El FBI ha atribuido un robo de criptomonedas que supera los 6.000 millones de dólares al grupo de piratas informáticos TraderTraitor, alineado con Corea del Norte, The Hacker News informó el 1 de noviembre. Binance afirmó que estaba reanudando los retiros por fases tras haberlos pausado a raíz del incidente, mientras que los servicios de depósito seguían abiertos y no se habían visto afectados.
El informe cifra el robo en 6.430 millones de dólares en 11 cadenas de bloques, con el 82 % de los fondos sustraídos en Ethereum y Bitcoin. Según indica, Tether, Circle, Ripple, Arbitrum y Optimism han congelado 2.850 millones de dólares en cadena, es decir, restringidos en la cadena de bloques. El botín informado supera los 1.460 millones de dólares robados a Bybit en febrero de 2025, lo que lo convierte en el mayor robo de criptomonedas registrado hasta la fecha.
Para los clientes de Binance, la consecuencia inmediata es la recuperación gradual de los retiros. Para las empresas de criptomonedas y los desarrolladores, la atribución también pone el foco en un grupo cuyas campañas documentadas usan falsas oportunidades de empleo y herramientas de desarrollo comprometidas para robar información y obtener acceso remoto.
Los retiros se reanudan mientras los investigadores siguen los fondos
El FBI, el Servicio Secreto de Estados Unidos y la división de Investigación Criminal del Servicio de Impuestos Internos afirmaron haber observado que los atacantes convertían los activos robados principalmente en Ethereum (ETH), según informó The Hacker News. El FBI prevé más blanqueo de fondos a través de servicios de finanzas descentralizadas, conocidas como DeFi, y de intercambios instantáneos de criptomonedas. Ese siguiente paso previsto es distinto de las conversiones que los investigadores afirmaron haber observado ya.
La agencia también publicó direcciones de billeteras que, según dijo, los atacantes usaban para blanquear los activos.
Binance indicó que la primera fase de restablecimiento de los retiros comenzó el 1 de noviembre, entre las 06:00 y las 09:00 UTC. En su comunicado, reproducido por The Hacker News, la plataforma afirmó que había adoptado medidas preventivas, evaluado la seguridad y comprobado la disponibilidad de los servicios afectados. Los demás retiros se restablecerían de forma progresiva a medida que se completaran esas comprobaciones.
La firma de análisis de cadenas de bloques Elliptic describió el robo como un hecho que casi duplica el total de criptoactivos robados por Corea del Norte. En la declaración citada por The Hacker News, Elliptic señaló que se cree que actores vinculados al país habían robado más de 6.500 millones de dólares en los últimos años.
TraderTraitor también se conoce como Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces y UNC4899. Activo al menos desde 2020, tiene un historial de convencer a objetivos del sector cripto para que descarguen aplicaciones que contienen malware. Entre los robos anteriores atribuidos al grupo figuran ataques contra DMM Bitcoin, Bybit, KelpDAO y Bitget.
Los señuelos de reclutamiento llegan a los flujos de trabajo de los desarrolladores
Otro informe recogido por The Hacker News, basado en datos de SentinelOne, Zscaler ThreatLabz y Microsoft, muestra que el grupo utiliza proveedores de Terraform maliciosos y empresas pantalla para dirigirse a personas que trabajan en ciberseguridad, IA, cadenas de bloques y captación de talento.
Los proveedores de Terraform son componentes que una herramienta de gestión de infraestructura utiliza para interactuar con servicios. En la cadena de ataque descrita en el informe, un proveedor modificado para contener código malicioso entrega un cargador en Bash, es decir, un script que descarga y ejecuta más malware. El cargador selecciona una carga útil según el sistema operativo de la víctima, lo que permite a la campaña llegar a sistemas macOS, Linux y Windows.
La cadena incluye FLATROOF, un implante que usa un infostealer basado en Python para recopilar datos sensibles, seguido de la puerta trasera ROOFDECK, que otorga a los atacantes control remoto y acceso persistente. Estos hallazgos describen los métodos más amplios del grupo, y no un punto de entrada establecido para el robo recién informado.
En un análisis del 29 de octubre de Microsoft Threat Intelligence, la compañía señaló que Jade Sleet lanzó campañas a través de tres empresas pantalla en una sola semana. Una de ellas se presentaba como una empresa de inteligencia sobre cadenas de bloques impulsada por IA. Los atacantes usaron dominios personalizados, perfiles en redes sociales y conocimiento del sector para contactar con posibles ingenieros de software y concertar entrevistas. Otras dos empresas pantalla respaldaron campañas de reclutamiento similares en ese mismo periodo.
Microsoft considera que el uso de la IA está consolidado en los flujos de trabajo operativos de Jade Sleet. La compañía describe la IA como un acelerador de actividades existentes, como la creación de señuelos, el desarrollo de personas falsas y el trabajo de infraestructura, mientras que evalúa que las operaciones norcoreanas con IA siguen dirigidas por personas.
Entre sus hallazgos más amplios figuran que Onyx Sleet produce decenas de señuelos personalizados en cuestión de minutos, que Coral Sleet desarrolló con rapidez una forma de insertar código malicioso en repositorios de código privados, y que Diamond Sleet usa la IA para apoyar la selección de objetivos, las personas falsas y las empresas pantalla. Microsoft afirmó además que Onyx Sleet y Pearl Sleet usaban ARTEX, un marco de IA de código abierto para pruebas de penetración. Esas observaciones se refieren a grupos distintos y no deben leerse como métodos establecidos en el robo de criptomonedas.
Medidas para equipos de seguridad y reclutadores
La guía de Microsoft aborda el panorama de amenazas norcoreano en sentido amplio, que abarca el phishing, el malware, los sistemas expuestos y la infiltración de empleados. Para las organizaciones que enfrentan ataques con temática de reclutamiento, recomienda formar a los usuarios para reconocer contactos no solicitados, archivos adjuntos sospechosos y peticiones que lleguen a través de redes sociales o aplicaciones de mensajería, y para que informen de actividades sospechosas.
Los equipos de contratación deberían examinar con detenimiento a los candidatos procedentes de empresas de selección de personal, comparar nombres, direcciones y fechas entre solicitudes y verificaciones de antecedentes, y comprobar las referencias por teléfono o videollamada. Microsoft también recomienda buscar perfiles profesionales o números de teléfono duplicados, detectar la misma persona falsa empleada en varias empresas y realizar varias videollamadas. Según su guía, los problemas repetidos de cámara o micrófono son una señal de alerta, junto con una huella digital ausente o inconsistente.
Los administradores de seguridad deberían mantener actualizadas las definiciones antivirus y la protección en tiempo real, habilitar la protección en la nube y usar herramientas de detección y respuesta en endpoints capaces de bloquear actividad maliciosa después de una intrusión inicial. Microsoft incluye la alerta de Defender for Endpoint «Jade Sleet threat actor activity detected» entre las detecciones pertinentes.
En entornos Microsoft, sus recomendaciones incluyen Safe Links y Safe Attachments, la eliminación retroactiva de correos maliciosos mediante Zero-hour auto purge y bloquear la autenticación con código de dispositivo siempre que sea posible. Cuando ese método de autenticación sea necesario, los administradores deberían controlarlo mediante directivas de acceso condicional de Microsoft Entra.
Microsoft recomienda también reducir la exposición pública de los sistemas, usar acceso protegido a la red siempre que sea posible, colocar los servidores públicos necesarios detrás de infraestructura de protección y automatizar la aplicación de parches. Su guía de reducción de la superficie de ataque incluye bloquear el contenido ejecutable de correos electrónicos, los ejecutables no fiables y los scripts potencialmente disfrazados. Los equipos de respuesta pueden usar sus herramientas de investigación de correo para encontrar y eliminar los mensajes de phishing entregados, incluidos aquellos con asuntos o URL similares a ejemplos maliciosos conocidos.
