Lazarus: cómo una estructura estatal se convirtió en el principal ladrón de criptomonedas

Lazarus y los grupos afines de Corea del Norte no son «hackers» en el sentido romántico del término, sino una maquinaria estatal dedicada a la obtención de divisas. En su haber figuran robos sin precedentes en el sector, entre los que se incluyen los de Ronin y Bybit.

Métodos

• Ingeniería social durante meses: falsos reclutadores con «tareas de prueba» para desarrolladores, inversores falsos, perfiles de LinkedIn con historias inventadas. El objetivo: el ordenador de un empleado con permisos de acceso.
• Informáticos falsos: desarrolladores remotos con documentos ajenos se incorporan a empresas de criptomonedas -acceso desde dentro-.
• Ataques a la cadena de firma: una especialización moderna -comprometer las interfaces de firma multisig-: los firmantes ven una cosa y firman otra (caso Bybit).
• Cadena de blanqueo: el dinero robado se fragmenta, se hace circular a través de mezcladores y se realiza intercambios entre cadenas siguiendo rutas ya probadas. Los analistas interpretan estos rastros; a veces se recuperan fondos, pero es poco frecuente.

¿Qué significa esto para el mercado?

Un adversario estatal con tiempo ilimitado cambia el modelo de amenazas: tanto las auditorías como los monederos «fríos» con un proceso de firma defectuoso resultan ineficaces frente a él. El sector responde con la verificación de la firma en dispositivos independientes y con una paranoia por los procesos de gestión de personal. El usuario debe recordar que su plataforma de intercambio es el objetivo número uno del mundo, y que el colchón de seguridad de la plataforma no es una abstracción.