Un solo Estado-nación se adjudicó casi dos tercios de cada dólar robado del ecosistema global de criptomonedas en la primera mitad de 2026.
No es un error de redondeo. Tampoco el efecto aislado de un gran atraco.
Es el resultado de una campaña de hackeo sostenida, casi industrial, que lleva cerca de una década puliendo su modelo operativo y que hoy supera, por sí sola, a todos los demás actores maliciosos del sector combinados.
La magnitud es llamativa incluso para los estándares del crimen cripto, un terreno acostumbrado a las cifras estratosféricas.
Según datos difundidos esta semana por firmas de ciberseguridad en cadena, los grupos vinculados a Corea del Norte concentraron el 66,2% de las pérdidas globales por hackeos de criptoactivos en el primer semestre de 2026.
Esta concentración de pérdidas en un único clúster de amenaza supone un cambio cualitativo en el perfil de riesgo de toda la industria. Y llega justo en un momento en el que el capital institucional está entrando en cripto al ritmo más rápido desde 2021.
En resumen
- Hackers vinculados a Corea del Norte capturaron el 66,2% de todas las pérdidas por hackeos cripto en la primera mitad de 2026, un máximo histórico de concentración del robo estatal de criptoactivos.
- El Lazarus Group y unidades afines de la RPDC han pasado de ataques oportunistas a exchanges a operaciones altamente estructuradas contra protocolos DeFi, puentes entre cadenas y el uso de ingeniería social dirigida a desarrolladores.
- Los fondos financian directamente los programas de armamento de Corea del Norte, convirtiendo la seguridad cripto en un asunto geopolítico que reguladores en Washington, Bruselas y Seúl tratan ya con carácter de urgencia.
El dato del 66% y qué mide realmente
Antes de analizar el ángulo estratégico, conviene entender la metodología detrás de esta cifra.
El 66,2% se refiere a la proporción de las pérdidas totales verificadas por hackeos de criptomonedas atribuibles a monederos vinculados a la RPDC en el primer semestre de 2026, según análisis forense on-chain que rastrean los fondos desde el robo inicial, pasando por mezcladores, hasta su conversión final en dinero fiduciario o activos difíciles de rastrear.
Chainalysis, que publica la serie histórica más completa sobre crimen cripto, señaló en su Crime Report 2024 que los grupos ligados a Corea del Norte robaron alrededor de 1.340 millones de dólares en 47 incidentes durante 2023, el 61% del valor total sustraído ese año.
La cifra de la primera mitad de 2026 supone una concentración aún mayor. Indica que la brecha entre las capacidades de la RPDC y las del resto de actores maliciosos se está ampliando, no cerrando.
Ese 66,2% es la mayor cuota jamás registrada para el robo estatal de criptoactivos en un periodo de seis meses.
Importa también lo que ese 66% no incluye.
Quedan fuera los “exit scams”, los “rug pulls” y las estafas de inversión, categorías que Chainalysis suele separar de los hackeos puros. El denominador abarca únicamente pérdidas por hackeo verificadas.
Si se incluyeran todos los tipos de delitos cripto, el porcentaje relativo de la RPDC bajaría. Pero el volumen absoluto en dólares robados seguiría siendo igual de abultado.
También lee: La demanda spot de XRP sube mientras los perps de Binance lanzan una alarma de 783 millones de dólares
Cómo el Lazarus Group se convirtió en una superpotencia cripto
El Lazarus Group —denominación paraguas utilizada por la inteligencia estadounidense y por investigadores privados para las unidades cibernéticas más capaces de la RPDC— no nació con foco en las criptomonedas.
Sus primeras operaciones conocidas incluían ataques destructivos, robos a bancos mediante la explotación de la red SWIFT y campañas de ransomware.
El giro hacia el mundo cripto fue gradual. Se acelera a partir de 2017, cuando el grupo apunta a exchanges surcoreanos, y se dispara tras el ataque a Ronin Network en 2022.
El hackeo de Ronin, en el que Lazarus Group sustrajo unos 625 millones de dólares de la sidechain de Axie Infinity, marcó un punto de inflexión estratégico.
Demostró que la infraestructura DeFi —con su complejidad de contratos inteligentes, su dependencia de puentes entre cadenas y sus vulnerabilidades de ingeniería social sobre equipos de desarrollo— ofrecía una superficie de ataque mucho más lucrativa que los exchanges centralizados, que habían endurecido sus defensas tras una década de brechas.
A día de hoy, esos 625 millones robados en marzo de 2022 siguen siendo el mayor hackeo DeFi registrado. Y sirvieron de plantilla operativa para las campañas cripto posteriores de la RPDC.
Desde 2022, el grupo ha ido puliendo sistemáticamente tres vectores de ataque.
El primero son las credenciales comprometidas de desarrolladores, habitualmente mediante falsas ofertas de trabajo en LinkedIn que instalan malware cuando el objetivo abre un documento o ejecuta el contenido de un repositorio.
El segundo son las explotaciones de puentes entre cadenas, a través de fallos en la lógica de los contratos inteligentes que validan transferencias de activos entre redes.
El tercero son los ataques a la cadena de suministro de software, manipulando dependencias utilizadas por protocolos cripto, una técnica nacida en la ciberseguridad tradicional que ahora se adapta al entorno blockchain.
También lee: El Inglaterra vs India ya no es solo cricket para los traders de mercados de predicción
Del asalto a exchanges al asedio de la DeFi
La historia temprana de los grandes hackeos cripto la escribieron las brechas en exchanges centralizados: Mt. Gox en 2014, Bitfinex en 2016, Coincheck en 2018. Eran ataques basados en comprometer “hot wallets”, explotar vulnerabilidades de APIs o corromper a insiders. Los perpetradores solían ser grupos criminales oportunistas, no aparatos estatales con respaldo institucional.
El manual actual de la RPDC es otra cosa. En su informe 2024 Crypto Threat Intelligence, TRM Labs concluye que el peso de la DeFi en el botín cripto de Corea del Norte se ha disparado: la cuota de robos procedentes de exploits a protocolos DeFi frente a los hacks a exchanges centralizados pasó de alrededor del 30% en 2021 a más del 70% en 2024. Es un movimiento que acompasa el propio crecimiento de la liquidez on-chain.
El valor total bloqueado en protocolos DeFi (TVL) superó los 180.000 millones de dólares a finales de 2021, se desplomó durante el mercado bajista de 2022 y desde entonces se ha recuperado hasta niveles que vuelven a representar un objetivo jugoso. Datos de DefiLlama (https://defillama.com/) a mediados de 2026 muestran un TVL superior a 110.000 millones de dólares en todas las cadenas, con los puentes cross-chain concentrando una fracción desproporcionada de ese valor en pools únicos.
Los contratos de puentes DeFi son objetivos estructuralmente atractivos para atacantes sofisticados porque agrupan grandes volúmenes de liquidez en un único contrato inteligente, al tiempo que dependen de mecanismos de validación entre cadenas complejos y difíciles de auditar por completo.
Los puentes cross-chain se convirtieron en obsesión específica de las unidades de la RPDC por su perfil de riesgo singular. Un contrato de puente debe confiar en afirmaciones procedentes de una cadena remota que no puede verificar de forma nativa. La lógica de validación es densa, y suele basarse en un comité multisig o en pruebas tipo “light client”. Ambos enfoques generan supuestos explotables. En el caso de Ronin, el puente utilizaba un multisig de nueve de nueve que, en la práctica, quedó reducido a un umbral efectivo de cinco firmas mediante ingeniería social. Con esas cinco firmas en manos del atacante, las retiradas fraudulentas que vaciaron el puente se aprobaron sin levantar sospechas a tiempo.
También lee: ¿Vale Fable 5 el doble de precio cuando Opus 4.8 sigue cumpliendo?
La trampa de las falsas ofertas laborales y el foco en los desarrolladores
El elemento más constante —y a la vez más infravalorado— de la campaña de la RPDC en el primer semestre de 2026 es su infraestructura de ingeniería social dirigida a desarrolladores y empleados de protocolos. No se trata de un “hack” técnico clásico, sino de una operación de inteligencia basada en relaciones, paciente, que culmina en la ejecución de código malicioso.
El guion estándar, documentado con detalle por Mandiant en su análisis sobre la amenaza financiera de APT38 (https://www.mandiant.com/resources/apt38-details-on-new-north-korean-regime-backed-threat-group) y por la Cybersecurity and Infrastructure Security Agency de Estados Unidos en la Alerta CISA AA22-108A, pasa por la creación de perfiles profesionales muy creíbles en LinkedIn, a menudo con fotos generadas por IA. A partir de ahí, los operativos se acercan a desarrolladores que trabajan en protocolos cripto y les ofrecen trabajos freelance, entrevistas o supuestas oportunidades de revisión de código.
En casos documentados, los operativos norcoreanos mantuvieron relaciones en LinkedIn con desarrolladores cripto durante semanas o meses antes de entregar el malware, ganándose su confianza con conversaciones técnicas verosímiles sobre la base de código concreta en la que trabajaba la víctima.
Una vez que el objetivo se implica, el atacante acaba enviando un archivo que exige ejecución local. Puede ser un PDF con carga maliciosa, un repositorio de GitHub con una dependencia troyanizada o una prueba técnica falsa que instala una puerta trasera.
Con ese primer punto de apoyo en la máquina del desarrollador, los atacantes pueden recolectar claves privadas, tokens de sesión de sistemas internos y credenciales de la infraestructura en la nube utilizada para desplegar y gestionar los contratos del protocolo.
El nivel de sofisticación de esta operativa refleja una inversión institucional en capacidades que ningún grupo criminal privado puede replicar. Las unidades cibernéticas de la RPDC son empleados estatales a tiempo completo, operan bajo estrictas normas de seguridad operacional y acumulan años de conocimiento sobre qué protocolos son más vulnerables y qué desarrolladores resultan más abordables.
La infraestructura de lavado que sostiene las cifras
Robar las criptomonedas es solo el primer eslabón. Convertirlas en ingresos utilizables para el régimen exige una cadena de blanqueo sofisticada, que se ha convertido en objeto de una intensa investigación on-chain. Es en el movimiento posterior de los fondos donde los investigadores atribuyen con mayor seguridad los ataques a la RPDC, al detectar patrones de comportamiento reconocibles del grupo. patrones en la forma en que mueve y oculta fondos.
Chainalysis documentó el flujo de blanqueo estándar de la RPDC como un proceso en varias fases. Los activos robados se convierten primero en Ethereum (ETH) o Bitcoin (BTC) mediante exchanges descentralizados on-chain, transformando tokens ilíquidos específicos de cada protocolo en criptoactivos de alta liquidez. A continuación, esos fondos pasan por servicios de mezcla, con el grupo utilizando históricamente Tornado Cash hasta que las sanciones de la OFAC en agosto de 2022 lo obligaron a migrar hacia herramientas de ofuscación alternativas como Sinbad y Yomix, ambas posteriormente también sancionadas por Estados Unidos.
La OFAC designó al mezclador Sinbad en noviembre de 2023 y al mezclador Yomix en abril de 2025, evidenciando un juego del gato y el ratón en el que cada herramienta de blanqueo de la RPDC acaba afrontando un paquete de sanciones que empuja al grupo hacia nueva infraestructura.
Tras la mezcla, los fondos se canalizan a través de una red de cuentas anidadas en exchanges, brókeres OTC que operan en jurisdicciones sin una aplicación efectiva de normas AML, y plataformas peer-to-peer. La vía de salida más utilizada históricamente han sido exchanges radicados en Asia oriental y sudoriental con controles KYC laxos. Un informe de 2024 del Panel de Expertos de Naciones Unidas sobre Corea del Norte señaló específicamente el producto de robos cripto como fuente principal de financiación del programa de misiles balísticos de la RPDC, estimando que los ingresos en criptomonedas cubren en torno al 40% de las necesidades de divisas del país para el desarrollo de armas de destrucción masiva.
También lea: Ethereum Podría Ir a Un Estado Casi-Cero Bajo el Plan de Cadena Ultraligera Más Radical de Buterin
La Respuesta Regulatoria y Sus Límites
El Gobierno de EE. UU. ha desplegado un amplio abanico de herramientas contra las operaciones cripto de la RPDC, que incluyen designaciones de la OFAC sobre wallets y mezcladores, avisos de atribución del FBI para hacks concretos y comunicados conjuntos con agencias de inteligencia aliadas. El Departamento de Justicia ha imputado a varios operativos norcoreanos identificados, aunque su enjuiciamiento es prácticamente inviable ante la falta de mecanismos de extradición.
El límite de la respuesta estadounidense es estructural. Sancionar direcciones de wallet resulta eficaz solo frente a actores que necesitan usar infraestructura financiera regulada como rampa de salida. El impacto es mínimo sobre operadores sofisticados que enrutan fondos por jurisdicciones fuera del alcance del régimen AML estadounidense. La acción de la OFAC contra Tornado Cash fue relevante y polémica, pero la RPDC se adaptó en cuestión de meses migrando a otra infraestructura.
El Departamento de Justicia ha acusado formalmente a siete hackers militares norcoreanos en relación con operaciones de robo de criptoactivos, pero ninguno ha llegado a juicio. Las imputaciones funcionan sobre todo como herramientas de atribución y como elemento disuasorio para servicios terceros que, de otro modo, podrían facilitar el movimiento de fondos.
El Grupo de Acción Financiera Internacional (GAFI), el organismo intergubernamental que fija estándares AML, ha elevado a Corea del Norte a su categoría de máximo riesgo y mantiene un llamamiento permanente a que las jurisdicciones miembro apliquen una diligencia reforzada a cualquier operación con nexo con la RPDC. Sin embargo, las recomendaciones del GAFI no son vinculantes, y las jurisdicciones más útiles para la RPDC como vías de salida suelen ser países no miembros o miembros con historiales débiles de implementación.
El Reglamento de Mercados de Criptoactivos de la UE, en plena aplicación desde finales de 2024, incorpora requisitos de “travel rule” que obligan a identificar a la contraparte en transferencias cripto por encima de determinados umbrales. Sus defensores sostienen que esto cierra parte de los canales OTC de salida. Los críticos recuerdan que las operaciones de la RPDC son lo bastante sofisticadas como para esquivar los requisitos KYC mediante el uso de wallets no custodiados y jurisdicciones fuera del alcance regulatorio europeo.
También lea: La Herramienta Muse Image de Meta Convierte Instagram en Materia Prima para el Arte de IA
Lo Que Realmente Refleja la Forensia On-Chain
La atribución de robos cripto a Corea del Norte no es una afirmación política, sino que se basa en datos on-chain verificables, replicables por cualquier investigador con acceso a información pública de blockchain y herramientas de clustering de wallets. Entender cómo funciona esa atribución es clave para evaluar su solidez.
Cuando la RPDC vulnera un protocolo, la transacción inicial es visible de inmediato en la cadena. Los fondos robados se mueven a wallets controladas por el atacante, que a continuación ejecutan una secuencia de swaps, operaciones de puente y pasos de mezcla. Elliptic, otra firma de analítica blockchain, ha publicado una metodología detallada que muestra cómo los wallets vinculados a la RPDC se agrupan en torno a patrones de comportamiento recurrentes: horarios específicos de actividad, rutas de swap preferidas, cantidades residuales características (“dust”) en wallets intermedios y una tendencia a mantener los fondos robados inmovilizados durante largos periodos antes de moverlos.
El análisis de clustering de wallets de Elliptic ha identificado más de 15.000 direcciones asociadas a operaciones de robo de la RPDC, creando un grafo de wallets interconectados que los analistas forenses utilizan para seguir la pista a los flujos de fondos incluso después de pasar por mezcladores.
Los avisos de atribución del FBI para hacks concretos, como el ataque a Alphapo o la explotación de Atomic Wallet en 2023, se sustentan en esta metodología forense, combinada con inteligencia de señales clasificada.
La combinación de datos públicos on-chain con inteligencia gubernamental ha permitido niveles de confianza en la atribución superiores a los habituales en investigaciones de ciberdelincuencia tradicional, donde no existe una huella blockchain equivalente.
También lea: Saylor Afirma que un Crecimiento del 3,3% en Bitcoin Puede Sostener los Dividendos de su Estrategia
El Esquema de Trabajadores IT Como Vía Paralela de Ingresos
Al margen de las operaciones de hacking, la RPDC gestiona un programa paralelo de generación de ingresos en cripto que cobró gran atención policial en 2024 y 2025. Miles de ciudadanos norcoreanos, operando con identidades falsas generadas mediante IA y usando tecnología de vídeo deepfake, han conseguido empleos remotos en empresas cripto y startups Web3 en Norteamérica y Europa.
El Departamento de Justicia imputó en mayo de 2024 a catorce personas por orquestar un esquema que colocó a trabajadores IT norcoreanos en más de 300 compañías estadounidenses, canalizando sus salarios de vuelta a la RPDC.
La acusación sostiene que cada trabajador llegó a ganar entre 250.000 y 300.000 dólares anuales, con un total del esquema de decenas de millones de dólares a lo largo de varios años.
La imputación de mayo de 2024 del Departamento de Justicia documenta que algunos de estos trabajadores IT norcoreanos llegaron a percibir hasta 300.000 dólares al año en empresas cripto y tecnológicas estadounidenses, con los fondos remitidos a la RPDC a través de una red de facilitadores en EE. UU., Reino Unido y China.
Este esquema de trabajadores IT resulta especialmente preocupante para la industria cripto porque introduce accesos internos en los equipos de desarrollo. Un empleado con credenciales legítimas y acceso a repositorios de código es más peligroso que un atacante externo que intenta vulnerar las defensas perimetrales.
Varios investigadores de ciberseguridad han señalado que patrones sospechosos en commits de código, accesos a repositorios sin explicación clara y horarios de trabajo inusuales se tratan ya como posibles indicadores de presencia de trabajadores IT norcoreanos en las firmas cripto con mayor cultura de seguridad.
La intersección entre este esquema y las campañas de ingeniería social dirigidas a desarrolladores implica que la superficie de ataque de la RPDC contra la industria cripto es multidimensional. Hackers externos, desarrolladores comprometidos mediante falsas ofertas de empleo e infiltrados internos representan vectores activos que operan en paralelo.
También lea: Trump Da Luz Verde a OpenAI y Allana el Camino a un Despliegue Más Amplio de GPT‑5.6
La Respuesta de Seguridad de la Industria
La reacción de la industria frente a la amenaza de la RPDC ha sido relevante, pero irregular.
Los protocolos mejor capitalizados ya realizan auditorías de seguridad exhaustivas antes de cada despliegue, ofrecen programas de recompensas por bugs con pagos de seis cifras y cuentan con equipos internos de seguridad procedentes, en muchos casos, de la investigación ofensiva.
Esa concentración del gasto en seguridad en la parte alta de la curva replica la misma ley de potencias que domina el cripto en general.
Immunefi, la principal plataforma de bug bounties en Web3, reportó pagos acumulados por recompensas superiores a los 100 millones de dólares a mediados de 2025, tras haber facilitado la identificación de vulnerabilidades que podrían haber desencadenado pérdidas potenciales de miles de millones.
El mayor pago individual de su historia asciende a 10 millones de dólares, entregados a un white hat que detectó un fallo crítico en un gran protocolo DeFi antes de que pudiera ser explotado.
Pero esa concentración de inversión en ciberseguridad en los protocolos de primer nivel deja a una amplia base de proyectos DeFi más pequeños —que, en conjunto, siguen controlando miles de millones en TVL— sensiblemente infra-protegidos.
El problema de los puentes cross-chain, en el epicentro de tantos hacks de gran calado, ha generado sus propias respuestas arquitectónicas.
La principal tendencia es la transición hacia puentes más trust-minimized, que utilizan pruebas de conocimiento cero para verificar el estado de la cadena de origen sin depender de comités de validadores.
Proyectos como Succinct Labs y Polyhedra Network han desarrollado infraestructuras de light clients con ZK diseñadas específicamente para eliminar la asunción de comités de confianza que hizo vulnerable a puentes como Ronin.
Si esta nueva generación de puentes logrará cerrar de forma significativa la brecha explotada por actores como la RPDC sigue siendo una cuestión abierta para la próxima fase del ciclo cripto.Que la infraestructura de ciberseguridad esté mejorando lo bastante rápido como para ir por delante de las capacidades del régimen de Corea del Norte es, con total honestidad, una cuestión abierta.
La cuota del 66% en el primer semestre de 2026 sugiere que, incluso con fuertes inversiones del sector, el atacante sigue avanzando al mismo ritmo.
Implicaciones geopolíticas y lo que viene
El robo de criptoactivos es hoy la principal fuente de divisas para Corea del Norte.
No es una figura retórica; es la descripción de una realidad operativa documentada y reconocida por el Departamento del Tesoro de EE. UU., Naciones Unidas y los servicios de inteligencia aliados.
El Panel de Expertos de la ONU estimó que los ingresos de Pyongyang por robos de cripto ascendieron a unos 3.000 millones de dólares entre 2017 y 2023, con un ritmo que se ha acelerado en los años más recientes.
Esos fondos no van a parar a una “tesorería” del régimen en el sentido convencional.
Fluyen directamente hacia los programas de armamento, en particular hacia el desarrollo de misiles balísticos y la miniaturización de ojivas nucleares, que constituyen la prioridad estratégica central del liderazgo en Pyongyang.
Cada dólar sustraído de un protocolo DeFi se puede traducir, potencialmente, en capacidad material y tecnológica para sistemas de armas que los planificadores de defensa de Estados Unidos, Corea del Sur y Japón integran activamente en sus modelos de amenaza.
El Panel de Expertos de la ONU vinculó directamente esos 3.000 millones de dólares robados entre 2017 y 2023 a la financiación de programas armamentísticos, convirtiendo la seguridad en blockchain en un factor operativo dentro de los cálculos de seguridad regional en el noreste de Asia.
A continuación: 5 rivales más baratos de Fable 5: no pagues de más por tu trabajo diario con IA
Reflexiones finales
La cifra de una cuota del 66,2% en el primer semestre de 2026 no es una curiosidad estadística.
Es un indicador del estado actual de la pugna entre uno de los programas ciberestatales más capaces del mundo y una industria que, históricamente, ha priorizado la velocidad de lanzamiento frente a la seguridad operativa.
La trayectoria de ese enfrentamiento —desde los ataques oportunistas a exchanges en 2017, pasando por el hackeo del puente Ronin en 2022, hasta la campaña actual de múltiples vectores que apunta a desarrolladores, puentes y empleados internos al mismo tiempo— muestra a un actor que aprende, se adapta y escala más rápido de lo que la inversión defensiva del sector ha logrado contener.
Los factores estructurales que juegan a favor de Corea del Norte no van a desaparecer a corto plazo.
El país cuenta con una fuerza laboral cibernética institucionalizada, sin tentaciones de sector privado, sin rendición de cuentas pública y con un mandato estatal explícito de generar ingresos por cualquier medio disponible.
La industria cripto, en cambio, presenta un panorama de seguridad fragmentado. Los protocolos de mayor valor están cada vez mejor defendidos, pero la larga cola de pequeños proyectos DeFi sigue sistemáticamente infradotada de recursos.
Y los puentes entre cadenas —la infraestructura que conecta las distintas islas de liquidez del ecosistema— siguen siendo arquitectónicamente complejos de una forma que genera supuestos persistentes y explotables.
