Dentro de los robos de criptomonedas de Corea del Norte: 200 M$ en criptomonedas robadas en 2023; más de 2.000 M$ en los últimos cinco años

En los últimos cinco años, los hackers norcoreanos han robado más de 2.000 millones de dólares en criptomonedas en más de 30 ataques, según TRM Labs. Si bien los informes han indicado que la cantidad de cripto robada por Corea del Norte desde 2018 asciende a USD 3 mil millones, nuestra investigación indica que esta cifra probablemente incluye múltiples hackeos grandes atribuidos erróneamente a Corea del Norte.

En 2023, aunque la cantidad total robada en ataques a criptomonedas ha disminuido respecto al récord de 2022, Corea del Norte ha seguido centrándose en el ecosistema de las criptomonedas. En lo que va de año, Corea del Norte ha robado 200 millones de dólares en criptomoneda, lo que supone más del 20 % de todo el cripto robado este año. 

Los ciberataques norcoreanos han tenido éxito. De hecho, sus hackeos en 2023 son 10 veces mayores que los ataques de otros actores.

Los hackers norcoreanos siguen evolucionando sus objetivos, técnicas y patrones de blanqueo de dinero en un panorama de criptomonedas multicadena

Los piratas informáticos norcoreanos parecen ser oportunistas, lo que se refleja en una serie de objetivos y tipos de exploits que han dado lugar a ganancias sin precedentes.

En los últimos años, Corea del Norte ha atacado casi exclusivamente el ecosistema DeFi . Los puentes entre cadenas, que tienen un volumen cada vez mayor, son un objetivo continuo. En 2022, Corea del Norte robó más de 800 millones de dólares en tres ataques contra puentes de cadenas cruzadas.

Corea del Norte explota las vulnerabilidades del ecosistema de las criptomonedas de diversas formas, por ejemplo mediante ataques de suplantación de identidad y a la cadena de suministro, y a través de hackeos de infraestructuras que implican el compromiso de claves privadas o frases semilla. Este tipo de ataques suelen estar facilitados por operaciones cibernéticas convencionales y permiten a los atacantes apoderarse de la criptomoneda y transferirla a los monederos que controlan. Según el FBICorea del Norte llevó a cabo el mayor hackeo de criptomonedas registrado, robando 625 millones de dólares de Ronin Bridge en marzo de 2022 utilizando claves privadas robadas.

Aunque los objetivos y las técnicas de Corea del Norte han evolucionado con el tiempo, también lo han hecho sus metodologías de blanqueo en la cadena. Los primeros exploits de Corea del Norte, que solían implicar el uso directo de intercambios de criptomonedas, ahora presentan procesos de blanqueo de dinero muy complejos y en varias fases en respuesta a las sanciones más agresivas de la OFAC, la atención de las fuerzas de seguridad y la mejora de las capacidades de rastreo. Un ataque realizado en 2023 por norcoreanos a Atomic Wallet ejemplifica esta evolución.

Perfil del pirateo de la cartera atómica de Corea del Norte en 2023

El 3 de junio de 2023, piratas informáticos norcoreanos atacaron a usuarios de Atomic Wallet, un proveedor de monederos no custodiados, lo que provocó el robo de aproximadamente 100 millones de USD en criptodivisas, de más de 4.100 direcciones individuales. La naturaleza del ataque a Atomic Wallet indica que lo más probable es que el exploit se llevara a cabo mediante un ataque de suplantación de identidad o de la cadena de suministro.

Los hackers vaciaron los monederos de las víctimas en las blockchains de Ethereum, Tron, Bitcoin, XRP, DOGE, Stellar y Litecoin, y enviaron los fondos a direcciones recién creadas bajo su control. Los tokens ERC-20 y TRC-20 se canjearon por activos nativos (Ether y Tron) a través de intercambios descentralizados, y luego se blanquearon mediante una serie de técnicas complejas que incluían el uso de programas de software automatizados, mezcladores y canjes entre cadenas.

Los piratas informáticos -que operan descaradamente sin temor a ser descubiertos, ya que operan casi exclusivamente dentro de Corea del Norte- vacían entonces rápidamente las carteras de alto valor y envían los fondos directamente a los intercambios centralizados en una carrera por desviar los fondos. Una vez descubierto el pirateo, los hackers mueven los fondos a través de una serie de técnicas de blanqueo más complejas, cuyas etapas se han visualizado en TRM Forensics a continuación.

‍

El papel de Inteligencia en Blockchain en el seguimiento de los fondos robados por Corea del Norte

El reciente hackeo de Atomic Wallet por parte de Corea del Norte es un ejemplo de sus evolucionadas técnicas de ofuscación en un ecosistema multicadena y multicadena. Inteligencia en Blockchain - datos de blockchain enriquecidos con inteligencia sobre amenazas propia y de código abierto - representada por TRM Forensics en el perfil del hackeo de Atomic Wallet, permite a los investigadores seguir el dinero en criptomoneda para, en última instancia, identificar a los actores de la amenaza y confiscar fondos ilícitos, incluidos los fondos robados y blanqueados por Corea del Norte.

En 2019, en respuesta al creciente número de blockchains y al creciente uso de diferentes cadenas por parte de los ciberdelincuentes, TRM Labs introdujimos el análisis de cadenas cruzadas en TRM Forensics, nuestra herramienta de rastreo insignia. Esto permite a los investigadores rastrear fondos de múltiples blockchains y múltiples activos en una sola visualización. 

En 2022, TRM identificó el creciente uso del salto de cadena como técnica de ofuscación y presentó TRM Phoenix, la primera solución del sector para rastrear automáticamente el flujo de fondos a través de blockchains mediante puentes y otros servicios.

A medida que Corea del Norte continúa atacando el creciente ecosistema de las criptomonedas, la capacidad de seguir los fondos robados es más crítica que nunca y, a medida que evolucionan las metodologías de blanqueo de Corea del Norte, también deben hacerlo las herramientas en las que se basan los investigadores.

‍