El robo de criptomonedas de 15.000 millones de dólares: el Batman de blockchain desmantela la red de lavado de los hackers norcoreanos

Título original: Robar 1.500 millones de dólares en criptomonedas es fácil, cobrarlos es la trampa

Autor original: Andjela Radmilac

Compilación original: Saoirse, Foresight News

En febrero de 2025, hackers norcoreanos robaron aproximadamente 1.500 millones de dólares en criptomonedas de Bybit. Aunque este hackeo ha sido ampliamente reportado y analizado, las consecuencias del incidente y el destino de los fondos robados han recibido poca atención.

Para mover esta enorme cantidad de fondos ilícitos, los hackers deben depender de toda una red de personas dispuestas a manejar activos robados. Con suficiente dinero, esta cadena de relaciones puede ser infiltrada.

Un investigador de blockchain bajo el seudónimo de ZachXBT adoptó este enfoque. Aportó 349.700 USDC, haciéndose pasar por cliente de una red de lavado China, dispuesto a aceptar una pérdida del 5% en cada transacción. Finalmente obtuvo pistas clave que rastrearon más de 12 millones de dólares vinculados al robo de Bybit; según él, esta información también ayudó a Tether a congelar 442.000 USDT.

Su investigación destapó una red de lavado. Él estima que esta red ha lavado más de 1.000 millones de dólares en criptomonedas robadas por el Grupo Lazarus de Corea del Norte, incluidas las ganancias del ataque a Bybit.

Esta investigación apunta a un mercado negro a gran escala de servicios financieros ilícitos, que las autoridades estadounidenses llevan dos años combatiendo.

En septiembre del mismo año, el Departamento del Tesoro de EE. UU. impuso sanciones a Xinbi Guarantee. Según las autoridades estadounidenses, desde 2022 esta plataforma de intercambio ha procesado más de 24.000 millones de dólares en activos digitales y transacciones fiduciarias a través de su sistema, y los hackers norcoreanos se encuentran entre las entidades ilícitas que utilizan sus servicios.

El Tesoro también mencionó que, tras las sanciones al Grupo Huione, los delincuentes se pasaron a Xinbi Guarantee para continuar sus actividades ilícitas. Esto demuestra que cerrar una única plataforma de intercambio no erradica la red subyacente ni la demanda criminal.

Resulta increíble que irrumpir en un exchange y robar fondos sea solo el eslabón relativamente sencillo de toda la cadena delictiva. El verdadero desafío consiste en convertir las criptomonedas robadas en moneda fiduciaria u otros activos con poder adquisitivo real.

Para cobrar, los hackers deben recurrir a diversos servicios de pago y redes grises, lo que deja margen de intervención a investigadores y reguladores.

Un «cliente encubierto» que aportó 349.700 USDC

El 26 de febrero de 2025, el Buró Federal de Investigaciones (FBI) confirmó que el robo de Bybit fue perpetrado por hackers norcoreanos bajo el nombre en clave TraderTraitor, y emitió una advertencia: los activos robados estaban siendo convertidos a bitcoin y otras criptomonedas, y luego dispersados en miles de direcciones de blockchain.

Aunque la identidad de los hackers se confirmó rápidamente, encontrar a los intermediarios que manejaban los fondos robados requirió un enorme trabajo de investigación.

ZachXBT afirmó haber descubierto más de 15 cuentas en grupos públicos de Telegram y Discord que realizaban transacciones relacionadas con los fondos robados de Bybit. Esto significa que, al menos en algunas etapas del lavado, los intermediarios captaban clientes y facilitaban transacciones abiertamente.

Contactó con varias de estas cuentas y finalmente se comunicó con un contacto de Telegram apodado Jimmy Green, quien afirmaba poder ayudar con transferencias de criptomonedas entre cadenas.

ZachXBT señaló que el 6 de marzo de 2025 transfirió 349.700 USDC a una dirección de Ethereum completamente nueva y utilizó a este contacto para cambiar USDC de la cadena Ethereum por USDT de la cadena Tron. Para aparentar ser un cliente real, aceptó condiciones de tipo de cambio menos favorables.

Estos 349.700 USDC fueron el capital de la transacción, no la pérdida neta de la investigación; estaba dispuesto a asumir una pérdida del 5% en cada operación a cambio de información que el análisis on-chain ordinario no podía obtener.

Este tipo de transacciones también conlleva riesgos: el intermediario podría desaparecer con el dinero.

Los intermediarios en los que confían los hackers también pueden ser poco fiables y apropiarse de los fondos robados. Sin garantías comerciales exigibles, la reputación y las relaciones personales dentro de la red se convierten en el núcleo que sostiene esta cooperación.

Esto brindó precisamente a ZachXBT la oportunidad de infiltrarse: para los proveedores de servicios, un cliente dispuesto a realizar transacciones repetidas tiene un mayor valor.

Gracias a esta relación encubierta, la información que obtuvo ya no se limitaba a direcciones de monedero. Los intermediarios discutían con él los planes de transferencia de fondos antes de ejecutar las transacciones. ZachXBT pudo cotejar las comunicaciones privadas con los registros de transacciones almacenados en blockchains públicas.

En una ocasión, antes de que se realizara una transacción, un intermediario habló con él sobre mover fondos a la cadena Solana. Otros registros de transacciones y pistas de vinculación de monederos supuestamente le ayudaron a localizar un conjunto de activos relacionados con el robo de Bybit.

Este fue el punto de inflexión clave de la investigación: los datos on-chain solo registran el comportamiento de las transacciones, pero no pueden confirmar quién está detrás de ellas ni sus verdaderos motivos. Los registros de comunicaciones privadas entre ambas partes son la evidencia central para identificar a los controladores de los fondos y aclarar su uso.

Aunque las conclusiones de la investigación de ZachXBT no coinciden del todo con los registros oficiales del FBI, se trata de una de las operaciones de investigación más importantes de los últimos años. Demuestra que lo que no puede lograrse únicamente con datos de blockchain puede corroborarse mediante relaciones personales y vínculos comerciales; métodos similares podrían aplicarse a otras investigaciones de robos de criptomonedas.

Rastrear 12 millones de dólares ≠ recuperar 12 millones de dólares

ZachXBT afirmó que, a través de su contacto con Jimmy Green, identificó un conjunto de fondos vinculados a Bybit, distribuidos en múltiples cadenas públicas, por un total superior a 12 millones de dólares.

También reveló que Tether congeló posteriormente 442.000 USDT relacionados con el caso de los hackers norcoreanos. Esto demuestra que, cuando los fondos robados permanecen en tokens controlados por emisores como USDT y USDC, identificar rápidamente los activos robados es crucial para recuperar las pérdidas.

Es necesario distinguir dos conjuntos de datos: rastrear 12 millones de dólares no significa que todos esos fondos hayan sido congelados; congelar 442.000 USDT tampoco equivale a que esos tokens hayan sido confiscados y devueltos a Bybit.

La cifra de 442.000 USDT y la relación entre esta congelación y la investigación proceden de las declaraciones personales de ZachXBT; Tether también ha anunciado congelaciones a mayor escala relacionadas con el robo de Bybit.

Existe una enorme brecha entre descubrir criptomonedas robadas, localizar a los intermediarios implicados y obtener control legal o técnico sobre los fondos robados.

Las cadenas públicas no pueden impedir que los activos se transfieran de nuevo. Una vez que los fondos pasan por plataformas de servicios que no cooperan con la investigación o que están fuera del alcance jurisdiccional, la situación se complica aún más.

Las stablecoins de emisión centralizada ofrecen a los reguladores un mecanismo de intervención: los emisores tienen permisos de gestión y pueden restringir las transferencias a direcciones específicas. El bitcoin nativo carece de un mecanismo de congelación proporcionado por el emisor; sin embargo, una vez que las autoridades obtienen autorización legal, aún pueden incautar bitcoins custodiados por terceros o controlar las claves privadas correspondientes.

Esto significa que la investigación no solo requiere un rastreo preciso, sino que los fondos identificados deben encontrarse dentro de la jurisdicción de instituciones con capacidad técnica y autoridad para hacer cumplir la ley.

En el proceso de recuperación de activos de Bybit, las órdenes judiciales combinadas con la cooperación de intermediarios financieros pueden restringir el movimiento de activos mucho después del robo, pero no garantizan una recuperación total.

El problema es que las criptomonedas robadas se dividen y circulan constantemente entre diferentes monederos, cadenas públicas, custodios y contrapartes. Cada vez que los fondos pasan por una nueva plataforma, quienes intentan recuperarlos suelen tener que reunir pruebas de nuevo e iniciar otra ronda de procedimientos legales.

Por eso los investigadores pueden ver hacia dónde fluyen los fondos, pero no pueden impedir la siguiente transferencia ni recuperar el dinero robado.

Una operación de lavado de criptomonedas de 4.000 millones de dólares

El uso de intermediarios externos para lavar dinero no es exclusivo del robo de Bybit. Los registros de las fuerzas del orden estadounidenses muestran que las autoridades llevan mucho tiempo investigando diversos negocios grises dedicados a convertir criptomonedas robadas en activos que los delincuentes puedan utilizar realmente.

En marzo de 2020, el Departamento de Justicia de EE. UU. acusó a dos ciudadanos chinos, Tian Yinyin y Li Jiadong, de lavar más de 100 millones de dólares en criptomonedas, la mayor parte procedente de hackeos a exchanges.

Estas acusaciones demuestran que, incluso sin ejecutar personalmente los hackeos, los intermediarios desempeñan un papel central en toda la cadena delictiva.

El anuncio de sanciones del Tesoro también reveló que Tian Yinyin había convertido cerca de 1,4 millones de dólares en bitcoin en tarjetas de regalo prepagadas de Apple iTunes. Esto demuestra que el final de la cadena de lavado no implica necesariamente servicios financieros transnacionales complejos; las tarjetas de valor prepagadas minoristas también pueden ser explotadas.

La misma necesidad de cobrar opera a mayor escala en plataformas que facilitan transacciones entre delincuentes y proveedores de servicios de liquidación, cambio y pago.

En mayo de 2025, la Red de Control de Delitos Financieros (FinCEN) del Departamento del Tesoro de EE. UU. designó al Grupo Huione, con sede en Camboya, como una importante institución financiera de lavado de dinero. La investigación reveló que, desde agosto de 2021 hasta enero de 2025, el grupo lavó al menos 4.000 millones de dólares en ganancias ilícitas.

De ellos, FinCEN confirmó que al menos 37 millones de dólares en criptomonedas procedían de robos cibernéticos norcoreanos; el resto de los fondos ilícitos provenían de diversas estafas de inversión y fraudes en línea.

La cifra de 4.000 millones de dólares representa el importe total involucrado en todas las actividades delictivas mencionadas; los 37 millones de dólares son la estimación mínima verificada por la agencia de fondos vinculados a Corea del Norte.

El informe de evaluación de FinCEN señaló que los mecanismos contra el lavado de dinero y de verificación de clientes del grupo presentaban graves deficiencias. La falta de verificación de identidad permitió que las filiales del grupo recibieran indirectamente fondos procedentes de hackeos norcoreanos.

La importancia de esta investigación va más allá de una sola transacción. Si un intermediario puede ofrecer canales de pago de forma continua, se convierte en una infraestructura delictiva compartida por múltiples organizaciones criminales, evitando que cada grupo tenga que construir sus propios canales de cobro.

La concentración de grandes cantidades de fondos en estas plataformas también las convierte en objetivo de acciones coercitivas como sanciones, incautación de activos y corte de relaciones bancarias.

La plataforma de intercambio del Grupo Huione procesó un volumen enorme de transacciones y actividades ilícitas. Incluso cuando Telegram bloqueó parte de los canales de la red, los operadores de la plataforma intentaron mantener el negocio en funcionamiento.

El volumen total de transacciones de la plataforma y las ganancias ilícitas verificadas por FinCEN no se calculan con los mismos criterios; no todos los fondos que pasan por la plataforma pueden considerarse directamente ganancias delictivas confirmadas.

Las plataformas criminales pueden cerrarse, pero los clientes criminales siguen existiendo

El desafío radica en que, incluso si se destruye la infraestructura de una plataforma de intercambio ilícita, mientras los delincuentes puedan acceder a otros proveedores de servicios alternativos, la demanda criminal que dio origen a este negocio no desaparecerá.

En junio de 2026, el Departamento de Justicia de EE. UU. anunció la incautación del backend de servidores en la nube utilizado por una filial del Grupo Huione. Según se informó, estos servidores se empleaban para transferir ganancias de fraudes, delitos cibernéticos y otras actividades ilícitas.

Esta acción se llevó a cabo después de las restricciones previas impuestas por EE. UU. al grupo, y tenía como objetivo las instalaciones técnicas que respaldaban la transferencia de fondos ilícitos y la ocultación de activos.

Sin embargo, destruir la infraestructura no corta automáticamente el vínculo entre los clientes criminales y los intermediarios que aceptan pedidos.

El 9 de septiembre, el anuncio de sanciones del Tesoro dejó clara esta limitación: las autoridades sancionaron a Xinbi Guarantee. Se trata de un mercado de intercambio ilícito que conecta a organizaciones criminales con comerciantes capaces de ofrecer servicios financieros, tecnología y otros recursos.

El Tesoro declaró que, desde aproximadamente 2022, Xinbi ha procesado un volumen total de transacciones de activos digitales y fiduciarios superior a 24.000 millones de dólares, dirigido principalmente al mercado del sudeste asiático.

Una escala tan enorme convierte a la plataforma en un objetivo clave de las acciones coercitivas contra la infraestructura financiera de las organizaciones criminales.

El Tesoro también mencionó que, tras el golpe de FinCEN a Huione, los ciberdelincuentes trasladaron sus operaciones a Xinbi para mantener su actividad. Esta nueva plataforma ofrece prácticamente los mismos servicios a los mismos clientes.

Los reguladores describen un ecosistema gris impulsado por el mercado: cuando los canales existentes se vuelven poco fiables debido a las acciones coercitivas, los participantes buscan al siguiente proveedor de servicios.

Durante el golpe a Huione, Telegram eliminó miles de canales relacionados con Huione Guarantee, y los comerciantes asociados acudieron en masa a otras plataformas de intercambio alternativas.

Por lo tanto, la eficacia de un golpe no puede medirse únicamente por el número de sitios web, cuentas o servidores cerrados. Mientras los clientes criminales sigan necesitando servicios financieros ilícitos, encontrarán proveedores que sigan operando y reconstruirán sus canales de financiación.

Por supuesto, las acciones coercitivas aumentan los costes del delito, como la congelación de activos, los fallos en la liquidación y la desaparición de contrapartes conocidas. Pero mientras la actividad delictiva siga siendo rentable, el incentivo económico para mover fondos ilícitos siempre existirá.

El dilema de las fuerzas del orden es que deben aumentar continuamente los costes del delito y reducir la estabilidad operativa en toda la red de proveedores de servicios alternativos.

Las congelaciones de Tether obligan a las redes de lavado de criptomonedas a recurrir a otros instrumentos de pago

Las acciones coercitivas contra Xinbi Guarantee demuestran que las restricciones financieras pueden perturbar la actividad delictiva, pero también pueden obligar a los grupos criminales a cambiar de canales de pago.

Tether llevó a cabo una serie de congelaciones, bloqueando en total más de 45 millones de dólares en USDT en al menos 22 monederos vinculados a Xinbi.

Posteriormente, la plataforma de intercambio notificó a sus usuarios que pasaría a utilizar USDD. Esta stablecoin no tiene permisos de congelación de direcciones como el USDT.

Se trata de un cambio clave: cuando los fondos implicados siguen bajo el control del emisor, la función de congelación de tokens es muy valiosa para los investigadores; mientras que los clientes criminales que intentan evadir la supervisión preferirán activos con mecanismos de control diferentes.

Esta situación ilustra que, cuando un eslabón del sistema de pagos se ve restringido, las transacciones fluyen hacia otros canales. Los investigadores deben rastrear el movimiento de los activos e investigar a los proveedores de servicios que ofrecen esos canales.

En el golpe de septiembre, las autoridades también incautaron criptomonedas por valor de más de 52 millones de dólares relacionadas con la infraestructura de Xinbi. Al mismo tiempo, se aceleró el ritmo de retirada de activos y, según se informó, las plataformas de intercambio rivales comenzaron a restringir la incorporación de comerciantes de lavado.

El caso mencionado y la congelación de 442.000 USDT vinculada a los hackers norcoreanos que citó ZachXBT son dos incidentes independientes. Los informes públicos no pueden confirmar si ambos involucran las mismas direcciones, personas o fondos.

Sin embargo, ambos casos confirman un hecho: los grupos criminales dependen en gran medida de intermediarios financieros. Incluso después de que el robo inicial se haya consumado, los servicios de intermediación dejan una ventana abierta para la intervención regulatoria.

Si el emisor de tokens tiene la capacidad de congelar activos, el riesgo se concentra en los saldos de direcciones identificables. Si una plataforma presta servicio a múltiples grupos criminales, sus vulnerabilidades incluyen la infraestructura, la red de comerciantes y los acuerdos de liquidación.

Ambas vías pueden aumentar el coste y el riesgo de mover y utilizar fondos ilícitos.

Los intermediarios que facilitan transacciones son más difíciles de sustituir

El avance de la investigación de ZachXBT radica en demostrar que, estableciendo una relación de cliente mediante una operación encubierta pagada, se puede desvelar la identidad de quienes organizan las transacciones.

Los intermediarios que manejan criptomonedas robadas durante mucho tiempo acumulan reputación en el círculo, seleccionan socios comerciales fijos y saben qué servicios pueden completar transacciones sin interceptar fondos ilícitos.

Estas relaciones hacen que la actividad delictiva sea más eficiente con el tiempo, especialmente cuando los clientes necesitan realizar transferencias de gran volumen sin revelar su identidad o temen que la contraparte desaparezca con el dinero.

Sin embargo, una vez que los proveedores de servicios existentes son eliminados, esta red de cooperación es difícil de reconstruir rápidamente. Los proveedores alternativos suelen cobrar comisiones más altas, rechazar fondos sospechosos o carecer de estabilidad operativa.

Esta dependencia también ofrece una nueva fuente de inteligencia para las investigaciones. Los proveedores de servicios pueden revelar planes de transacciones futuras, otros participantes y la infraestructura de pago necesaria para completar los pedidos.

Los investigadores aún deben verificar la inteligencia combinándola con registros on-chain y otras pruebas. Una dirección que recibe fondos vinculados a un robo no implica que el receptor tuviera conocimiento o participación subjetiva en el delito.

Sin embargo, cotejar los registros de chats privados con los flujos de fondos posteriores en blockchain puede reducir la incertidumbre de la información, algo que el simple rastreo de flujos de transacciones no puede lograr.

Más casos de aplicación de la ley demuestran que, para debilitar el atractivo de los servicios financieros ilícitos, no basta con cerrar sitios web periódicamente. La base de clientes y el incentivo de lucro que dan origen a este negocio perdurarán más que la existencia de los servidores del sitio web.

Sin embargo, incautar activos, cortar canales financieros, procesar a los proveedores de servicios y localizar a los controladores de la liquidación puede alterar la relación coste-beneficio del comportamiento delictivo. Solo que los distintos proveedores de servicios tienen umbrales diferentes respecto al riesgo que pueden asumir.

Esto también explica por qué el importe total de criptomonedas robadas no equivale a los fondos que los delincuentes han logrado convertir en efectivo y pueden disponer; tampoco se puede inferir directamente que estos fondos se hayan utilizado para gastos militares o estatales específicos.

El importe robado inicial, el importe que pasa por direcciones intermediarias, el importe convertido con éxito en poder adquisitivo real y el importe finalmente recuperado por las fuerzas del orden son cuatro conjuntos estadísticos independientes que requieren pruebas separadas.

Para los hackers norcoreanos, incluso si la intrusión tiene éxito, depender de servicios de lavado puede acarrear riesgos posteriores. Obtener los activos robados no significa que alguien esté dispuesto a aceptarlos, cambiarlos y, en última instancia, gastarlos.

La operación encubierta de ZachXBT demuestra que esta necesidad de cobrar puede convertir las relaciones con los clientes en un punto de entrada para la investigación. Los golpes de EE. UU. contra Huione y Xinbi también demuestran que, aunque los clientes criminales cambien constantemente de base, los propios proveedores de servicios grises pueden convertirse en objetivo de las acciones coercitivas.

La debilidad central del comportamiento delictivo radica en que robar criptomonedas y utilizarlas realmente son dos cosas completamente distintas. Esto último sigue dependiendo de relaciones comerciales, y todos los participantes tienen activos, reputación e intereses económicos que proteger.

Si los hackers norcoreanos quieren convertir los fondos ilícitos en dinero disponible, deben adentrarse de nuevo en una red de relaciones personales que requiere confianza; al mismo tiempo, los intermediarios que prestan el servicio también deben asumir el riesgo de pérdidas financieras.