Un hackeo criptográfico de $1.5 mil millones se ha convertido en un caso de estudio definitivo sobre por qué los activos digitales robados son tan difíciles de recuperar, incluso cuando cada transacción es visible en una blockchain pública. El robo —uno de los más grandes registrados— expuso la brecha persistente entre rastrear fondos y recuperarlos realmente una vez que salen de un monedero.

El incidente fue revelado por el exchange Bybit, que publicó un relato continuo de la infracción en su cronología de incidentes de seguridad. El director ejecutivo de Bybit, Ben Zhou, también abordó la situación directamente a través de su cuenta en X, donde describió la respuesta del exchange a medida que los eventos se desarrollaban. La infracción tuvo como objetivo el monedero en frío de Ethereum de Bybit y posteriormente fue atribuida al Grupo Lazarus de Corea del Norte por firmas de análisis blockchain como Chainalysis y TRM Labs, con el FBI emitiendo más tarde su propia confirmación, lo que subraya cómo los actores patrocinados por Estados se han convertido en una fuerza dominante detrás de los principales robos criptográficos.

Por qué es tan difícil recuperar criptomonedas robadas

El problema fundamental es que las transacciones blockchain son generalmente irreversibles una vez confirmadas. Ningún operador central puede deshacer una transferencia, por lo que un movimiento on-chain validado se mantiene independientemente de cómo se obtuvieron los fondos.

La transparencia no soluciona esto. Los analistas pueden observar los activos robados moverse entre monederos y redes en tiempo real, pero la visibilidad no equivale al control. La trazabilidad indica a los investigadores a dónde fue el dinero; la capacidad de recuperación requiere que alguien con autoridad lo congele o lo devuelva.

Esa distinción es la razón por la que la rapidez importa enormemente en los primeros minutos tras una infracción. Los fondos pueden dividirse y moverse casi de inmediato, y cuanto más tiempo permanezcan en movimiento, menores serán las probabilidades de una recuperación total. La magnitud de las pérdidas en este caso refleja una tendencia más amplia: los hackeos drenaron aproximadamente $1.5 mil millones en 2024 antes de que las pérdidas de 2025 aumentaran aún más. Solo los grupos vinculados a Corea del Norte han sido asociados con miles de millones en criptomonedas robadas en múltiples incidentes en los últimos años, con tasas de recuperación que se mantienen bajas incluso cuando la atribución es clara.

Cómo los atacantes ocultan los fondos robados

Una vez que los activos son robados, los atacantes suelen intentar borrar el rastro. Los métodos incluyen el intercambio de tokens, el salto entre monederos y el enrutamiento de valor a través de puentes y servicios para fragmentar el camino en múltiples pasos más pequeños. En este caso, los investigadores observaron a los atacantes dispersando rápidamente fondos a través de múltiples cadenas y servicios descentralizados —una estrategia consistente con operaciones previas del Grupo Lazarus.

El movimiento entre cadenas añade fricción para cualquiera que intente responder. Cada intercambio o puente puede introducir demoras para los investigadores y para las plataformas que intentan marcar o congelar activos antes de que se dispersen.

Los exchanges y los proveedores de servicios a veces pueden congelar fondos, pero solo cuando los activos son identificados y reportados a tiempo. Debido a que esa ventana es estrecha y el enrutamiento es deliberadamente intrincado, la recuperación parcial es mucho más común que una devolución total. Desafíos de rastreo similares surgieron tras el hackeo de $285 millones a Drift en Solana.

Implicaciones para exchanges, usuarios y reguladores

Los robos de esta magnitud intensifican la presión sobre exchanges, custodios y protocolos para reforzar la supervisión y la respuesta a incidentes. Cuando una sola infracción puede mover cifras de nueve dígitos en minutos, el costo de una detección lenta es enorme. El incidente de Bybit —en el que los atacantes supuestamente manipularon la interfaz de firma para disfrazar una transacción maliciosa— también ha provocado el escrutinio de los flujos de trabajo de monederos multifirma y las suposiciones de confianza incorporadas en los procesos de aprobación a nivel de hardware.

Para los usuarios, el episodio subraya que los plazos de recuperación pueden prolongarse incluso cuando los fondos siguen siendo rastreables. La propia acción legal de Bybit vinculada a la infracción demuestra hasta dónde puede llegar un exchange afectado para perseguir los activos robados después de los hechos.

Los esfuerzos de recuperación rara vez recaen en una sola parte. Por lo general, involucran a exchanges, firmas de análisis on-chain y fuerzas del orden trabajando en paralelo —frecuentemente a través de jurisdicciones con aplicación de la ley desigual. Esta complejidad es parte de la razón por la que los hackeos masivos siguen siendo un problema sistémico para el sector. Ese riesgo también está impulsando el interés en herramientas preventivas como el software de seguridad a nivel de monedero, a medida que las pérdidas por estafas y robos siguen aumentando. Con cada gran robo sucesivo, la capacidad —o incapacidad— de la industria para congelar, recuperar y disuadir se perfila como una cuestión abierta que dará forma tanto a la acción regulatoria como a la confianza de los usuarios en el futuro.