino Unido, que quedó paralizado.

Los grupos de hackers de Corea del Norte fueron especialmente activos durante los meses de 2020 en los que las grandes farmacéuticas trabajaban frenéticamente para desarrollar una vacuna contra la covid.

Trataron de entrar en los ordenadores de trabajadores de AstraZeneca, que junto con la Universidad de Oxford estaban en pleno desarrollo de uno de los remedios. Más tarde intentaron robar información de Pfizer, otro de los laboratorios volcados en la vacuna. Curiosamente, Corea del Norte es de los pocos países del mundo en los que la pandemia se mantuvo a raya (hasta hace unas semanas), por lo que sus intenciones podrían haber sido simplemente torpedear el proceso o vender secretos industriales.

//