Corea del Norte ha convertido el robo de criptomonedas en una de sus principales fuentes de divisas extranjeras, con miles de millones de dólares sustraídos en la última década para sortear las sanciones internacionales que asfixian su economía. El Grupo Lazarus, vinculado a la Oficina General de Reconocimiento del régimen, es el nombre que aparece una y otra vez detrás de los mayores robos cripto de la historia.
El robo de Ronin Network: 625 millones de dólares en una sola operación
En marzo de 2022, hackers vinculados a Lazarus sustrajeron aproximadamente 625 millones de dólares en criptoactivos de Ronin Network, la infraestructura blockchain que sostenía el popular videojuego Axie Infinity, entonces uno de los fenómenos "play-to-earn" más grandes del mundo con cientos de miles de jugadores, muchos en Filipinas y el sudeste asiático, que dependían de sus ingresos en el juego como fuente de renta real. El FBI atribuyó formalmente el ataque a Lazarus meses después, y el caso sigue siendo uno de los robos de criptoactivos más grandes documentados en la historia.
El vector de entrada fue relativamente simple pero devastador: los atacantes comprometieron cinco de los nueve validadores de la red Ronin a través de ingeniería social, incluido un falso proceso de contratación laboral dirigido a un ingeniero de Sky Mavis, la empresa detrás del juego, una táctica -ofertas de trabajo falsas para infiltrarse en empresas objetivo- que Lazarus ha repetido en numerosas ocasiones posteriores.
Chainalysis y la contabilidad de una década de robos sistemáticos
Según los informes anuales de Chainalysis, la firma de análisis blockchain que rastrea flujos de fondos ilícitos, los hackers vinculados a Corea del Norte han robado varios miles de millones de dólares en criptoactivos acumulados desde 2017 hasta la actualidad, con años especialmente activos como 2022 y 2023 en los que el volumen robado por actores norcoreanos superó ampliamente al de cualquier otro actor estatal o criminal individual rastreado en el sector. Naciones Unidas ha llegado a estimar en informes de su panel de expertos sobre sanciones que estos robos financian una parte sustancial del programa de misiles balísticos y armamento nuclear norcoreano, sorteando directamente las sanciones económicas impuestas desde hace décadas por el Consejo de Seguridad.
El modus operandi ha evolucionado con el tiempo: de ataques directos a exchanges centralizados en sus primeros años, Lazarus ha migrado hacia protocolos de finanzas descentralizadas (DeFi), puentes entre blockchains (cross-chain bridges) -precisamente el punto débil explotado en el hackeo de Ronin- y campañas de ingeniería social dirigidas a empleados con acceso privilegiado a claves privadas de custodia de fondos.
Trabajadores remotos infiltrados: la táctica que ha alarmado al FBI en 2024 y 2025
Además de los hackeos directos, el FBI y el Departamento del Tesoro estadounidense han alertado repetidamente sobre miles de trabajadores informáticos norcoreanos que, usando identidades falsas y intermediarios, consiguen empleo remoto como desarrolladores de software en empresas occidentales de tecnología y cripto, generando salarios que se canalizan directamente hacia el régimen de Kim Jong-un. Estos trabajadores, a menudo operando desde China o Rusia para ocultar su ubicación real, han sido detectados en empresas de Silicon Valley sin que estas supieran inicialmente que estaban empleando y pagando, sin saberlo, a ciudadanos norcoreanos sujetos a sanciones internacionales.
Este esquema ha obligado a departamentos de recursos humanos de empresas tecnológicas a reforzar drásticamente sus procesos de verificación de identidad para contrataciones remotas, un problema que en 2026 sigue sin resolverse del todo pese a las advertencias oficiales repetidas del FBI.
Cómo el régimen lava el dinero robado hasta convertirlo en divisa utilizable
Convertir criptomonedas robadas en dinero utilizable por el régimen no es trivial: requiere mezcladores de criptomonedas (mixers) como el ya sancionado Tornado Cash, que Lazarus ha usado repetidamente para ofuscar el rastro de las transacciones, además de exchanges con controles laxos de conocimiento del cliente (KYC), frecuentemente en jurisdicciones con supervisión regulatoria débil. La Oficina de Control de Activos Extranjeros del Tesoro estadounidense (OFAC) ha sancionado a varias de estas plataformas de lavado, pero el carácter descentralizado y transfronterizo de las criptomonedas dificulta un cierre definitivo, ya que Lazarus simplemente migra a nuevos servicios cuando uno queda sancionado o inutilizado.
Firmas de ciberseguridad como Mandiant, Recorded Future y la propia Chainalysis colaboran de forma habitual con el FBI y agencias aliadas para rastrear estos flujos, y en los últimos años se han logrado recuperar parcialmente fondos de algunos ataques -incluida una fracción del hackeo de Ronin-, aunque la proporción recuperada respecto al total robado sigue siendo minoritaria.
Por qué son tan difíciles de frenar: sanciones que ya no tienen mucho más que apretar
Corea del Norte es, junto a Irán, uno de los países más sancionados del planeta, lo que en la práctica significa que las herramientas tradicionales de presión económica -embargos, congelación de activos, exclusión del sistema bancario internacional SWIFT- ya están prácticamente agotadas como palanca adicional de disuasión. El régimen ha encontrado en las criptomonedas una vía de financiación que opera fuera del sistema financiero tradicional que las sanciones fueron diseñadas para controlar, lo que explica por qué Pyongyang ha apostado de forma tan sistemática por esta estrategia en la última década.
La respuesta occidental en 2026 pasa por presionar a exchanges y protocolos DeFi para implementar controles más estrictos y por sancionar direcciones de wallets vinculadas a Lazarus en cuanto se identifican, pero mientras exista un ecosistema cripto con zonas de sombra regulatoria en algún punto del planeta, Corea del Norte seguirá teniendo un canal de financiación que ningún bloqueo diplomático tradicional puede cerrar del todo.
