Hackeo de Bybit por parte del Grupo Lazarus (2025-2026)

Hackeo de Bybit por parte del Grupo Lazarus (2025-2026) es el nombre que recibe una serie de ciberataques de alto perfil atribuidos al grupo de hackers norcoreano Lazarus, que culminaron con el robo de 1.400 millones de dólares en Ethereum (ETH) de la plataforma de intercambio de criptomonedas Bybit el 21 de febrero de 2025, así como ataques posteriores contra Drift Protocol (285 millones de dólares en abril de 2026). Los incidentes son significativos por la magnitud de las pérdidas financieras (uno de los mayores robos de criptomonedas de la historia), la sofisticación de las técnicas de ingeniería social empleadas (incluyendo relaciones de confianza de hasta seis meses y reuniones presenciales en conferencias), y la capacidad del grupo para orquestar ataques simultáneos contra múltiples plataformas (Bybit, Phemex, BingX) utilizando infraestructura de blanqueo de capitales compartida.

Nombres Alternativos / Aliases

• Robo de Bybit por 1.400 Millones de Dólares (Nombre mediático)
• Operación Lazarus contra Exchanges (Por el actor y objetivo)
• Ataque de Ingeniería Social a Drift Protocol (Por el ataque de abril de 2026)
• Serie de Hackeos a Bybit, Phemex y BingX (Por los múltiples objetivos)

Fecha de Detección / Actividad

• Hackeo de Bybit: 21 de febrero de 2025 (19:09 UTC).
• Hackeo de Phemex: 20 de febrero de 2025 (día anterior al ataque a Bybit).
• Hackeo de BingX: Septiembre de 2024.
• Vinculación Forense: 22 de febrero de 2025 (ZachXBT publica pruebas que conectan los tres hackeos).
• Inicio de la Infiltración a Drift Protocol: Finales de 2025 (primer contacto en conferencia).
• Depósito de Confianza (Drift): Diciembre 2025 - Enero 2026 (depósito de 1 millón de dólares por parte de los atacantes).
• Hackeo de Drift Protocol: 1 de abril de 2026.
• Divulgación Pública (Drift): 6 de abril de 2026.
• Estado: Activo. Las investigaciones continúan. Se han congelado parcialmente los fondos (42,89 millones de dólares de Bybit), pero la mayoría sigue en movimiento. Se recomienda máxima alerta en el sector de criptomonedas.

Actor de Amenaza (Atribución)

• Nombre del Grupo: Grupo Lazarus (también conocido como Lazarus Group).
• Subgrupos / Aliases Asociados: UNC4736 (también conocido como AppleJeus o Citrine Sleet) para el ataque a Drift Protocol; UNC1069 para campañas contra mantenedores de Node.js.
• Nacionalidad / Patrocinio: Corea del Norte (República Popular Democrática de Corea). Es un grupo patrocinado por el estado norcoreano.
• Tipo de Actor: Cibercriminales y ciberespionaje con motivación financiera y geopolítica.
• Motivación: Financiera. El objetivo principal es robar fondos para eludir las sanciones internacionales y financiar el programa de armas nucleares y las operaciones militares de Corea del Norte. Se estima que el grupo ha robado más de 3.000 millones de dólares en criptomonedas desde 2018.
• Sofisticación: Extremadamente alta. Lazarus es considerado uno de los grupos de hackers más sofisticados del mundo. Sus operaciones incluyen ingeniería social avanzada (incluyendo reuniones presenciales y relaciones de confianza de meses), explotación de vulnerabilidades en plataformas de criptomonedas, y complejas técnicas de blanqueo de capitales que involucran múltiples blockchains, servicios de mezcla, y puentes entre cadenas.

Resumen Ejecutivo

El 21 de febrero de 2025, Bybit, la segunda mayor plataforma de intercambio de criptomonedas del mundo, sufrió un robo masivo de 1.400 millones de dólares en Ethereum (ETH). El ataque se produjo a través de una brecha de seguridad en un monedero frío (cold wallet) de la plataforma.

En los días inmediatamente posteriores, el reconocido investigador independiente de blockchain ZachXBT, en colaboración con Arkham Intelligence, presentó pruebas forenses que vinculaban el ataque directamente con el Grupo Lazarus de Corea del Norte. Las pruebas incluían transacciones de prueba detalladas, direcciones de monederos conectadas y análisis de tiempos que demostraban que el ataque había sido premeditado.

ZachXBT también descubrió que el mismo grupo estaba detrás de hackeos recientes a Phemex (ocurrido el 20 de febrero de 2025, un día antes) y a BingX (septiembre de 2024). Se identificó una dirección clave común (0x33d057af74779925c4b2e720a820387cb89f8f65) donde se habían mezclado los fondos de los tres hackeos, confirmando que la misma entidad era la responsable.

El 22 de febrero de 2025, ZachXBT publicó más de 920 direcciones de monedero vinculadas al robo de Bybit para ayudar a las plataformas de intercambio y a los equipos de seguridad a bloquear transacciones ilícitas. Gracias a un esfuerzo global coordinado, se lograron congelar 42,89 millones de dólares en activos robados en un solo día, con la colaboración de ChangeNOW, Circle, THORChain, FixedFloat, Avalanche, Bitget, Tether y CoinEx.

Más de un año después, el 1 de abril de 2026, Drift Protocol sufrió un robo de 285 millones de dólares. La investigación reveló que el ataque (atribuido a UNC4736, un subgrupo de Lazarus) había comenzado seis meses antes, cuando los atacantes se hicieron pasar por una empresa de trading cuantitativo en conferencias de criptomonedas, estableciendo relaciones cara a cara con el personal de Drift. Para ganar confianza, llegaron a depositar 1 millón de dólares de su propio dinero en el ecosistema Drift. Utilizando ingeniería social, convencieron a empleados para que descargaran aplicaciones maliciosas a través de TestFlight, clonaran repositorios de código malicioso o abrieran carpetas que explotaban vulnerabilidades en VSCode y Cursor. Una vez comprometidos los dispositivos, obtuvieron las claves multifirma necesarias para vaciar las bóvedas del protocolo en menos de un minuto.

Vectores de Ataque

Para el Hackeo de Bybit, Phemex y BingX:

• Brecha de Seguridad en Monedero Frío (T1190): Los atacantes explotaron una vulnerabilidad en la infraestructura de monederos fríos de Bybit (los detalles técnicos específicos no fueron divulgados públicamente).
• Blanqueo de Capitales Avanzado: Utilización de múltiples blockchains, servicios de mezcla (mixers), puentes entre cadenas (cross-chain bridges), y exchanges descentralizados para ocultar el rastro de los fondos robados.

Para el Hackeo de Drift Protocol:

• Ingeniería Social Avanzada (T1566): Contacto presencial en conferencias y desarrollo de una relación de confianza durante seis meses, haciéndose pasar por una empresa legítima de trading cuantitativo.
• Depósito de Confianza (T1585): Los atacantes depositaron 1 millón de dólares de fondos propios (posiblemente de robos anteriores) en el ecosistema Drift para aparentar legitimidad.
• Entrega de Malware vía TestFlight (T1105): Un empleado fue engañado para descargar una aplicación móvil maliciosa a través de TestFlight (plataforma de pruebas de Apple), haciéndole creer que era una nueva billetera digital.
• Clonación de Repositorio Malicioso (T1195.001): Un colaborador fue inducido a clonar un repositorio de código que contenía malware, presentado como una herramienta para crear un sitio web.
• Explotación de Vulnerabilidades en VSCode/Cursor (T1190): Los atacantes explotaron una vulnerabilidad conocida en entornos de desarrollo (VSCode, Cursor) que permitía ejecutar código arbitrario al abrir una carpeta proporcionada por el atacante.
• Ataque de Nonce Duradero (T1565): Una vez con acceso a los dispositivos comprometidos, los atacantes utilizaron esta técnica para eludir la seguridad de las firmas multifirma y vaciar las bóvedas.

Técnicas, Tácticas y Procedimientos (TTPs)

Táctica (MITRE ATT&CK)	Técnica	Descripción / Implementación
Acceso Inicial (TA0001)	Exploit Public-Facing Application (T1190)	Explotación de vulnerabilidad en monederos fríos de Bybit; explotación de vulnerabilidades en VSCode/Cursor contra Drift.
Acceso Inicial (TA0001)	Phishing (T1566)	Ingeniería social avanzada, incluyendo reuniones presenciales en conferencias y relaciones de confianza de meses (Drift).
Acceso Inicial (TA0001)	Supply Chain Compromise (T1195.001)	Clonación de repositorios de código malicioso presentados como herramientas legítimas (Drift).
Ejecución (TA0002)	User Execution (T1204)	Engaño a empleados para que descarguen y ejecuten aplicaciones maliciosas (TestFlight) o abran carpetas comprometidas.
Persistencia (TA0003)	Valid Accounts (T1078)	Una vez comprometidas las claves y dispositivos, los atacantes mantienen acceso a las cuentas multifirma del protocolo.
Defensa en Evasión (TA0005)	Masquerading: Match Legitimate Name or Location (T1036.005)	Los atacantes se hicieron pasar por una empresa de trading legítima; las aplicaciones maliciosas se disfrazaban de billeteras digitales.
Credential Access (TA0006)	Credentials from Password Stores (T1555)	Obtención de claves privadas y credenciales de acceso a monederos y billeteras desde los dispositivos comprometidos.
Collection (TA0009)	Data from Local System (T1005)	Recopilación de información sobre las bóvedas, claves multifirma y mecanismos de seguridad del protocolo.
Command and Control (TA0011)	Remote Access Software (T1219)	Posible uso de RATs para mantener acceso remoto a los dispositivos comprometidos durante el período de infiltración (Drift).
Exfiltration (TA0010)	Exfiltration Over Web Service (T1567)	Transferencia de los fondos robados a monederos controlados por los atacantes.
Impact (TA0040)	Data Manipulation (T1565)	Manipulación de las transacciones y firmas para vaciar las bóvedas (ataque de nonce duradero).

Flujo de Ataque (Kill Chain)

Para Bybit, Phemex, BingX:

1. Reconocimiento: Identificación de vulnerabilidades en las plataformas de intercambio de criptomonedas (exchanges).
2. Explotación: Ejecución de un exploit contra la infraestructura de monederos fríos (Bybit) o de las plataformas (Phemex, BingX).
3. Exfiltración: Transferencia de grandes cantidades de Ethereum y otros criptoactivos a monederos controlados por Lazarus.
4. Blanqueo de Capitales: Utilización de servicios de mezcla, puentes entre cadenas y exchanges descentralizados para ocultar el origen de los fondos.
5. Coordinación de Múltiples Ataques: Uso de la misma infraestructura de blanqueo para los hackeos de Bybit, Phemex y BingX.

Para Drift Protocol:

1. Reconocimiento e Infiltración Social (6 meses): Los atacantes se identifican como una empresa de trading cuantitativo, asisten a conferencias y establecen relaciones cara a cara con el personal de Drift.
2. Generación de Confianza: Depositan 1 millón de dólares de fondos propios en el ecosistema Drift para parecer socios legítimos.
3. Entrega de Malware: Utilizando la confianza generada, engañan a empleados para que descarguen aplicaciones maliciosas (TestFlight), clonen repositorios comprometidos o abran carpetas maliciosas en VSCode.
4. Compromiso de Dispositivos: El malware se ejecuta, otorgando a los atacantes acceso remoto y control sobre los dispositivos del personal.
5. Robo de Credenciales: Extraen claves privadas y credenciales de acceso a las bóvedas y sistemas de firma multifirma.
6. Ejecución del Robo (1 minuto): Utilizan un ataque de nonce duradero para eludir la seguridad y vaciar las bóvedas del protocolo.

Infraestructura Utilizada

Tipo	Ejemplos / Características	Propósito
Plataformas de Criptomonedas	Bybit, Phemex, BingX, Drift Protocol	Objetivos de los ataques.
Infraestructura de Blanqueo	Servicios de mezcla (mixers), puentes entre cadenas (cross-chain bridges), exchanges descentralizados (DEXs)	Ocultar el rastro de los fondos robados.
Aplicaciones Maliciosas	Aplicación falsa distribuida vía TestFlight (Drift)	Comprometer dispositivos móviles de empleados.
Repositorios Maliciosos	Repositorios de código en plataformas como GitHub	Distribuir malware a través de clonación de repositorios.
Herramientas de Desarrollo Explotadas	VSCode, Cursor (extensiones o vulnerabilidades)	Ejecutar código arbitrario al abrir carpetas maliciosas.
Direcciones de Monedero	Más de 920 direcciones identificadas (Bybit); dirección común 0x33d057af74779925c4b2e720a820387cb89f8f65 (conexión entre Bybit, Phemex y BingX).	Almacenamiento y movimiento de fondos robados.

Objetivos y Sectores Atacados

• Objetivo Principal: Plataformas de intercambio de criptomonedas (exchanges centralizados y descentralizados) y protocolos de finanzas descentralizadas (DeFi).
• Sectores Afectados: Criptomonedas, blockchain, finanzas, tecnología. Los ataques tienen un impacto secundario en todos los usuarios e inversores de estas plataformas.
• Sistemas Afectados: Infraestructura de monederos fríos y calientes (hot/cold wallets), sistemas de firma multifirma, entornos de desarrollo de los equipos, dispositivos personales de empleados.

Impacto y Riesgo

• Nivel de Riesgo: Crítico para las plataformas objetivo; Alto para el ecosistema de criptomonedas en general.
• Impacto Financiero: Inmediato y masivo. Bybit: 1.400 millones de dólares; Drift Protocol: 285 millones de dólares. Pérdidas totales de Lazarus desde 2018 superan los 3.000 millones de dólares.
• Impacto en la Confidencialidad: Compromiso de claves privadas, credenciales de acceso y datos sensibles de los protocolos.
• Impacto en la Integridad: Manipulación de transacciones y sistemas de firma para autorizar transferencias no autorizadas.
• Impacto en la Disponibilidad: Drift Protocol congeló todas las funciones tras el ataque. Bybit reanudó operaciones rápidamente.
• Impacto Geopolítico: Los fondos robados financian el programa de armas nucleares y las operaciones militares de Corea del Norte, evadiendo sanciones internacionales.

Recomendaciones de Mitigación

Para Plataformas de Criptomonedas y Protocolos DeFi

1. Capacitación en Ingeniería Social Avanzada: Los equipos deben estar entrenados para detectar no solo phishing por correo, sino también relaciones de confianza prolongadas, ofertas de colaboración inesperadas, y reuniones en conferencias. Verificar siempre la identidad de terceros por canales independientes.
2. Zero Trust para Dispositivos de Desarrollo: Aplicar principios de Zero Trust a los entornos de desarrollo. No asumir que un dispositivo que ha abierto un repositorio o una carpeta externa está limpio. Utilizar entornos aislados (sandboxes) o máquinas virtuales para código de terceros.
3. Hardening de Herramientas de Desarrollo: Mantener actualizadas las herramientas de desarrollo (VSCode, Cursor) y deshabilitar funcionalidades automáticas (ej. ejecución de scripts al abrir carpetas) si no son estrictamente necesarias.
4. Protección de Claves Multifirma: Implementar soluciones de hardware security modules (HSM) y claves físicas para firmas multifirma. Limitar el número de firmantes y requerir autenticación adicional para transacciones de alto valor.
5. Monitoreo de Blockchain: Utilizar herramientas de análisis de blockchain (como Arkham, Chainalysis) para monitorear movimientos sospechosos de fondos y direcciones asociadas a actores maliciosos (como las más de 920 publicadas por ZachXBT).
6. Respuesta Rápida y Coordinación: Establecer relaciones con otros exchanges, emisores de stablecoins y equipos de seguridad para poder congelar fondos de manera coordinada ante un robo.

Para Usuarios de Criptomonedas

1. Retirar Fondos de Exchanges Centralizados: Considerar retirar fondos a monederos personales (self-custody) especialmente después de incidentes de gran magnitud.
2. Verificar Comunicaciones: Desconfiar de cualquier comunicación no solicitada que solicite información personal o acciones relacionadas con fondos. Verificar siempre por canales oficiales.
3. Monitorear Direcciones de Monedero: Utilizar herramientas de blockchain para monitorear direcciones sospechosas y estar atento a transacciones no autorizadas.

Herramientas de Detección

Herramienta / Capacidad	Uso
Análisis de Blockchain (Arkham, Chainalysis, ZachXBT)	Rastreo de transacciones ilícitas, identificación de direcciones asociadas a Lazarus, y conexión entre diferentes hackeos.
Análisis de Comportamiento de Red (NDR)	Detección de conexiones salientes a infraestructura de C2 o a servicios de mezcla no autorizados.
Endpoint Detection and Response (EDR)	Detección de ejecución de malware en dispositivos de empleados, especialmente a través de vectores como TestFlight o repositorios clonados.
Auditoría de Repositorios y Dependencias (SCA)	Identificación de código malicioso en repositorios clonados o dependencias añadidas.

Indicadores de Compromiso (IOCs)

Direcciones de Monedero (Selección)

Tipo	Indicador
Dirección Común (Bybit, Phemex, BingX)	0x33d057af74779925c4b2e720a820387cb89f8f65
Dirección Superpuesta (Bybit y BingX)	0xd555789b146256253cd4540da28dcff6e44f6e50
Conjunto Completo (Bybit)	Más de 920 direcciones publicadas por ZachXBT el 22 de febrero de 2025

Transacciones de Prueba (Ejemplos)

Plataforma	Hash de Transacción
Bybit	0xc963e65b9ec39b11076f78990c31f29aaa80705c75312dafd1748479e3e94ed0
Bybit	0x411374feedcfa560335f00c0fcfa0a3906fdcc33687e6f924dd78ebecc45cd00
Phemex	0x6262a3339842240aeebae4ebfe338dbc771aa0e2df8f5a1ebcd7f9b090bedfe3
BingX	0x93424aa87731bb9b1d8cc1f708d2ac9f3faf914f368a00494d87cba3e7719e8c

Tácticas y Comportamientos

Tipo	Indicador
Contacto Inicial	Acercamiento en conferencias de criptomonedas por individuos que se identifican como representantes de empresas de trading cuantitativo.
Depósito de Confianza	Depósito de fondos significativos (1M+) en el protocolo objetivo para aparentar legitimidad.
Solicitud de Colaboración	Propuesta de colaboración profesional que implica el uso de herramientas externas (TestFlight, repositorios, VSCode).
Aplicaciones o Repositorios Sospechosos	Solicitud de descargar aplicaciones de TestFlight o clonar repositorios de GitHub con nombres relacionados con billeteras o herramientas de trading.

Referencias y Fuentes

• Hackread. (2025, Febrero 23). Investigadores vinculan el hackeo de Bybit por valor de 1.400 millones de dólares con el Grupo Lázaro de Corea del Norte. (Waqas).
• Hackread. (2026, Abril 6). Hackers norcoreanos se hacen pasar por una empresa comercial para robar 285 millones de dólares a Drift. (Deeba Ahmed).
• ZachXBT (Investigador Independiente). (2025, Febrero 21-22). Publicaciones en X (Twitter) sobre el rastreo forense del hackeo de Bybit.
• Arkham Intelligence. (2025, Febrero 21). Confirmación de la vinculación de Lazarus con el hackeo de Bybit.
• Bybit (Oficial). (2025, Febrero 22-23). Declaraciones sobre el hackeo y agradecimientos a ZachXBT.
• Drift Protocol (Oficial). (2026, Abril 6). Actualización sobre el hackeo de 285 millones de dólares.
• Mandiant / SEALS 911. (2026, Abril). *Atribución del ataque a Drift Protocol a UNC4736 (AppleJeus / Citrine Sleet).*
• MITRE ATT&CK Framework: Mapeo de TTPs (T1190, T1566, T1195, T1204, T1078, T1555, T1567, T1565).

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-04-06	1.0	Análisis Colectivo	Creación inicial de la entrada basada en reportes de Hackread sobre el hackeo de Bybit (febrero 2025) y Drift Protocol (abril 2026), atribuidos al Grupo Lazarus.

Etiquetas / Categorías

lazarus grupo-lazarus corea-del-norte bybit drift-protocol phemex bingx hackeo criptomonedas ethereum robo zachxbt arkham unc4736 applejeus citrine-sleet ingenieria-social testflight vscode blanqueo-de-capitales t1190 t1566 t1195 t1204 t1565 blockchain defi exchange sanciones finanzas