Los hackers vinculados a Corea del Norte han robado más de $1 mil millones en criptomonedas este año, según Chainalysis. La brecha de Bitget por $387.5 millones empujó el total por encima de la marca, mientras que las pérdidas totales por exploits en DeFi siguen cayendo, porque el robo se consolidó en una única operación estatal.
Los robos de criptomonedas de Corea del Norte superaron los $1 mil millones. La cripto celebró.
Puntos clave
- Los hackers vinculados a Corea del Norte han robado más de $1 mil millones en criptomonedas en 2026, después de tomar más de $2 mil millones en 2025, según Chainalysis.
- La brecha de Bitget del 24 de septiembre, de $387.5 millones y la más grande del año, empujó el total acumulado por encima de la marca.
- Las pérdidas totales por exploits en DeFi están realmente cayendo. Las "buenas noticias" ocultan una consolidación del robo en una única operación industrializada respaldada por el estado.
- El vector de ataque ha pasado del código a las personas: el hackeo del Protocolo Drift implicó seis meses de infiltración presencial, no un error en el contrato inteligente.
- THORChain se negó a bloquear los fondos robados de Bitget, mientras que NEAR Intents bloqueó $50 millones, dividiendo a DeFi en dos futuros incompatibles.
Los hackers de Corea del Norte ya han robado más de $1 mil millones en criptomonedas este año, según Chainalysis. La cifra que los llevó a superar esa marca fue los $387.5 millones extraídos del exchange Bitget el 24 de septiembre, el mayor hackeo individual de 2026. Sin embargo, esa misma semana, una buena parte de la industria se felicitaba en silencio, porque las pérdidas totales por exploits en DeFi han disminuido.
Ambos hechos son ciertos. Ese es el problema.
El panorama general: La hora de los aficionados en cripto ha terminado
El titular "las pérdidas por hackeos cayeron" es real pero engañoso. En el primer trimestre de 2026, los protocolos de DeFi perdieron aproximadamente $168 millones por exploits, una caída de alrededor del 90% respecto a los $1.58 mil millones robados en el primer trimestre de 2025, el trimestre que incluyó el récord de $1.4 mil millones del hackeo de Bybit. Leído de forma ingenua, parece que cripto finalmente ha puesto orden en su seguridad.
Lo que realmente sucedió es menos halagador. Los ataques de script-kiddies y lobos solitarios que antes inflaban las estadísticas anuales, los errores de $150,000 en protocolos de préstamo, los fallos de $80,000 en la lógica de cotización, se han secado en gran medida. En su lugar, se alza una única operación financiada por el Estado que extrae consistentemente nueve cifras a la vez. El robo no disminuyó. Se consolidó.
Corea del Norte trata el robo de criptomonedas como una línea de ingresos estatales. Las Naciones Unidas han estimado repetidamente que los fondos de criptomonedas robadas financian una porción significativa de los programas de armas de Pyongyang. No se trata de una banda de criminales que por casualidad aprendió Solidity. Es una política industrial nacional gestionada a través de unidades como Lazarus y TraderTraitor, con una canal de reclutamiento, un plan de estudios de formación y una cadena logística de lavado que avergonzaría a la mayoría de las instituciones financieras legítimas.
Piense en lo que "industrializado" significa realmente aquí. El ataque al Protocolo Drift en abril no fue una violación; fue una operación. Los atacantes pasaron aproximadamente seis meses haciéndose pasar por una empresa de trading cuantitativo, asistiendo a conferencias, haciendo amigos con los contribuyentes en persona e incluso depositando $1 millón de su propio capital en una bóveda de proyecto para generar confianza. Luego abusaron del mecanismo de nonce durable de Solana para apoderarse de los poderes administrativos del Consejo de Seguridad. Los contratos inteligentes resistieron perfectamente. Los humanos no.
¿Por qué está ganando Corea del Norte cuando los hackeos están "a la baja"?
La respuesta es que la industria se optimizó contra el enemigo equivocado. Durante una década, las criptomonedas invirtieron dinero en auditorías de código, recompensas por errores y verificación formal, y ese trabajo tuvo éxito en gran medida. Explotar un contrato inteligente bien auditado hoy es realmente difícil. Así que el adversario cambió de objetivos.
El CTO de Ledger, Charles Guillemet, trazó la línea explícitamente después de Drift, vinculando su método con el robo de Bybit: infiltración a largo plazo de las personas que poseen las claves, luego convencerlas para que aprueben transacciones maliciosas. La superficie de ataque se desplazó hacia arriba en la pila, desde el código hasta las personas que lo operan. Las criptomonedas pasaron diez años endureciendo sus contratos y olvidaron que la entrada más débil sigue siendo una persona.
La brecha de Bitget, por el contrario, aprovechó una vulnerabilidad de software de terceros para obtener credenciales internas, lo que refleja un riesgo de proveedores, no un error de protocolo. Mandiant y SlowMist aún están descifrando exactamente cómo ocurrió. Pero el patrón es consistente: estos son ataques de cadena de suministro e ingeniería social dirigidos a humanos operativos, la única capa que ningún auditor firma nunca.
Efectos Ripple: La contradicción de THORChain
La historia dentro de la historia es lo que le sucedió al dinero después de Bitget. En tres horas, los atacantes dispersaron 387,5 millones de dólares en cuatro redes: el 49,7 % a Ethereum, el 40,8 % al XRP Ledger, el 7,6 % a Zcash y el 1,8 % a Tron. Luego hicieron lo que se ha convertido en la firma de Lazarus: ejecutaron el XRP a través de THORChain, convirtiendo más del 90 % en Bitcoin nativo, sin tocar nunca un exchange centralizado que pudiera congelarlos.
La CEO de Bitget, Gracy Chen, pidió públicamente a THORChain que bloqueara las direcciones señaladas. "La descentralización es un principio de diseño", escribió, "no un escudo para facilitar fondos robados conocidos". THORChain se negó, argumentando que es "sin permisos como Bitcoin, Ethereum y BNB Chain", y preguntando qué responsabilidad tienen esas capas base por los fondos robados que se mueven a través de ellas.
La respuesta se escribe sola. Cuando THORChain fue drenado de 10,7 millones de dólares en mayo, la red se detuvo en horas y permaneció fuera de línea durante cinco semanas. Cuando ThorFi colapsó en enero de 2025, sus nodos votaron durante la noche para congelar los retiros. Como dijo el fundador de OKX, Star Xu: una red que se detiene cuando su propio dinero está en riesgo pero se niega a detenerse cuando el dinero de otra persona está en riesgo no es "como Bitcoin". Está tomando una decisión.
Aquí está la bifurcación que importa para todo el ecosistema. NEAR Intents hizo lo contrario de THORChain: su sistema automatizado SHIELD bloqueó aproximadamente 50 millones de dólares en intercambios vinculados a Bitget e incluso rechazó el bono del 5 % que ofreció Bitget. Bitget les dio las gracias. Los puristas de la descentralización los atacaron por no ser lo suficientemente sin permisos. Dos protocolos, dos respuestas incompatibles a la misma pregunta, y cada proyecto DeFi ahora tiene que elegir un lado, lo diga o no.
Contexto histórico: El Manual de Bybit, refinado
Nada de esto es nuevo; es solo más afilado. En febrero de 2025, Lazarus robó $1.46 mil millones a Bybit y lavó aproximadamente $1.2 mil millones a través de THORChain, once días después de que THORChain retirara su clave de administrador. El ladrón de Coldcard lo usó. El ladrón de Bitget lo usó. THORChain se ha convertido en el lavado de criptomonedas lo que Tornado Cash fue para el lavado de mezcladores, excepto que el cofundador de Tornado Cash fue condenado por operar como un transmisor de dinero sin licencia, mientras que THORChain opera a la vista con un token de primer nivel.
La diferencia entre entonces y ahora es la escala y la permanencia. Un año de $1 mil millones solía ser una anomalía impulsada por un único hackeo catastrófico. Ahora es la línea de base continua, y el año no ha terminado. Corea del Norte ha convertido el robo a gran escala en una operación repetible y recurrente trimestralmente, lo más parecido a una suscripción de ingresos hostiles que tiene la criptomoneda.
Perspectiva futura: hacia dónde se dirige esto en 1-3 años
Tres tendencias se aceleran a partir de aquí.
En primer lugar, el punto de estrangulamiento se traslada al punto de salida. Si la capa del protocolo no va a censurar, los reguladores presionarán a los intercambios, las mesas de negociación OTC y los bancos que tocan el Bitcoin convertido. El libro mayor de Bitcoin permanece transparente incluso después de la conversión, por lo que la aplicación de la ley se concentra donde los fondos salen al fiat, exactamente donde los investigadores siempre han tenido más éxito.
En segundo lugar, la división entre NEAR y THORChain se convierte en una línea regulatoria. El marco de DeFi de 2026 del Grupo de Acción Financiera Internacional (GAFI) ya establece que los contratos inteligentes no están sujetos a sus normas, pero las personas identificables con "influencia suficiente" sobre un protocolo sí pueden estarlo. La propia pausa de THORChain en mayo demuestra que tiene esa influencia. Ya no se trata de una cuestión legal, sino de una cuestión de calendario.
En tercer lugar, la narrativa de los "ataques en declive" envejecerá mal. Un único incidente bien cronometrado aún puede convertir 2026 en un año récord, porque el adversario ahora lleva a cabo una operación repetible en lugar de una serie de exploits afortunados. El riesgo de cola se ha engrosado incluso mientras el promedio se reducía.
La perspectiva del trader: no es el precio, es el lugar y el activo
Esta no es una historia de precios, es una historia de riesgo de contraparte. El incidente de Bitget es un experimento natural claro sobre qué se congela y qué no. Circle y Tether congelaron billeteras etiquetadas como de atacantes en cuestión de días, pero el total ascendió a unos 318.000 dólares, o el 0,08% del botín. El 88% restante permaneció inactivo en ETH, XRP y Zcash, ninguno de los cuales puede congelar ningún emisor centralizado. Los atacantes saben exactamente qué activos son incensurables y asignan sus recursos en consecuencia.
La conclusión práctica es aburrida y útil: trate los hubs de liquidez entre cadenas, las monedas de privacidad y la custodia en billeteras calientes como variables de riesgo que pueden verse afectadas por la regulación o ser objetivo de un actor estatal, no solo como infraestructura neutral. Diversifique entre plataformas. Comprenda que la postura de cumplimiento de una plataforma, o su ausencia, es ahora un hecho material sobre su exposición, ya sea que esté lavando dinero o no.
Cierre
Aquí está la pregunta que las criptomonedas se niegan a responder. Si un estado sancionado y con armas nucleares utiliza tu protocolo "sin permiso" como su principal canal para el lavado de dinero, y tu protocolo puede detener demostrablemente las transacciones cuando sus propios fondos están en riesgo, ¿cuánto tiempo tardará en "no podemos" dejar de ser una filosofía de diseño y empezar a leerse como una elección?
La industria pasó una década argumentando que el código es la ley. Corea del Norte acaba de demostrar que la ley tiene una laguna. Y la laguna somos nosotros.
Preguntas frecuentes
¿Cuánto cripto ha robado Corea del Norte en 2026? Más de $1 mil millones, según Chainalysis, después de aproximadamente $2 mil millones en 2025. La brecha de Bitget por $387.5 millones en septiembre fue el único incidente que empujó el total de 2026 por encima de la marca.
¿Por qué caen las pérdidas totales por hacks mientras aumenta el robo de Corea del Norte? Las pérdidas por exploits en DeFi cayeron alrededor del 90% interanual en el Q1 2026 porque disminuyeron los hacks amateur a pequeña escala. El robo no se detuvo, se consolidó en una operación estatal que ejecuta menos ataques, pero mucho mayores.
¿Por qué THORChain se negó a bloquear los fondos de Bitget? Argumenta que es sin permisos, como Bitcoin o Ethereum, y no puede censurar direcciones individuales. Los críticos señalan que detuvo su propia red en cuestión de horas después de una explotación de $10.7 millones en mayo, y congeló su producto de préstamos en enero de 2025.
¿Cómo ocurrió el hackeo de Drift sin un error de código? Los atacantes pasaron aproximadamente seis meses realizando ingeniería social a los colaboradores, haciéndose pasar por una firma cuantitativa, reuniéndose en persona, depositando 1 millón de dólares y luego abusaron de los nonces duraderos de Solana para apoderarse de los poderes de administración del Consejo de Seguridad. El código se mantuvo; las personas no.
¿Cuál es la diferencia entre NEAR Intents y THORChain aquí? El sistema SHIELD de NEAR Intents bloqueó aproximadamente 50 millones de dólares en intercambios vinculados a Bitget y rechazó la recompensa del 5%. THORChain se negó a actuar en absoluto. Las dos respuestas representan dos futuros mutuamente excluyentes para las finanzas descentralizadas.