Corea del Norte roba más de 500 millones en criptomonedas en solo tres semanas

Un récord de robos en menos de tres semanas

En un lapso inferior a tres semanas, operativos cibernéticos vinculados a Corea del Norte han logrado sustraer más de 500 millones de dólares de plataformas DeFi. Este aumento exponencial en los ataques marca una escalada en la estrategia de Pyongyang para financiar su programa de armas mediante el robo de criptomonedas.

Dos ataques devastadores que superan los 700 millones en 2026

Los exploits contra el Drift Protocol y KelpDAO han elevado las pérdidas totales de Corea del Norte en criptomonedas a más de 700 millones de dólares en lo que va de año. Estos incidentes destacan un cambio en las tácticas de los ciberataques norcoreanos, que ahora explotan vulnerabilidades en la cadena de suministro y recurren a infiltraciones humanas para eludir los sistemas de seguridad.

KelpDAO: el mayor hackeo de criptomonedas en 2026

El 20 de abril, la empresa LayerZero confirmó que KelpDAO sufrió un exploit que resultó en la pérdida de aproximadamente 290 millones de dólares. El ataque, ocurrido el 18 de abril, se ha convertido en el mayor robo de criptomonedas registrado en 2026. LayerZero atribuyó el incidente al grupo TraderTraitor, una célula especializada dentro del conocido Lazarus Group norcoreano.

Drift Protocol: otro golpe millonario

Solo unas semanas antes, el 1 de abril, el exchange descentralizado de futuros perpetuos basado en Solana, Drift Protocol, fue vaciado de unos 286 millones de dólares. La firma de inteligencia blockchain Elliptic vinculó rápidamente los métodos de lavado de fondos, la secuencia de transacciones y las firmas a nivel de red con vectores de ataque previamente identificados de Corea del Norte. Según Elliptic, este fue el decimoctavo ataque de este tipo registrado en lo que va de año.

La evolución de los ciberataques norcoreanos

El análisis de los ataques de abril revela una mayor sofisticación en la forma en que los hackers patrocinados por el Estado atacan las finanzas descentralizadas (DeFi). En lugar de centrarse en los contratos inteligentes principales, los operativos buscan explotar la infraestructura periférica.

En el caso de KelpDAO, los atacantes comprometieron la infraestructura RPC (Remote Procedure Call) utilizada por la red de verificadores descentralizados (DVN) de LayerZero Labs. Al manipular estos canales críticos, lograron alterar el funcionamiento del protocolo sin comprometer su criptografía central. Aunque LayerZero desactivó los nodos afectados y restauró las operaciones de la DVN, el daño económico ya estaba consumado.

«Observamos cómo estos actores buscan sistemáticamente el eslabón más débil. En este caso, no fue la infraestructura central del protocolo, sino un tercero».

Esta estrategia refleja métodos tradicionales de ciberespionaje corporativo y demuestra que los ataques vinculados a Corea del Norte son cada vez más difíciles de detectar y prevenir.

Infiltrando el ecosistema cripto

Recientes incidentes, como el compromiso de la librería de software Axios npm —utilizada ampliamente en el desarrollo blockchain—, han sido vinculados por investigadores de Google a un actor de amenazas norcoreano identificado como UNC1069. Estos ataques muestran un esfuerzo metódico por envenenar el ecosistema antes de que el software llegue a las plataformas blockchain.

Los expertos advierten que Corea del Norte está invirtiendo cada vez más recursos en preparación y ejecución de estos ciberataques, lo que los hace más sofisticados y difíciles de contrarrestar.

Consecuencias y futuras amenazas

El aumento de estos ataques no solo representa una amenaza financiera para el ecosistema DeFi, sino también un riesgo geopolítico. Los fondos robados se destinan a financiar el programa de armas de Corea del Norte, lo que agrava las tensiones internacionales.

La comunidad de seguridad blockchain insiste en la necesidad de reforzar las medidas de protección, especialmente en la cadena de suministro y en la verificación de terceros, para evitar futuros exploits.