Las investigaciones confirman el vínculo de Lazarus Group en el hackeo de $30 millones a Upbit

Investigadores surcoreanos atribuyen el robo de 30 millones de dólares en Upbit al grupo de hackers norcoreanos Lazarus. 

Las autoridades locales han identificado huellas digitales que vinculan directamente al Lazarus Group, la infame organización de hackers asociada al régimen de Corea del Norte, con la reciente vulneración sufrida por Upbit. El incidente, que resultó en la sustracción de aproximadamente 30,4 millones de dólares en tokens de la red Solana, ha desencadenado una movilización policial sin precedentes y ha puesto en alerta máxima a las infraestructuras financieras de la región y del mercado cripto.

Como reportó este medio, el ataque a Upbit no fue un golpe al azar. Según los primeros informes, que fueron confirmados por el exchange, los hackers lograron acceder a la billetera caliente de Upbit, que es la cartera en línea donde se manejan activos para operaciones diarias y retiro rápido, y sustrajeron más de 20 tipos de tokens de Solana. Todo esto refleja que se trató de un ataque de alta sofisticación y conocimiento profundo del funcionamiento interno de la plataforma.

Ahora, la policía surcoreana dice que la operación lleva la firma técnica característica de Lazarus, que ha hecho de los exchanges de criptomonedas su cajero automático para eludir sanciones internacionales. 

El ataque sofisticado de Lazarus Group a Upbit

Según las autoridades, este ataque se distingue por la sofisticación en la fase de exfiltración y lavado de capitales, ya que los atacantes no se limitaron a robar los activos, sino que ejecutaron una maniobra de ofuscación inmediata. Tras acceder a los fondos, convirtieron rápidamente el botín a Ethereum, aprovechando la liquidez de esta red para diseminar el dinero a través de múltiples billeteras desconocidas. 

Con esta técnica de «salto de cadena», los hackers buscaron romper la trazabilidad de las transacciones, complicando la labor de los analistas forenses que intentan seguir el rastro del dinero en tiempo real.

La investigación in situ, según reportes de Yonhap News, la principal agencia de noticias de Corea del Sur, está siendo realizada por las fuerzas de seguridad en las oficinas de Upbit y busca esclarecer cómo se franqueó la primera línea de defensa del exchange. 

Las hipótesis actuales barajan escenarios inquietantes, desde la explotación de vulnerabilidades técnicas hasta la posibilidad de ingeniería social avanzada. Se sospecha que los hackers pudieron haber comprometido credenciales de administradores o, incluso, haber operado bajo la apariencia de personal autorizado para validar las transferencias ilícitas.

Para las autoridades, este modus operandi resuena con inquietante familiaridad en los pasillos de Upbit. Los investigadores han notado paralelismos casi idénticos con el ataque masivo que sufrió la plataforma en 2019, donde desaparecieron cientos de miles de ETH. La repetición de tácticas sugiere que Lazarus Group no solo recicla estrategias exitosas, sino que mantiene una vigilancia constante sobre las infraestructuras críticas de su vecino del sur, esperando la más mínima grieta para actuar.

Un blindaje corporativo ante la crisis

Frente a la magnitud del incidente, la respuesta institucional ha sido contundente para evitar una fuga de confianza por parte de los inversores. Dunamu, la empresa matriz que opera Upbit, tomó la decisión drástica, pero necesaria, de suspender temporalmente los depósitos y retiros, una medida de contención estándar para evitar sangrías adicionales mientras se evaluaba el alcance del daño. Sin embargo, el movimiento más significativo ha sido el financiero.

La compañía se ha comprometido públicamente a cubrir la totalidad de las pérdidas utilizando sus propias reservas corporativas. Esta promesa de reembolso integral busca enviar un mensaje de solvencia y responsabilidad a los usuarios, quienes no pagarán el precio de la brecha de seguridad. 

Paralelamente, la colaboración con otros actores del ecosistema ha dado sus primeros frutos. Se ha reportado el congelamiento exitoso de una fracción de los activos robados, específicamente unos 8 millones de dólares en tokens LAYER, lo que demuestra que la capacidad de respuesta de la industria para listas negras y bloqueos es hoy más ágil que en años anteriores.