Estafas y Hacks

Aspectos clave

• El Grupo Lázaro es un equipo respaldado por el estado de Corea del Norte de piratas informáticos responsables de robos cibernéticos de miles de millones de dólares. Sus operaciones financian los programas de misiles y nucleares del país.
• Lazarus emplea malware personalizado, vulnerabilidades de día cero y campañas de spear-phishing para infiltrarse en instituciones financieras, intercambios de criptomonedas y agencias gubernamentales.
• Los ataques destacados incluyen el hackeo de $1.5 mil millones de Bybit (2025), la brecha de $625 millones de Ronin Bridge (2022) y el robo de $101 millones al Banco de Bangladesh (2016).
• El grupo utiliza la desorientación, puertas traseras, técnicas antiforense y borradores para ocultar sus huellas y mantener acceso a largo plazo a redes comprometidas.

El ataque cripto de Bybit el 21 de febrero de 2025, ha vuelto a poner en el punto de mira al notorio Grupo Lazarus, "acreditado" con una serie de ataques devastadores a negocios de criptomonedas. Desde 2017, el Grupo Lazarus ha robado un estimado de $6 mil millones de la industria cripto,segúna la firma de análisis de blockchain Elliptic. No es de extrañar que Lázarus se haya ganado el título del supervillano en cripto.

Como una de las organizaciones ciberdelincuentes más prolíficas de la historia, el Grupo Lazarus utilizatácticas avanzadas de hackingy a menudo operativos de primera línea de cuello blanco, lo que indica un apoyo estatal total.

Esto plantea preguntas críticas sobre el Grupo Gate, su ejecución del complejo ataque Bybit y otros hacks similares, y cómo las organizaciones cripto pueden combatir esta creciente amenaza. Este artículo explora estos problemas y más.

Orígenes y antecedentes del Grupo Lazarus

El Grupo Lazarus es un actor de amenazas con sede en la República Popular Democrática de Corea (RPDC) o Corea del Norte conocido por el ciberespionaje y el desvío de dinero.

Activo desde 2009, está asociado con la Oficina General de Reconocimiento (RGB) del gobierno de Corea del Norte, la principal agencia de inteligencia de la nación. El grupo de amenazas persistentes avanzadas (APT) es conocido por llevar a cabo sofisticados ataques multiplataforma contra instituciones financieras,intercambios de criptomonedas, puntos finales del sistema SWIFT, casinos y cajeros automáticos en todo el mundo.

La conexión del grupo con la agencia de inteligencia de la nación sugiere patrocinio estatal. Los piratas informáticos reciben el patrocinio estatal para sus actividades nefastas, lo que significa que pueden operar sin temor a las fuerzas del orden locales. Sus actividades tienen como objetivo no solo recopilar inteligencia, sino también recaudar fondos para los programas de misiles y nucleares del país.

La Oficina de Enlace 414 en Corea del Norte

Con el paso de los años, el Grupo Lazarus ha aumentado significativamente la sofisticación y eficacia de sus tácticas, así como la escala de sus actividades.

¿Sabías? Microsoft Threat Intelligence ha identificado a un equipo de hackers conocido como "Sapphire Sleet" como un grupo de amenazas de Corea del Norte altamente involucrado en el robo de criptomonedas y la infiltración corporativa. El término "sleet" indica los lazos norcoreanos del grupo.

¿Cómo opera el Grupo Lazarus?

Debido al patrocinio estatal, el Grupo Lazarus tiene los recursos y la experiencia paraejecutar ciberataques complejos. Ejecuta operaciones multinivel, que incluyen el desarrollo e implementación de malware personalizado y la explotación de vulnerabilidades de día cero. El término "vulnerabilidad de día cero" se refiere a una brecha de seguridad en software o hardware no conocida por el desarrollador. Esto significa que no hay ninguna solución para ello ni preparación.

Una característica distintiva del Grupo Lazarus es la creación de malware a medida, como MagicRAT y QuiteRAT, diseñado para infiltrarse y controlar sistemas específicos. También se sabe que aprovechan fallas de seguridad previamente desconocidas para vulnerar sistemas antes de que haya parches disponibles.

La ingeniería social es otro componente crítico de su estrategia. Se trata de que los hackers utilicen las emociones para engañar a los usuarios y persuadirlos a realizar una acción específica, como compartir datos cruciales. El Grupo Lazarus lleva a cabo spear-campañas de phishing, que envían correos electrónicos fraudulentos a individuos desprevenidos haciéndose pasar por su red para inducirlos a revelar información confidencial.

Suadaptabilidad y técnicas en evoluciónhacen del Grupo Lázaro una amenaza persistente y formidable en el panorama de ciberseguridad global.

Los mejores robos del Grupo Lazarus

A lo largo de los años, ha habido una serie de ciberataques que involucraron al Grupo Lazarus. Aquí hay algunos robos significativos ejecutados por el grupo:

Robos de criptomonedas

1. Bybit (febrero de 2025)

Bybit, un intercambio de criptomonedas con sede en Dubai,sufrió una gran violación de seguridad, perdiendo $1.5 mil millones en activos digitales en febrero de 2025, convirtiéndose en el robo de criptomonedas más significativo hasta la fecha.

El ataque se dirigió a la interfaz de SafeWallet utilizada por los ejecutivos de Bybit para ejecutar las transacciones fraudulentas. Los fondos robados, principalmente en Ether, se dispersaron rápidamente en múltiples billeteras yliquidado a través de diferentes plataformas. El CEO de Gate.io, Ben Zhou, tranquilizó a los usuarios de que otras carteras frías seguían seguras y que las retiradas funcionaban con normalidad.

Las empresas de análisis de blockchain, incluidas Elliptic y Arkham Intelligence, rastrearon los activos robados y luego atribuyeron el ataque al grupo Lazarus respaldado por el estado norcoreano. La violación desencadenó una ola de retiros de Bybit, lo que llevó a la bolsa a asegurar un préstamo puente para cubrir las pérdidas.

2. WazirX (julio 2024)

En julio de 2024, WazirX, el mayor intercambio de criptomonedas de la India, sufrió una importante violación de seguridad que resultó en la pérdida de aproximadamente $234.9 millones en activos digitales. El ataque, atribuido al Grupo Lazarus de Corea del Norte, involucró técnicas sofisticadas de phishing y explotación de API.

Los hackers manipularon el sistema de billetera multisig de WazirX, obteniendo acceso no autorizado tanto a billeteras calientes como frías. Esta brecha llevó a la suspensión de las actividades comerciales y provocó desafíos legales, incluida una demanda del intercambio rival CoinSwitch que busca recuperar $9.65 millones en fondos atrapados.

En enero de 2025, el Tribunal Superior de Singapur aprobó el plan de reestructuración de WazirX, lo que permite a la empresa reunirse con los acreedores para discutir estrategias de recuperación de activos.

3. Stake.com (septiembre de 2023)

En septiembre de 2023, el grupo violó Stake.com, una plataforma de apuestas de criptomonedas, al obtener y utilizarclaves privadas. Esto les permitió desviar $41 millones a través de varias redes blockchain.

El FBI de EE. UU.atribuidoeste robo al Grupo Lazarus, también conocido como APT38. Los activos robados fueron rastreados en varias redes blockchain, incluyendo Ethereum, BNB Smart Chain y Polygon.

4. CoinEx (septiembre de 2023)

Más tarde en septiembre de 2023, CoinEx, un intercambio global de criptomonedas, informó transacciones no autorizadas que resultaron en pérdidas estimadas en $54 millones.

Investigaciones de analistas de blockchain, incluido el analista onchain ZachXBT,patrones de billetera revelados y comportamientos en cadenavinculando esta brecha al hackeo anterior de Stake.com, lo que sugiere un esfuerzo coordinado por el Grupo Lazarus.

5. CoinsPaid y Alphapo (julio de 2023)

El 22 de julio de 2023, CoinsPaid experimentó un ciberataque meticulosamente planeado que resultó en el robo de 37,3 millones de dólares. Los atacantes emplearon una estrategia que implicaba sobornos y campañas de contratación falsas dirigidas al personal crítico de la empresa en los meses previos a la brecha.

Durante el ataque, se observó un aumento inusual en la actividad de la red, con más de 150,000 direcciones IP diferentes involucradas. A pesar de la importante pérdida financiera, el equipo interno de CoinsPaid trabajó diligentemente para fortalecer sus sistemas, asegurando que los fondos de los clientes permanecieran sin verse afectados y totalmente disponibles.

El mismo día, Alphapo, un proveedor centralizado de pagos de criptomonedas para varias plataformas en línea, sufrió una brecha de seguridad el 23 de julio de 2023. Informes iniciales estimaron la pérdida en aproximadamente $23 millones; sin embargo, investigaciones posteriores revelaron que la cantidad total robada superó los $60 millones. Los analistas de Blockchain han atribuido este ataque al Grupo Lazarus, señalando que los fondos robados fueron rastreados en múltiples direcciones y cadenas.

6. Puente Horizon de Harmony (junio de 2022)

El grupo Lazarus explotó vulnerabilidades en el Puente Horizon de Harmony en junio de 2022. A través de la ingeniería social y comprometiendo carteras con firmas múltiples, se fugaron con $100 millones, resaltando los riesgos asociados con los puentes entre cadenas (facilitando transferencias de activos entre redes como Ethereum, Bitcoin y BNB Smart Chain).

Los atacantes explotaron las debilidades de seguridad, obteniendo control sobre una billetera multisig utilizada para autorizar transacciones. Esta brecha les permitió desviar aproximadamente $100 millones en diversas criptomonedas. Los activos robados fueron blanqueados a través del mezclador Tornado Cash, complicando los esfuerzos de rastreo. Elliptic fue uno de los primeros en atribuir este ataque al Grupo Lazarus, una evaluación posteriormente confirmada por el FBI en enero de 2023.

7. Puente de Ronin (Marzo 2022)

En marzo de 2022, el Puente Ronin, unpuente entre cadenasapoyando el juego Axie Infinity,sufrió una violación de seguridad significativaa manos del Grupo Lazarus, lo que resultó en el robo de aproximadamente $625 millones en criptomonedas.

La red Ronin operaba con nueve validadores, requiriendo al menos cinco firmas para autorizar transacciones. Los atacantes lograron tomar el control de cinco claves privadas, lo que les permitió aprobar retiros no autorizados.

Los hackers atrajeron a un empleado de Sky Mavis con una oferta de trabajo fraudulenta, entregando un PDF infectado con malware que comprometió los sistemas internos de la empresa. Este acceso permitió a los atacantes moverse lateralmente dentro de la red, tomando el control de cuatro validadores operados por Sky Mavis y un validador adicional gestionado por AxieDAO (organización autónoma descentralizada).

El grupo combinó la ingeniería social con la destreza técnica para llevar a cabo el hackeo del Puente Ronin.

8. Atomic Wallet (2022)

A lo largo de 2022, los usuarios de Atomic Wallet, una aplicación de almacenamiento descentralizado de criptomonedas, cayeron víctimas de una serie de ataques orquestados por el Grupo Lazarus.

Los hackers desplegaron malware personalizado para comprometer carteras individuales, lo que resultó en pérdidas estimadas entre $35 millones y $100 millones. Elliptic vinculó estas brechas al Grupo Lazarus rastreando el movimiento de fondos robados e identificando patrones de lavado de dinero consistentes con las actividades previas del grupo.

9. Intercambio de Bithumb (julio de 2017)

En julio de 2017, el Grupo Lazarus llevó a cabo un ataque de spear-phishing en Bithumb, una de las mayores bolsas de criptomonedas de Corea del Sur.

Al infiltrarse en los sistemas internos del intercambio, lograron robar aproximadamente $7 millones en criptomonedas. Este incidente marcó una de las primeras y notables intrusiones del grupo en la creciente industria de activos digitales.

10. Intercambio Youbit (abril y diciembre de 2017)

El grupo Lazarus llevó a cabo dos ataques significativos contra el intercambio de Youbit de Corea del Sur en 2017. El primer ataque en abril involucró el uso de malware y técnicas de phishing, comprometiendo la seguridad del intercambio y llevando a pérdidas substanciales de activos.

Un ataque posterior en diciembre resultó en la pérdida del 17% de los activos totales de Youbit. La presión financiera de estas brechas consecutivas obligó al intercambio a declararse en quiebra, subrayando el grave impacto de las actividades cibernéticas del grupo en las plataformas de activos digitales.

¿Sabías? Corea del Norte despliega miles de trabajadores de TI a nivel mundial, incluidos en Rusia y China, para generar ingresos. Utilizan perfiles generados por IA e identidades robadas para asegurar posiciones tecnológicas lucrativas, lo que les permite robar propiedad intelectual, extorsionar a los empleadores y remitir fondos al régimen.

Otros grandes robos

1. WannaCry (Mayo 2017)

The WannaCryataque de ransomwarefue un incidente de ciberseguridad masivo que afectó a organizaciones en todo el mundo. El 12 de mayo de 2017, el gusano de ransomware WannaCry infectó más de 200,000 computadoras en más de 150 países. Entre las principales víctimas se encontraban FedEx, Honda, Nissan y el Servicio Nacional de Salud del Reino Unido (NHS), que tuvo que desviar ambulancias debido a interrupciones en el sistema.

Un investigador de seguridad descubrió un 'interruptor de apagado' que detuvo temporalmente el ataque. Pero muchos sistemas permanecieron bloqueados hasta que las víctimas pagaron el rescate o encontraron una forma de restaurar sus datos. WannaCry explotó una vulnerabilidad llamada 'EternalBlue', un exploit desarrollado originalmente por la Agencia de Seguridad Nacional de EE. UU. (NSA).

Este exploit fue posteriormente robado y filtrado por los Shadow Brokers. WannaCry se dirigió principalmente a sistemas antiguos de Microsoft Windows sin parches, lo que le permitió propagarse rápidamente y causar daños generalizados. El ataque puso de manifiesto la necesidad crítica de actualizaciones regulares de software y conciencia en ciberseguridad.

2. Banco de Bangladesh (febrero de 2016)

En febrero de 2016, el Banco de Bangladesh experimentó un importante ciberrobo, con atacantes que intentaron robar casi $1 mil millones de su cuenta en el Banco de la Reserva Federal de Nueva York. Los perpetradores, más tarde identificados como el Grupo Lazarus, se infiltraron en los sistemas del banco en enero de 2015 a través de un archivo adjunto de correo electrónico malicioso. Estudiaron las operaciones del banco, iniciando finalmente 35 solicitudes de transferencia fraudulentas a través de la red SWIFT.

Mientras la mayoría fueron bloqueadas, cinco transacciones por un total de $101 millones tuvieron éxito, con $81 millones llegando a cuentas en Filipinas. Un error tipográfico en una solicitud de transferencia levantó sospechas, evitando el robo completo.

3. Sony Pictures (Noviembre 2014)

En noviembre de 2014, Sony Pictures Entertainment experimentó un importante ciberataque ejecutado por los Guardianes de la Paz, con conexiones con el Grupo Lázaro. Los atacantes se infiltraron en la red de Sony, accediendo a grandes cantidades de datos confidenciales, incluidas películas no lanzadas, información sensible de los empleados y comunicaciones internas.

El grupo también desplegó malware, dejando aproximadamente el 70% de las computadoras de Sony inoperables. Los daños financieros derivados de la violación fueron sustanciales, con Sony reportando pérdidas de $15 millones, aunque otras estimaciones sugieren que los costos de recuperación podrían haber superado los $85 millones.

La motivación detrás del ataque fue una represalia por el lanzamiento planeado por parte de Sony de The Interview, una comedia que representa el asesinato del líder norcoreano Kim Jong-un.

A pesar de la negativa de Corea del Norte de participar, el gobierno de EE. UU. atribuyó formalmente el ataque a actores amenazantes norcoreanos, destacando la capacidad del Grupo Lazarus para llevar a cabo operaciones cibernéticas sofisticadas con importantes implicaciones geopolíticas.

¿Sabías? En agosto de 2024, ZachXBT reveló que 21 desarrolladores norcoreanos se habían infiltrado en startups de criptomonedas, ganando $500,000 al mes.

El FBI identificó a los hackers clave del Grupo Lazarus detrás de importantes ciberataques

El FBI ha identificado públicamente a tres presuntos piratas informáticos norcoreanos como miembros del Grupo Lazarus.

En septiembre de 2018, el FBI acusó a Park Jin Hyok, un ciudadano norcoreano vinculado a Lazarus, por su presunto papel en importantes ciberataques. Se informa que Park trabajaba para Chosun Expo Joint Venture, una empresa de fachada norcoreana, y está relacionado con el hackeo de Sony Pictures en 2014 y el robo al Banco de Bangladesh en 2016, donde se sustrajeron 81 millones de dólares.

El FBI también ha acusado a Park de su asociación con el ataque de ransomware WannaCry 2.0 de 2017, que interrumpió hospitales, incluido el NHS del Reino Unido. Los investigadores lo rastrearon a él y a sus asociados a través de un código de malware compartido, almacenamiento de credenciales robadas y servicios proxy que ocultaban IPs de Corea del Norte y China.

En febrero de 2021, el Departamento de Justicia de EE. UU. acusó a Jon Chang Hyok y Kim Il por su participación en ciberdelitos globales. Jon desarrolló y difundió aplicaciones de criptomonedas maliciosas para infiltrarse en instituciones financieras, mientras que Kim coordinaba la distribución de malware, robos de criptomonedas y la fraudulenta oferta inicial de monedas de Marine Chain.

Tácticas comunes utilizadas por el Grupo Lazarus

El Grupo Lazarus emplea varias tácticas sofisticadas para llevar a cabo ciberataques, incluyendo la interrupción, la desviación, la anti-forensia y técnicas de protección:

Disrupción

Lazarus realiza ataques disruptivos utilizandoataque de denegación de servicio distribuido (DDoS)y malware de limpiaparabrisas con disparadores basados en el tiempo. Por ejemplo, el troyano KILLMBR borra datos en el sistema objetivo en una fecha preestablecida, mientras que QDDOS, un malware, borra archivos después de la infección. Otra herramienta, DESTOVER, funciona como una puerta trasera pero también tiene capacidades de borrado. Estas tácticas tienen como objetivo dejar inoperativos los sistemas y volverlos inoperables.

Desviación

Para oscurecer su participación, Lázaro disfraza algunos ataques como el trabajo de grupos ficticios como "GOP", "WhoAmI" y "Nuevo Ejército Románico." Estos grupos reclaman la responsabilidad del ataque, mientras que Lázaro es el jugador detrás del juego. Podrían desfigurar sitios web con algo de propaganda. Lázaro también incrusta banderas falsas en su malware, como usar palabras en ruso romanizado en la puerta trasera de KLIPOD.

Puertas traseras

Lazarus confía en puertas traseras para acceder de manera persistente a sistemas vulnerados, desplegando herramientas como la puerta trasera Manuscrypt (NukeSped) en campañas de phishing y los implantes BLINDINGCAN y COPPERHEDGE contra objetivos de defensa.

Técnicas anti-forenses

Para cubrir sus huellas, Lazarus utiliza varias técnicas anti-forenses:

• Separación de componentes: En operaciones relacionadas con el subgrupo Bluenoroff de Lazarus, fragmenta componentes de malware para dificultar el análisis.
• Herramientas de línea de comandos: Muchos ataques se basan en puertas traseras de línea de comandos e instaladores que requieren argumentos específicos. Por ejemplo, el instalador del marco Nestegg requiere una contraseña como argumento.
• Borradores: Lazarus utiliza borradores para borrar evidencia del ataque después de que la operación esté completa. Se vieron muestras de DESTOVER en algunas de las operaciones de Bluenoroff.
• Eliminación de registro y registro: Lazarus elimina datos de precarga, registros de eventos y registros de la Tabla maestra de archivos (MFT) para eliminar evidencia forense.

Al combinar estas técnicas, Lazarus interrumpe efectivamente los objetivos, confunde los esfuerzos de atribución y oculta sus actividades.

Cómo defenderse contra los ataques del Grupo Lazarus

Defenderse contra las amenazas planteadas por el Grupo Lazarus requiere una estrategia de seguridad integral. Las organizaciones deben implementar múltiples capas de protección para resguardar sus activos digitales de sofisticados ciberataques.

Las medidas de defensa clave que necesitas adoptar incluyen:

• Protección DDoS: Las organizaciones deben implementar estrategias sólidas de mitigación para prevenir interrupciones del servicio y posibles violaciones de datos. Identificar y neutralizar proactivamente tales ataques es crucial.
• Inteligencia de amenazas: Aprovechar la inteligencia de amenazas ayuda a detectar y responder a las amenazas cibernéticas, incluidos los ataques de ransomware y DDoS. Necesitas mantenerte informado sobre las tácticas en evolución utilizadas por Lazarus para llevar a cabo sus operaciones.
• Protección de activos: Las instituciones financieras, los intercambios de criptomonedas y otros objetivos de alto valor deben asegurar los activos digitales críticos contra los ataques de Lazarus. Proteger los puntos finales del sistema SWIFT, los cajeros automáticos y la infraestructura bancaria es crucial.
• Monitoreo de amenazas persistente: Es necesario monitorear continuamente la infraestructura de red para detectar y mitigar posibles intrusiones. Los equipos de seguridad deben garantizar que todos los sistemas se actualicen regularmente con los últimos parches para reducir vulnerabilidades.
• Soluciones de seguridad multicapa: Soluciones de seguridad avanzadas, como aquellas que incorporan análisis del comportamiento, aprendizaje automático y protección contra exploits, mejoran la defensa contra ataques dirigidos. Las herramientas con integración de sandbox y protección contra ransomware añaden capas adicionales de seguridad.
• Protección en tiempo real: Cuando se enfrenta a ataques complejos, necesita protección en tiempo real contra ataques dirigidos. Debe poder detectar ataques dirigidos en cualquier parte de la red utilizando técnicas intergeneracionales para aplicar la tecnología adecuada en el momento adecuado.

Sin embargo, dado que la tecnología es un campo en rápido desarrollo y los piratas informáticos siguen desarrollando nuevos vectores de amenazas, las personas y organizaciones deben mantenerse proactivas y monitorear constantemente las amenazas emergentes.

Como el profesor Bill Buchanan, un experto líder en criptografía aplicada,enfatiza"Necesitamos invertir fuertemente en ciberseguridad; de lo contrario, nos dirigimos hacia un mundo protegido por George Orwell en 1984, o un mundo donde nos convertimos en esclavos de la máquina."

Esta declaración destaca las profundas implicaciones de descuidar la ciberseguridad y la necesidad de invertir continuamente en medidas de protección.

Recuerda, la batalla contra actores de amenazas tan sofisticados no es solo una defensa única, sino una estrategia continua que implica prevención, detección y respuesta rápida.

En última instancia, defenderse contra el Grupo Lázaro requiere vigilancia, herramientas de seguridad avanzadas y un compromiso organizativo con la mejora continua. Solo a través de estos esfuerzos colectivos las empresas e instituciones pueden proteger sus activos, mantener la confianza y mantenerse un paso por delante de los ciberdelincuentes.

Descargo de responsabilidad：

1. Este artículo es reimpreso de [GateCoinTelegraph]. Todos los derechos de autor pertenecen al autor original [Dilip Kumar Patairya]. Si hay objeciones a esta reimpresión, por favor contacte el Gate Learnequipo, y ellos lo manejarán rápidamente.
2. Responsabilidad de descargo de responsabilidad: Las opiniones expresadas en este artículo son únicamente las del autor y no constituyen ningún consejo de inversión.
3. Las traducciones del artículo a otros idiomas son realizadas por el equipo de Gate Learn. A menos que se mencione, está prohibido copiar, distribuir o plagiar los artículos traducidos.