Las autoridades de Estados Unidos atribuyeron al grupo de hackers conocido como TraderTraitor el robo de más de USD 6,000 millones en activos virtuales a Binance, perpetrado el 29 de octubre. El grupo, vinculado al régimen de Corea del Norte, quedó señalado como responsable del mayor robo de criptomonedas de la historia.

La acusación del FBI volvió a situar a la estructura de piratería informática norcoreana en el centro de las alertas internacionales. Los fondos obtenidos mediante esos ataques, podrían alimentar la investigación militar y el programa de armas de Pyongyang.

TraderTraitor es una operación de piratería informática relacionada con Lazarus Group, una red norcoreana que ganó notoriedad tras el ataque contra Sony Pictures. Aquel episodio ocurrió como represalia por The Interview, una película satírica que se burlaba del líder norcoreano Kim Jong-un. Sus integrantes buscan entrar en sistemas corporativos, apoderarse de activos digitales y moverlos fuera de los circuitos financieros tradicionales.

Corea del Norte invierte en capacidades cibernéticas desde al menos mediados de los años 90. La inteligencia surcoreana calculó en 2024 que esa fuerza contaba con unos 8,400 integrantes.

«Corea del Norte ha creado una fuerza cibernética muy capaz», afirmó el FBI en su sitio web.

La Oficina Federal de Investigación sostuvo que el régimen canaliza a parte de sus mejores estudiantes hacia la formación en informática y tecnologías de la información. Gran parte de estas operaciones estaría bajo la dirección de la Oficina General de Reconocimiento, el principal organismo de inteligencia exterior de Pyongyang.

Park Choong-kwon, diputado surcoreano y desertor norcoreano, relató a la agencia AFP que la captación de especialistas comenzaba en ámbitos educativos. Estudió en la Universidad Nacional de Defensa de Corea del Norte antes de abandonar el país.

«Los dos mejores alumnos de mi clase fueron reclutados para la unidad de piratería informática», declaró Park Choong-kwon.

El método de operación de la red se ha vuelto cada vez más sofisticado. Los operadores se hacen pasar por reclutadores que ofrecen empleos atractivos en plataformas profesionales. El objetivo consiste en convencer a sus víctimas de descargar archivos que contienen programas maliciosos. Una vez instalados, esos programas permiten a los atacantes ingresar en sistemas informáticos, obtener información confidencial y sustraer activos digitales.

Un caso ocurrido en 2024 mostró con claridad el modus operandi de la red. El robo afectó a DMM Bitcoin, una plataforma japonesa de intercambio de criptomonedas, y alcanzó los USD 308 millones. Un hacker norcoreano contactó por LinkedIn a un empleado de una empresa independiente que desarrollaba programas para monederos de criptomonedas. El atacante se presentó como reclutador y le remitió lo que parecía una prueba de preselección laboral. El documento incluía, en realidad, una línea de código malicioso. Esa maniobra permitió al pirata informático acceder al sistema y suplantar la identidad del trabajador.

La actividad atribuida a hackers abarca ciberataques contra instituciones financieras tradicionales y empresas de activos virtuales. El historial de ataques atribuidos al grupo incluye:

• 2016: Los atacantes robaron USD 81 millones al banco central de Bangladesh.
• 2017: El ataque de ransomware WannaCry alteró el funcionamiento de computadoras en distintos países.
• 2022: Las autoridades estadounidenses atribuyeron a hackers relacionados con Lazarus el robo de cerca de USD 620 millones a la red blockchain Ronin.
• 2023: El FBI responsabilizó a TraderTraitor por tres robos en Atomic Wallet, Alphapo y CoinsPaid, que perdieron en conjunto casi USD 200 millones.
• Febrero de 2025: La agencia estadounidense responsabilizó al grupo por la sustracción de alrededor de USD 1,500 millones en activos virtuales de Bybit.
• Octubre de 2025: El ciberataque a Binance superó los USD 6,000 millones, convirtiéndose en el mayor robo de criptomonedas de la historia.

«Los agentes de TraderTraitor están actuando con rapidez», sostuvo el FBI tras el robo a Bybit. La agencia añadió que los atacantes ya habían convertido parte de los activos robados.

Los fondos sustraídos no quedarían inmovilizados en criptomonedas. Lim Eul-chul, profesor del Instituto de Estudios del Lejano Oriente de la Universidad de Kyungnam, explicó que el régimen los convierte en efectivo mediante servicios de mezcla o intercambios privados.

«Los fondos obtenidos se canalizan directamente hacia la investigación militar», afirmó Lim Eul-chul.

El académico incluyó entre los destinos la adquisición ilícita de componentes de armas y la industria de defensa. Un informe de las Naciones Unidas publicado en 2024 indicó que los ingresos generados por los ciberataques norcoreanos presuntamente contribuyeron al desarrollo de armas de destrucción masiva. El modelo permite a Pyongyang sortear los límites que imponen las sanciones internacionales sobre su comercio y el acceso a divisas.

Lim Eul-chul sostuvo ante la agencia que el robo digital ofrece ganancias multimillonarias con pocos recursos humanos y materiales.

«El robo cibernético le permite adquirir miles de millones de dólares», señaló el profesor. Agregó que las criptomonedas facilitan ese mecanismo porque funcionan fuera de los canales bancarios convencionales y permiten aprovechar el carácter seudónimo y transfronterizo de los activos digitales.