Bybit Hack Update: Corea del Norte pasa a la siguiente fase del blanqueo

El 21 de febrero de 2025, Bybit, una de las mayores bolsas de criptomonedas del mundo, sufrió un ciberataque sin precedentes a manos de Corea del Norte, que provocó el robo de aproximadamente 1.500 millones de dólares en tokens Ethereum. Este suceso se ha convertido en el mayor ataque del que se tiene constancia, superando a anteriores ataques de gran repercusión y suscitando gran preocupación por la creciente sofisticación de los ciberdelincuentes.

Más allá de la magnitud del ataque a Bybit, la velocidad a la que se blanquean los fondos robados es especialmente alarmante. En 48 horas, al menos 160 millones de dólares habían sido canalizados a través de canales ilícitos, y TRM estima que el total superó los 200 millones de dólares el 23 de febrero. El 26 de febrero se habían movido más de 400 millones de dólares, lo que indica un nivel de eficacia operativa sin precedentes.

A última hora del día 3 de marzo de 2025, los norcoreanos terminaron la fase inicial del blanqueo de las ganancias del hackeo de Bybit. Todo el ETH robado se ha trasladado a nuevas direcciones, y la gran mayoría se ha transferido a Bitcoin, principalmente a través de servicios que utilizan THORchain. TRM está rastreando las direcciones controladas por los blanqueadores de Bybit. Esta rápida y metódica operación indica un nivel de eficiencia operativa sin precedentes, lo que plantea serios retos a los investigadores.

El proceso de blanqueo se ha basado en gran medida en herramientas de financiación descentralizadaDeFi), en particular bolsas descentralizadas (DEX) y puentes entre cadenas, para ocultar el origen de los activos robados. Los atacantes movieron la mayor parte del Ethereum robado a través de THORswap, un protocolo descentralizado de liquidez entre cadenas que permite el intercambio directo de activos sin necesidad de intermediarios. Entre el 24 de febrero y el 2 de marzo, THORChain experimentó un aumento de actividad sin precedentes.

Este rápido blanqueo sugiere que Corea del Norte ha ampliado su infraestructura de blanqueo de capitales o que las redes financieras clandestinas, especialmente en China, han aumentado su capacidad para absorber y procesar fondos ilícitos. La escala y la velocidad de esta operación plantean nuevos retos a los investigadores, ya que los mecanismos tradicionales de lucha contra el blanqueo de capitales tienen dificultades para seguir el ritmo del elevado volumen de transacciones ilícitas.

Históricamente, los ciberdelincuentes norcoreanos han confiado en los mezcladores de criptomonedas como segunda fase de su proceso de blanqueo. Ahora hemos entrado en esa segunda fase y hemos visto un primer tramo de BTC de Bybit depositado en mezcladores como Wasabi y CryptoMixer. Si estos mezcladores pueden seguir absorbiendo la cantidad de dinero en juego es una cuestión abierta. Los volúmenes típicos de estos servicios oscilan entre unos pocos millones y quizá 10 millones de dólares en un día. Los blanqueadores de Bybit podrían depositar fácilmente esa cantidad en horas. 

Pero incluso a escala, estos mezcladores pueden crear dudas en el proceso de rastreo. Hasta ahora, cualquiera con paciencia y voluntad podía seguir el flujo de fondos de Bybit. Los mezcladores, sin embargo, son obstáculos importantes para la mayoría de los investigadores. Mientras que los investigadores con acceso a herramientas como TRM son capaces de rastrear a través de muchos mezcladores con un alto grado de confianza, no ocurre lo mismo con los investigadores que utilizan las herramientas en línea disponibles. TRM espera que aumente el número de pistas falsas positivas, ya que los investigadores rastrean erróneamente retiradas no relacionadas procedentes de mezcladores. 

A pesar del rápido movimiento de activos, una gran parte del bitcoin convertido permanece en gran parte inmóvil, lo que sugiere que los piratas informáticos se están preparando para una liquidación a gran escala o una mayor ofuscación a través de redes extrabursátiles (OTC). 

Este cambio en las tácticas de blanqueo refleja la dependencia de Corea del Norte de los puentes entre cadenas y las estrategias de transacciones de gran volumen, como se detalla en un informe de TRM sobre la actividad cibernética de la RPDC. En atracos anteriores, los hackers norcoreanos utilizaron plataformas como Ren Bridge y Avalanche Bridge, a menudo convirtiendo los fondos en bitcoin antes de emplear mezcladores como Sinbad, YoMix, Wasabi Wallet y CryptoMixer. Aunque los servicios utilizados cambian con el tiempo y las medidas de represión, la estrategia básica sigue siendo la misma: puentear, mezclar y volver a puentear... una y otra vez. 

Según el experto en Corea del Norte de TRM, y ex experto en la materia FBI , Nick Carlsen, "El exploit Bybit indica que el régimen está intensificando su técnica de "inundar la zona": abrumar a los equipos de cumplimiento, los analistas de blockchain y los organismos encargados de hacer cumplir la ley con transacciones rápidas y de alta frecuencia a través de múltiples plataformas, complicando así los esfuerzos de rastreo."