El Grupo Lazarus, vinculado a Corea del Norte, ha transferido 244.148 Bitcoin por un valor aproximado de 19.42 millones de dólares, lo que vuelve a llamar la atención sobre las billeteras asociadas con una de las operaciones de hacking más activas de la industria cripto.
Lookonchain informó la transferencia en una publicación de X del 28 de agosto, indicando que las billeteras atribuidas al Grupo Lazarus se habían activado nuevamente y movieron 244.148 BTC aproximadamente una hora antes de su alerta.
Bitcoin se cotizaba a unos 79.500 dólares cuando la cuenta de análisis publicó su estimación, valorando la transacción en 19.42 millones de dólares. Lookonchain no identificó la dirección receptora en el texto de la publicación ni dijo si el Bitcoin se movió a un exchange, mezclador (mixer) u otra billetera controlada por el grupo.
Sin un destino revelado, la transacción por sí sola no muestra que Lazarus haya vendido o intentado cobrar el Bitcoin. Los registros públicos de la blockchain confirman cuándo los fondos se mueven entre direcciones, pero la conexión de esas direcciones con una organización generalmente depende de las etiquetas y el análisis proporcionados por investigadores o empresas de inteligencia de blockchain.
La transacción del 28 de agosto siguió a otro gran movimiento de Bitcoin atribuido al grupo a principios de mes. El 12 de agosto, Lookonchain dijo que Lazarus transfirió 262.2 BTC, entonces valorados en aproximadamente 16.64 millones de dólares, desde una billetera identificada a una dirección recién creada.
En ese momento, la cuenta de análisis describió la transacción como una transferencia de billetera a billetera en lugar de una venta. Tomando sus valores reportados en dólares, los dos movimientos de agosto involucraron más de 36 millones de dólares en Bitcoin, aunque ninguna fuente ha confirmado que las transacciones provinieran del mismo saldo o tuvieran el mismo propósito.
La actividad pasada de las billeteras muestra por qué el destino importa. En marzo de 2025, cinco direcciones desconocidas recibieron un total combinado de 44.07 BTC por un valor aproximado de 3.76 millones de dólares de billeteras atribuidas a Lazarus, según informes on-chain anteriores. Las transacciones redujeron las tenencias de la billetera rastreada a 13.441 BTC en ese momento.
Como informó crypto.news anteriormente, Bybit demandó a Corea del Norte y al Grupo Lazarus en un tribunal federal de Washington, D.C., el 7 de agosto, buscando recuperar activos vinculados al robo de 1.500 millones de dólares del exchange.
La demanda también nombró a la Oficina General de Reconocimiento (RGB) de Corea del Norte, que el Tesoro de EE. UU. identifica como la principal agencia de inteligencia del país. Un juez federal emitió una orden judicial preliminar que prohibió a los acusados no identificados transferir, vender o disponer de ciertos activos relacionados con el caso.
Bybit presentó la acción civil separadamente de las investigaciones criminales en curso en EE. UU. Una orden judicial preliminar preserva la propiedad identificada mientras el litigio continúa y no equivale a una decisión final sobre la propiedad o la responsabilidad.
El FBI atribuyó el ataque a Bybit de febrero de 2025 a actores norcoreanos que operan bajo el nombre de TraderTraitor. Según la agencia, los atacantes convirtieron parte de los fondos robados en Bitcoin y otros activos antes de distribuirlos en miles de direcciones en varias blockchains.
En su alerta pública, el FBI dijo que esperaba que los activos se movieran nuevamente y finalmente se intercambiaran por moneda emitida por el gobierno. La oficina solicitó a exchanges, puentes, servicios de finanzas descentralizadas, empresas de análisis de blockchain y operadores de nodos que bloquearan las transacciones que involucraran las direcciones que identificó.
Para abril de 2025, el CEO de Bybit, Ben Zhou, dijo que el 27.6% de los fondos robados ya no se podían rastrear, según un informe de agosto sobre los métodos de ataque de Corea del Norte. El mismo informe dijo que la distribución de activos en muchas billeteras de Bitcoin había dificultado el rastreo de la blockchain.
Lookonchain no ha conectado la última transferencia de 244.148 BTC directamente con el robo de Bybit. Ninguna agencia gubernamental o empresa de inteligencia de blockchain citada en los informes disponibles ha identificado públicamente el origen de las monedas involucradas en el movimiento del 28 de agosto.
Chainalysis estimó que los hackers norcoreanos robaron al menos 2.02 mil millones de dólares en criptomonedas durante 2025, un aumento del 51% respecto al año anterior. La firma cifró el robo acumulado de criptomonedas del país en no menos de 6.75 mil millones de dólares al final de ese período.
Según su informe de diciembre de 2025, las operaciones norcoreanas representaron el 76% del valor perdido a través de ataques a servicios cripto durante el año. Chainalysis dijo que los atacantes llevaron a cabo menos incidentes confirmados, pero extrajeron mayores cantidades de las brechas exitosas.
La firma también encontró que los operadores norcoreanos habían apuntado cada vez más a empresas a través de la suplantación de identidad y el acceso de empleados. Algunos actores se hicieron pasar por solicitantes de empleo para ingresar a negocios cripto, mientras que otros fingieron reclutar para empresas conocidas de Web3 e inteligencia artificial, según Chainalysis.
La actividad atribuida a Lazarus continuó en abril de 2026 cuando los atacantes drenaron aproximadamente 116.500 rsETH, por un valor de unos 292 millones de dólares, del puente basado en LayerZero de KelpDAO. LayerZero atribuyó el ataque con confianza preliminar a la unidad TraderTraitor del Grupo Lazarus.
Chainalysis dijo más tarde que los atacantes comprometieron la infraestructura que suministraba información de blockchain al sistema de verificación de LayerZero. Al alimentar datos falsos al sistema, hicieron que un contrato de Ethereum liberara activos a pesar de que no se había producido una quema de token equivalente en la red de origen.
Una rápida intervención bloqueó un segundo intento de robo valorado en unos 95 millones de dólares, según Chainalysis. El Consejo de Seguridad de Arbitrum también congeló más de 30.000 ETH que los investigadores conectaron a las transacciones posteriores del atacante.
Para junio, el atacante de KelpDAO había movido aproximadamente 220 millones de dólares en activos no congelados a través de servicios de privacidad, según datos de seguimiento posteriores. Las rutas incluían THORChain, Wasabi, Tornado Cash y Umbra, mientras que alrededor de 1.7 millones de dólares permanecían en las billeteras originales.
La Oficina de Control de Activos Extranjeros (OFAC) del Tesoro de EE. UU. sancionó al Grupo Lazarus en septiembre de 2019 bajo una orden ejecutiva dirigida al gobierno de Corea del Norte. La OFAC identificó a Lazarus, Bluenoroff y Andariel como grupos de hacking controlados por el estado conectados a la RGB.
Bajo esta designación, las propiedades que pertenecen a Lazarus que ingresan a los Estados Unidos o quedan bajo la posesión o control de una persona estadounidense deben ser bloqueadas e informadas a la OFAC. Las regulaciones del Tesoro también prohíben generalmente a los estadounidenses realizar transacciones con entidades sancionadas a menos que la agencia las autorice.
El Tesoro dijo que Lazarus había atacado a gobiernos, instituciones financieras, compañías de medios, fabricantes, operadores de infraestructura y negocios de criptomonedas a través de ciberrobos, espionaje y ataques de malware. El departamento vinculó al grupo con la brecha de Sony Pictures de 2014 y el ataque de ransomware WannaCry que afectó a computadoras en al menos 150 países.
Las autoridades estadounidenses también han actuado contra los servicios utilizados para procesar fondos vinculados al grupo. En 2022, el Tesoro sancionó al mezclador de moneda virtual Blender.io después de decir que había manejado más de 20.5 millones de dólares del robo de aproximadamente 620 millones de dólares de Ronin Network. El FBI atribuyó más tarde el ataque a Ronin al Grupo Lazarus y a APT38.
En agosto de 2023, el FBI advirtió por separado a las empresas de criptomonedas sobre movimientos que involucraban Bitcoin robado por actores norcoreanos de TraderTraitor. La agencia dijo que el grupo podría intentar cobrar más de 40 millones de dólares en Bitcoin y publicó seis direcciones de billetera para que las empresas privadas las examinaran.
