- TRM Labs tiene "alta confianza" en que TraderTraitor, vinculado a Lazarus, ejecutó el robo a Binance.
- Tether bloqueó unos 1.600 millones y Circle más de 800 millones, lo que redujo el impacto del golpe.
- Chainalysis calculó robos por 2.020 millones de dólares atribuidos al régimen solo en 2025.
- Kaspersky documentó el uso de cifrado poscuántico ML-KEM-1024 para ocultar las operaciones.
- La ONU estimó que el robo de criptomonedas podía aportar hasta la mitad de las divisas del país.
Corea del Norte se ha consolidado como una de las principales potencias del cibercrimen y utiliza esa actividad para autofinanciarse, según las investigaciones difundidas tras el ataque que hizo desaparecer unos 6.360 millones de dólares de las carteras de Binance. La atribución es todavía preliminar y el FBI no se ha pronunciado oficialmente, aunque varias firmas de seguridad apuntan a grupos vinculados a la red Lazarus.
La firma TRM Labs expresó "alta confianza" en que el autor del robo es TraderTraitor, un grupo asociado a Lazarus, y señaló que "varias características de este ataque coinciden con robos anteriores vinculados a Corea del Norte". Tether bloqueó unos 1.600 millones y Circle más de 800 millones en USDC, de modo que el impacto podría haber sido mayor si no fuera porque parte del botín quedó congelado. La cifra cuadruplica el récord anterior, el robo de Bybit de 2025 por unos 1.500 millones de dólares.
Los vínculos entre ambos episodios se sostienen en el uso de direcciones que ya habían aparecido en el ataque de 2025. En febrero de ese año desaparecieron 1.500 millones de dólares en Ether y el FBI atribuyó el hecho a Corea del Norte días después. Chainalysis calculó que los hackers vinculados al régimen robaron unos 2.020 millones de dólares en criptomonedas solo en 2025, un 51% más que el año anterior y el mayor total registrado, con un acumulado histórico de 6.750 millones.
La investigación de Kaspersky sobre la Operación FlashHole, activa desde al menos julio de 2025 y dirigida a empresas surcoreanas de software, construcción y telecomunicaciones, documentó una herramienta de Lazarus que protege la descarga de nuevos programas con ML-KEM-1024, un algoritmo poscuántico. El investigador Sojun Ryu sostuvo que esa tecnología "se considera la criptografía del futuro" y que su uso revela un nivel de especialización muy avanzado para evitar que las cargas maliciosas queden expuestas ante defensores o investigadores.
La directora de Inteligencia Nacional de Estados Unidos, Tulsi Gabbard, afirmó ante el Congreso que esos robos ayudan a financiar al régimen de Kim Jong-un y su programa de armas estratégicas. Un informe de la ONU de 2024 calculó que el robo de criptomonedas podía aportar hasta la mitad de las divisas que recibe el país. El Departamento de Justicia de Estados Unidos detalló además un esquema de teletrabajo con identidades robadas que afectó a más de 70 empresas y generó unos 3 millones de dólares.
La atribución definitiva del ataque a Binance sigue pendiente de confirmación oficial. Mientras tanto, los investigadores continúan trazando el movimiento de los fondos y la relación entre las direcciones utilizadas en los distintos episodios para determinar el alcance total de la operación.