Quiénes son los hackers norcoreanos de TraderTraitor, acusados de orquestar el ciberataque millonario a Binance

Las autoridades de Estados Unidos atribuyeron a TraderTraitor el robo de más de USD 6.000 millones en activos virtuales de Binance, cometido el 29 de octubre. El grupo, vinculado al régimen de Corea del Norte, quedó señalado como responsable del mayor robo de criptomonedas de la historia.

La acusación del FBI volvió a situar a la estructura de piratería informática norcoreana en el centro de las alertas internacionales. Los fondos obtenidos mediante esos ataques, según investigadores y organismos internacionales citados por AFP, podrían alimentar la investigación militar y el programa de armas de Pyongyang.

TraderTraitor es una operación de piratería informática relacionada con Lazarus Group, una red norcoreana que ganó notoriedad tras el ataque contra Sony Pictures. Aquel episodio ocurrió como represalia por The Interview, una película satírica que se burlaba del líder norcoreano Kim Jong-un. Sus integrantes buscan entrar en sistemas corporativos, apoderarse de activos digitales y moverlos fuera de los circuitos financieros tradicionales.

Corea del Norte invierte en capacidades cibernéticas desde al menos mediados de los años 90. La inteligencia surcoreana calculó en 2024 que esa fuerza contaba con unos 8.400 integrantes.

“Corea del Norte ha creado una fuerza cibernética muy capaz”, afirmó el FBI en su sitio web. La Oficina Federal de Investigación sostuvo que el régimen canaliza a parte de sus mejores estudiantes hacia la formación en informática y tecnologías de la información.

Gran parte de estas operaciones estaría bajo la dirección de la Oficina General de Reconocimiento, el principal organismo de inteligencia exterior de Pyongyang. Park Choong-kwon, diputado surcoreano y desertor norcoreano, relató a la agencia AFP que la captación de especialistas comenzaba en ámbitos educativos. “Los dos mejores alumnos de mi clase fueron reclutados para la unidad de piratería informática”, declaró. Park había estudiado en la Universidad Nacional de Defensa de Corea del Norte antes de abandonar el país.

Cómo se organizan los hackers de TraderTraitor

Los operadores se hacen pasar por reclutadores que ofrecen empleos atractivos. El objetivo consiste en convencer a sus víctimas de descargar archivos que contienen programas maliciosos. Una vez instalados, esos programas permiten a los atacantes ingresar en sistemas informáticos, obtener información confidencial y sustraer activos digitales.

Un caso ocurrido en 2024 mostró el método utilizado por la red. El robo afectó a DMM Bitcoin, una plataforma japonesa de intercambio de criptomonedas, y alcanzó USD 308 millones.

Un hacker norcoreano contactó por LinkedIn a un empleado de una empresa independiente que desarrollaba programas para monederos de criptomonedas. El atacante se presentó como reclutador y le remitió lo que parecía una prueba de preselección laboral. El documento incluía, en realidad, una línea de código malicioso. Según el FBI, esa maniobra permitió al pirata informático acceder al sistema y suplantar la identidad del trabajador.

Cuáles son los blancos de ataque norcoreanos

La actividad atribuida a hackers abarca ciberataques contra instituciones financieras tradicionales y empresas de activos virtuales. En 2016, los atacantes robaron USD 81 millones al banco central de Bangladesh. Un año después, el ataque de ransomware WannaCry alteró el funcionamiento de computadoras en distintos países.

Las autoridades estadounidenses atribuyeron en 2022 a hackers relacionados con Lazarus el robo de cerca de USD 620 millones a la red blockchain Ronin.

El FBI volvió a apuntar a TraderTraitor por otros tres robos ocurridos en 2023: Atomic Wallet, Alphapo y CoinsPaid perdieron en conjunto casi USD 200 millones, de acuerdo con la agencia.

La cifra creció de forma marcada en febrero de 2025, cuando la agencia estadounidense responsabilizó al grupo por la sustracción de alrededor de USD 1.500 millones en activos virtuales de Bybit. “Los agentes de TraderTraitor están actuando con rapidez”, sostuvo entonces el FBI. La agencia añadió que los atacantes ya habían convertido parte de los activos robados.

Hacia donde va el capital robado

Los fondos sustraídos no quedarían inmovilizados en criptomonedas. Lim Eul-chul, profesor del Instituto de Estudios del Lejano Oriente de la Universidad de Kyungnam, explicó que el régimen los convierte en efectivo mediante servicios de mezcla o intercambios privados.

“Los fondos obtenidos se canalizan directamente hacia la investigación militar”, afirmó Lim. El académico incluyó entre los destinos la adquisición ilícita de componentes de armas y la industria de defensa.

Un informe de las Naciones Unidas publicado en 2024 indicó que los ingresos generados por los ciberataques norcoreanos presuntamente contribuyeron al desarrollo de armas de destrucción masiva. El modelo permite a Pyongyang sortear los límites que imponen las sanciones internacionales sobre su comercio y el acceso a divisas.

Lim sostuvo ante la agencia que el robo digital ofrece ganancias multimillonarias con pocos recursos humanos y materiales. “El robo cibernético le permite adquirir miles de millones de dólares”, señaló. El profesor agregó que las criptomonedas facilitan ese mecanismo porque funcionan fuera de los canales bancarios convencionales y permiten aprovechar el carácter seudónimo y transfronterizo de los activos digitales.

(Con información de AFP)