BitOK: los robos de criptomonedas vinculados a Corea del Norte alcanzaron los 7.610 millones de dólares en 2026

Un cambio reportado: de explotar vulnerabilidades en el código a comprometer sistemas de firma

La empresa de inteligencia blockchain BitOK estima que hackers norcoreanos robaron 7.610 millones de dólares en criptomonedas en 38 incidentes entre enero y octubre de 2026. El informe identifica seis ataques importantes y afirma que se basaron en tomar el control de las personas o los sistemas que autorizan los retiros, en lugar de explotar vulnerabilidades en el código. Esta distinción es importante para las revisiones de seguridad: la vía de ataque reportada comenzó fuera de la lógica de los contratos inteligentes que suelen examinar las auditorías de código.

BitOK afirma que se congelaron o confiscaron 2.860 millones de dólares, lo que dejó 4.750 millones fuera de alcance. Binance representa 6.410 millones de dólares del total reportado, mientras que 32 robos de menor cuantía dirigidos a particulares y empresas suman 178,4 millones de dólares. Estas cifras describen un conjunto de pérdidas muy concentrado, en el que un solo exchange representa la mayor parte del valor reportado. También muestran que la recuperación mediante intervenciones no avanzó al mismo ritmo que los robos.

Las cifras abarcan un período definido, de enero a octubre de 2026, y son estimaciones atribuidas a BitOK. La conclusión central del informe no es que la seguridad del código haya dejado de ser relevante, sino que las revisiones del código por sí solas no evitaron los seis incidentes más importantes. En cada uno, los retiros llevaban firmas válidas o superaban los controles habituales. La fuente no especifica cómo calculó BitOK su estimación total, por lo que las sumas reportadas deben entenderse como la evaluación de la empresa.

Cómo obtuvieron autorización los atacantes

En el caso de Binance, BitOK identifica la computadora portátil de un ingeniero de DevOps y un contenedor del servicio de firma como puntos de entrada de los atacantes. Esa explicación coincide con conclusiones anteriores sobre el incidente de octubre que cita la fuente. Por lo tanto, el informe sitúa la vulneración en las herramientas y los accesos utilizados para autorizar retiros, no en una falla identificada en el código de retiro. La fuente no detalla la secuencia completa mediante la cual se vulneraron la computadora portátil o el contenedor.

Otros casos importantes involucraron sistemas distintos: firmantes de multifirma en Drift, una plataforma de trading basada en Solana; un único verificador de puente en KelpDAO; y el sistema de billeteras de Bitget. Estos ejemplos abarcan la infraestructura de trading, puentes y exchanges, pero BitOK describe un resultado común: se obtuvo una autorización válida o se cumplieron los controles habituales. La preocupación práctica de seguridad que plantea el informe es que proteger el código de cada aplicación quizá no sea suficiente si se puede tomar el control del proceso de firma.

Según BitOK, antes de cada robo los responsables probaron la ruta exacta con cantidades pequeñas. En el caso de Binance, el contrato del ataque estuvo activo públicamente cuatro horas antes del robo. Ese detalle sugiere que la operación incluyó una fase de prueba visible en la cadena antes de la transferencia de gran cuantía. No demuestra qué medidas de monitoreo había ni si la prueba podría haberse reconocido en ese momento, pero muestra por qué las pequeñas transacciones preliminares pueden ser relevantes para una investigación.

La carrera por mover fondos y los límites de las congelaciones

La muestra de BitOK, compuesta por 540 transacciones, también muestra un horario que se parecía más a una jornada laboral que a una actividad continua: el 48 % tuvo lugar entre las 16:00 y las 21:00, hora de Pyongyang, y el informe no registró actividad durante los días festivos de Corea del Norte. El sábado, el domingo y el lunes representaron en conjunto solo el 10 % de las transacciones. Estos patrones pueden ayudar a describir el comportamiento de los operadores, aunque la fuente no afirma que el horario por sí solo permita identificar quién inició una transferencia concreta.

Una vez que comenzaba un ataque, el patrón cambiaba. El informe señala que los scripts tomaban el control y que los movimientos de fondos continuaban las 24 horas. Ese contraste entre un horario de actividad comparativamente regular y un movimiento automatizado y continuo tras un incidente es relevante para los investigadores que rastrean transacciones. También significa que una vulneración inicial puede dar paso rápidamente a una actividad que no está sujeta al mismo patrón aparente de horario laboral. BitOK no identifica las herramientas de automatización específicas que se utilizaron.

La velocidad es fundamental para determinar si se pueden congelar los fondos, afirma BitOK. A los pocos minutos del robo, los operadores cambiaron las stablecoins por ETH o pidieron ETH prestado usando como garantía el colateral robado; el informe señala que ningún emisor puede congelar el ETH. Tras el exploit del puente de rsETH de abril, 52.440 ETH salieron de protocolos de préstamo en poco más de ocho minutos. Esto deja un margen muy estrecho para intervenir sobre los activos cuyo emisor todavía puede congelarlos.

Un pequeño rastro de transacciones conecta ataques distintos

A continuación, el proceso de blanqueo podía detenerse antes de que los fondos volvieran a moverse. Tras el incidente de rsETH, según se informa, los activos permanecieron inactivos entre 2,5 y 5 días antes de que los scripts los encaminaran a través de THORChain, un protocolo de intercambio entre cadenas. BitOK también contabilizó 2.257 intercambios vinculados a Binance por un valor de 55,8 millones de dólares, con costos totales del 0,50 %. Las cifras indican que, en esta muestra, mover fondos mediante intercambios era relativamente barato; no establecen el costo del blanqueo en todos los ataques.

La diferencia en las tasas de recuperación ilustra los límites de las congelaciones. BitOK afirma que se congeló o incautó el 43 % de los fondos robados a Binance, frente al 6 % del total combinado de todos los demás ataques importantes. Incluso en el caso de Binance, el momento fue decisivo: Tether recibió la primera solicitud de congelación 34 minutos después del retiro; para entonces, 345 millones de USDT ya habían salido de la dirección original. El informe señala que las congelaciones solo funcionaron con las stablecoins que todavía no se habían movido.

Un error al limpiar proporcionó otra pista para la investigación. Tras transferir 5.047 ETH a través de Umbra y del puente Stargate, un operador reunió los pequeños saldos restantes en una sola cartera; el 31 de agosto, 150 direcciones enviaron fondos a ella en un lapso de tres minutos y 36 segundos. La cartera receptora obtuvo apenas 0,27 ETH, pero las direcciones de liquidación compartidas vinculan cinco ataques, desde KelpDAO en abril hasta Binance en octubre. BitOK considera que hubo un solo operador de blanqueo, aunque admite que distintos equipos pudieron haber llevado a cabo los ataques.

Fuente: BeInCrypto