El especialista griego en ciberseguridad Vangelis Stykas, director tecnológico de la empresa Kumio, observó durante casi 22 meses el funcionamiento de un grupo de hackers vinculado a la RPDC desde dentro de su propia infraestructura. Lo comunicó los días 6 y 7 de agosto en la conferencia Black Hat USA 2026.
Stykas descubrió datos sobre 1.640 empresas en 57 países que estaban en la lista de objetivos del grupo o que ya habían sido afectadas por él. De ellas, alrededor de 700-800 organizaciones sufrieron intrusiones graves: los atacantes obtuvieron acceso root a servidores, infraestructura AWS y, en el caso de empresas de criptomonedas, también a las claves de las carteras. Entre las víctimas que mencionó públicamente se encuentran:
- Coinbase
- Uniswap Labs
- Boston Children's Hospital
- Oppo
- AEON Smart Technology
El investigador obtuvo acceso a la comunicación y a los servidores de los hackers en gran medida por casualidad: los operadores del grupo infectaron sus propias estaciones de trabajo con el mismo malware que utilizaban para atacar a sus víctimas. Esto abrió a Stykas el camino hacia sus servidores de mando y control (C2), cuentas en Slack y Discord y aproximadamente 5 TB de datos internos.
Pérdidas récord en el primer semestre
La vigilancia de Stykas coincidió en el tiempo con la publicación de datos sobre las cifras récord del criptohacking norcoreano. Según un informe de TRM Labs del 1 de julio de 2026, durante el primer semestre, los hackers vinculados a la RPDC robaron alrededor de 643 millones de dólares en criptomonedas, aproximadamente el 66% del total sustraído en el mundo por hacks y exploits en ese periodo. Las pérdidas totales de la industria en el semestre fueron de 972 millones de dólares con 207 incidentes registrados.
Casi todo el botín norcoreano provino de dos grandes ataques en abril de 2026: contra Drift Protocol (unos 285 millones de dólares) y contra KelpDAO (unos 292 millones de dólares). TRM Labs subraya que estas cifras solo tienen en cuenta hacks y exploits directos. Además de ellos, la RPDC obtiene criptomonedas mediante phishing, ingeniería social, esquemas fraudulentos y estafas, así como empleando a sus especialistas en TI bajo identidades falsas en empresas occidentales.
El volumen acumulado de criptomonedas robadas por hackers norcoreanos desde 2017, las plataformas analíticas lo estiman en aproximadamente 6.750 millones de dólares a finales de 2025, una cifra que ha aumentado aún más con las operaciones de 2026.
Cambio de táctica: apuesta por las personas, no por el código
El método principal de ataque es cada vez más la ingeniería social contra empleados de empresas, en lugar de hackear el protocolo en sí. Los hackers vinculados al grupo Lazarus y estructuras afines se hacen pasar por reclutadores, ofrecen a desarrolladores trabajos remotos bien remunerados y envían una "prueba técnica". En cuanto la víctima descarga y ejecuta el archivo en su ordenador de trabajo, se instala malware que abre acceso a la infraestructura corporativa, claves, servidores y carteras, tras lo cual se extraen los fondos. Este escenario se utilizó, por ejemplo, en la campaña de varios meses contra Drift Protocol y en la operación Contagious Interview.
La combinación de los datos de TRM Labs y los hallazgos de Stykas muestra que, en los últimos años, los operadores norcoreanos han construido una infraestructura que abarca cientos de empresas en todo el mundo, desde intercambios de criptomonedas y protocolos DeFi hasta fabricantes de electrónica e instituciones médicas. El golpe principal, sin embargo, no va dirigido a vulnerabilidades técnicas de las cadenas de bloques, sino a la confianza de los empleados en ofertas de trabajo supuestamente legítimas.
Opinión de la IA
Desde el punto de vista de las conexiones macroeconómicas, la investigación de Stykas parece parte de un panorama más amplio. Los criptoactivos robados no se depositan en cuentas privadas de los hackers: el Departamento de Estado de EE.UU. ya confirmó en enero de 2026 que los ingresos de estas operaciones se destinan sistemáticamente a programas de armamento y a eludir sanciones de la ONU. Un aspecto técnico que quedó fuera del artículo es la resiliencia de la propia infraestructura de Lazarus: la infección de las estaciones de trabajo de sus operadores con el mismo malware indica una deficiente higiene cibernética interna incluso en un grupo avanzado. Esto crea una ventana de vulnerabilidad que aprovechó el investigador, pero que teóricamente también podría aprovechar una agencia de inteligencia rival. Queda abierta la pregunta: ¿hasta cuándo este tipo de "deslices" accidentales seguirán siendo la única forma de mirar dentro de la maquinaria hacker norcoreana?
end-content
