¿A dónde va el dinero tras los hackeos norcoreanos? De Bybit a Binance: la ruta de lavado de Lazarus

Autor: SoSoValue Research

En la noche del 29 de octubre, Binance sufrió el que posiblemente sea el mayor hackeo de su historia. Chainalysis estima el monto robado en unos 5.900 millones de dólares, y el detective on-chain ZachXBT considera muy probable que detrás esté Lazarus, el grupo norcoreano.

Muchos se preguntan: ¿qué harán los hackers con estas criptomonedas? ¿Las venderán de golpe? Para responder, la mejor referencia es el caso Bybit de febrero de 2025, perpetrado por el mismo grupo.

1. Repaso de Bybit: 500.000 ETH convertidos a BTC en 10 días

El 21 de febrero de 2025, Bybit sufrió el robo de aproximadamente 500.000 ETH, valorados entonces en unos 1.400 millones de dólares, el mayor robo de criptomonedas hasta esa fecha.

La velocidad de los hackers fue notable:

● Día 1: convirtieron derivados de staking como stETH y mETH a ETH nativo y los dividieron en numerosas direcciones.

● Día 5: ya habían movido al menos 160.000 ETH a través de THORChain.

● Día 9: transfirieron 62.200 ETH más en un solo día, acumulando unos 343.000 ETH movidos.

● Días 10–12: Arkham confirmó que los 500.000 ETH habían sido convertidos en su totalidad a BTC nativo desde Ethereum.

¿Qué canales utilizaron?

● THORChain (protocolo de intercambio descentralizado): alrededor del 72%, 361.000 ETH

● eXch (plataforma de intercambio sin KYC): alrededor del 16%, 79.700 ETH

● Monedero Web3 de OKX: alrededor del 8%, 40.000 ETH

THORChain obtuvo unos 5,5 millones de dólares en comisiones por estas operaciones, lo que generó fuertes críticas de la comunidad. eXch anunció su cierre el 1 de mayo de 2025.

¿Cuánto se pudo recuperar finalmente? Dos meses después, el CEO de Bybit publicó datos: el 68,6% seguía siendo rastreable, el 27,6% había "desaparecido" y solo el 3,8% fue congelado.

Conclusión: los ETH robados se convirtieron casi en su totalidad a BTC, y la recuperación real fue inferior al 4%.

2. ¿Por qué los hackers insisten en convertir a BTC?

Nadie puede congelarlo

USDT y USDC tienen emisores que pueden incluir direcciones en listas negras en cualquier momento. En el caso de Binance, Tether y Circle congelaron rápidamente unos 2.400 millones de dólares en stablecoins. ETH en sí no se puede congelar, pero los DEX, protocolos de préstamo y puentes entre cadenas del ecosistema Ethereum pueden bloquear fondos. En la cadena de Bitcoin no existen esos "puntos de control".

Mayor liquidez y aceptación

Cualquier comerciante OTC del mundo acepta BTC. MIT Technology Review ya señaló en 2020 que los hackers suelen terminar volviendo a Bitcoin, porque ninguna otra criptomoneda tiene una aceptación tan amplia ni es tan fácil de convertir en efectivo.

Adecuado para almacenamiento a largo plazo

Lazarus es un grupo de hackers respaldado por un Estado y no tiene prisa por usar el dinero. BTC puede guardarse durante meses o incluso años, hasta que pase la atención y se pueda liquidar por lotes.

3. Tras convertir a BTC, ¿cómo lo convierten en efectivo?

La respuesta es: mediante comerciantes OTC (over-the-counter) clandestinos.

El Departamento del Tesoro de EE. UU. señala que Corea del Norte suele convertir los criptoactivos robados a moneda tradicional a través de comerciantes OTC, la mayoría ubicados en China, para eludir la vigilancia de instituciones financieras y reguladores.

Ruta aproximada:

ETH robado → conversión entre cadenas a BTC → división y mezcla → a menudo conversión a USDT en la red Tron → comerciante clandestino → moneda fiat o valor en bienes

¿Cómo "rompen la cadena" los comerciantes? Mediante "operaciones espejo".

El comerciante tiene simultáneamente otro grupo de compradores que necesitan criptomonedas y no les importa su origen, como personas que quieren sacar capital al extranjero, plataformas de apuestas y fraude en línea, o comercio transfronterizo gris. El comerciante vende las criptomonedas del hacker a estos compradores y entrega la moneda fiat local pagada por ellos a personas designadas por el hacker. El rastreo on-chain se detiene en el comerciante; el dinero fuera de la cadena proviene de personas completamente ajenas.

¿Dónde termina la moneda fiat? Casos públicos incluyen:

● Cuentas bancarias y tarjetas UnionPay. Un informe del Equipo Multilateral de Supervisión de Sanciones (MSMT) indica que las unidades cibernéticas norcoreanas han utilizado el sistema financiero chino, incluidas tarjetas de crédito UnionPay y bancos comerciales, para liquidar criptoactivos robados.

● Tarjetas de regalo. En 2020, el Departamento de Justicia de EE. UU. acusó a dos ciudadanos chinos de convertir criptomonedas norcoreanas en yuanes o tarjetas de regalo de Apple.

● Plataformas financieras grises del sudeste asiático, como el grupo Huiwang en Camboya.

● Las regiones implicadas incluyen China, Rusia, Argentina, Camboya, Vietnam y Emiratos Árabes Unidos, entre otras.

4. "¿Acaso los BTC marcados no pueden entrar en exchanges?"

Esta es la duda más común. La respuesta tiene tres partes:

Las monedas sucias no necesitan entrar en exchanges regulados. Se venden a compradores de la economía gris, que las usan para seguir circulando y liquidando, no para depositarlas en Binance o Coinbase.

El marcado no es una etiqueta permanente de "blanco o negro", sino una puntuación de riesgo. Tras múltiples capas de transferencia, mezcla y combinación con otros fondos, el rastreo pasa de "certeza" a "probabilidad". Por eso el 27,6% de los fondos del caso Bybit "desapareció".

Los comerciantes cubren el riesgo con comisiones altas. Saben que es dinero sucio y cobran tarifas muy superiores a las normales. Cambian de monederos, tarjetas bancarias y empresas fantasma constantemente; el riesgo de sanciones o congelación está incluido en el precio.

Por supuesto, este camino tiene costes: comisiones de mezcla, comisiones entre cadenas, descuentos del comerciante y partes congeladas; las pérdidas pueden ser considerables. Pero para un país sancionado y casi sin otras fuentes de divisas, recuperar la mitad ya es un gran beneficio. El informe del MSMT estima que Corea del Norte robó unos 2.840 millones de dólares en criptoactivos entre enero de 2024 y septiembre de 2025.

5. ¿Qué significa para el mercado?

● La presión vendedora de ETH se concentra al principio. El proceso de convertir ETH a BTC es una venta real on-chain. En el caso Bybit tardó unos 10 días, lo que sirve de referencia.

● La presión vendedora de BTC es pequeña y dispersa. Tras la conversión a BTC, la salida se realiza principalmente mediante operaciones espejo OTC, puede durar meses o incluso años, y en su mayoría no pasa por los libros de órdenes de los exchanges, por lo que el impacto directo en el precio es mínimo.

● Los hackers no son la causa principal de las caídas. El día del hackeo de Bybit, ETH cayó alrededor del 8%; las caídas posteriores se debieron principalmente a factores macro como aranceles y liquidaciones apalancadas.

¿Qué tiene de diferente el caso de Binance? La mayor parte de los activos robados son stablecoins, que ya han sido congeladas en gran medida; los ETH directamente no congelables ascienden a unos 195.000, valorados en unos 440 millones de dólares, una escala menor que la de Bybit. Además, los hackers están usando protocolos como Uniswap y Aave para convertir stablecoins a ETH, por lo que su tenencia final de ETH podría aumentar.

Lo que conviene vigilar: los cambios en el flujo de protocolos entre cadenas como THORChain y Chainflip, que son una señal directa de la velocidad a la que los hackers convierten ETH a BTC.

Este artículo es meramente informativo y no constituye asesoramiento de inversión. El caso de Binance sigue en desarrollo y los datos pueden actualizarse.