Bybit obtiene respaldo de un tribunal de EE. UU. para rastrear el hackeo de $1.5 mil millones mientras la mayoría de los fondos robados se vuelven imposibles de rastrear

Bybit ha conseguido el respaldo de un tribunal de EE. UU. para buscar información que podría ayudar a rastrear criptomonedas robadas en el hackeo de $1.5 mil millones del exchange, lo que le da a la compañía otra herramienta legal en su esfuerzo por recuperar activos vinculados al enorme ciberataque.

El desarrollo ocurre más de un año después del ataque de febrero de 2025, que dio lugar a uno de los mayores robos de criptomonedas registrados. Según los últimos reportes, aproximadamente 90% de los fondos robados ahora se han vuelto difíciles o imposibles de rastrear después de moverse a través de una compleja red de direcciones y transacciones en blockchain.

La acción judicial podría permitir a Bybit solicitar información a plataformas con sede en EE. UU. que hayan interactuado con los activos robados, lo que potencialmente ofrecería a los investigadores pistas adicionales sobre hacia dónde se movieron algunos fondos y si alguna parte aún puede congelarse o recuperarse.

El caso destaca tanto la transparencia como las limitaciones de la tecnología blockchain. Aunque las transacciones de criptomonedas quedan registradas de forma permanente en libros contables públicos, las estrategias sofisticadas de lavado pueden hacer extremadamente difícil vincular direcciones de blockchain con personas u organizaciones del mundo real.

La Oficina Federal de Investigaciones atribuyó previamente el robo de Bybit a Corea del Norte, identificando la actividad como parte de lo que denomina la campaña TraderTraitor. La agencia indicó que los atacantes convirtieron y dispersaron rápidamente los activos robados a través de miles de direcciones y múltiples blockchains.

Fuente: Publicación en X

El hackeo de $1.5 mil millones de Bybit sigue siendo un caso clave de seguridad cripto

El ataque de febrero de 2025 contra Bybit conmocionó a la industria de las criptomonedas por el enorme tamaño del robo. Bybit afirmó que una sola billetera fría de Ethereum fue comprometida durante lo que debió ser una transferencia rutinaria. Posteriormente, el exchange detalló que se sustrajeron aproximadamente $1.46 mil millones en activos de la billetera, incluidos ETH y varios tokens de staking líquido basados en Ethereum.

Los activos robados fueron movidos rápidamente fuera de las direcciones originales, una velocidad que se convirtió en una de las características definitorias del incidente. Los investigadores que rastreaban los fondos robados enfrentaron una red de billeteras en constante cambio a medida que los atacantes movían los activos entre direcciones y redes blockchain. Una vez que una criptomoneda se transfiere, la transacción en sí permanece visible en la cadena, pero identificar quién controla una dirección específica presenta un reto distinto.

La orden judicial en EE. UU. abre otra vía para los investigadores

El último desarrollo judicial es significativo porque el análisis de blockchain por sí solo no siempre puede proporcionar suficiente información para identificar a las personas detrás de una billetera. Un proceso legal respaldado por un tribunal puede darle a Bybit acceso potencial a información en poder de empresas que operan dentro de Estados Unidos, incluidos registros de cuentas, historiales de transacciones u otros datos que podrían ayudar a vincular direcciones de blockchain con servicios o entidades concretas.

El objetivo no es necesariamente recuperar la totalidad de los $1.5 mil millones. En cambio, los investigadores intentan identificar cualquier parte de los fondos robados que todavía pueda ser accesible. Incluso una recuperación relativamente pequeña podría aportar evidencia valiosa sobre la red de lavado y las entidades que interactuaron con los activos robados.

Se informa que alrededor de 90% de los fondos son imposibles de rastrear

El mayor obstáculo para Bybit es la rapidez con la que se movieron los activos robados. Informes recientes indican que aproximadamente 90% de la criptomoneda robada se ha vuelto imposible de rastrear. Eso no significa necesariamente que los activos hayan desaparecido de la blockchain; más bien, los investigadores ya no pueden determinar de forma fiable dónde se controlan los fondos o cómo se relacionan con el robo original.

Los activos pudieron pasar por numerosas billeteras, servicios descentralizados, puentes entre cadenas y otros mecanismos diseñados para dificultar el seguimiento del historial de transacciones. La Oficina de Control de Activos Extranjeros del Departamento del Tesoro de EE. UU. sancionó previamente en 2022 el servicio mezclador de criptomonedas Tornado Cash por su papel en el lavado de fondos ilícitos, incluidos recursos robados por actores norcoreanos. Este tipo de herramientas crea una diferencia importante entre ver una transacción y entenderla. Los registros de blockchain pueden mostrar que los fondos se movieron, pero no revelan automáticamente quién controla cada dirección involucrada.

La conexión con Corea del Norte y el Grupo Lazarus

El gobierno de EE. UU. atribuyó formalmente el robo de Bybit a Corea del Norte. En febrero de 2025, el FBI dijo que actores norcoreanos fueron responsables del robo de aproximadamente $1.5 mil millones en activos virtuales de Bybit. La agencia se refirió a la actividad como TraderTraitor y advirtió que los activos robados estaban siendo convertidos y dispersados rápidamente.

El FBI también indicó que los atacantes probablemente continuarían lavando los activos y eventualmente convertirían parte de ellos en moneda fiduciaria.

Investigadores de seguridad y analistas de blockchain han vinculado el ataque con el Grupo Lazarus, una operación de hacking ampliamente asociada con Corea del Norte. A lo largo de los años, Lazarus ha sido relacionado con numerosos robos de criptomonedas y otras operaciones cibernéticas. La propia Bybit describió anteriormente los fondos robados como vinculados a una actividad atribuida al Grupo Lazarus y puso en marcha iniciativas destinadas a rastrear y recuperar los activos.

Informes de paneles de Naciones Unidas han estimado que Corea del Norte ha generado miles de millones de dólares en ingresos mediante el robo de criptomonedas durante varios años, con fondos que supuestamente se usaron para apoyar los programas de armas del país. El incidente de Bybit mostró la escala que pueden alcanzar este tipo de operaciones. Un robo superior a $1 mil millones no es solo un incidente de seguridad cripto; también tiene implicaciones para las sanciones internacionales, las investigaciones sobre ciberdelito y la seguridad nacional.

Por qué sigue siendo difícil rastrear las criptomonedas

A menudo se describe a las criptomonedas como transparentes porque las transacciones se registran públicamente. Esa descripción es técnicamente correcta, pero incompleta. En una blockchain pública, los investigadores pueden ver transacciones entre direcciones, pero el desafío consiste en determinar quién posee esas direcciones.

Si los activos robados permanecen en una sola billetera, los investigadores pueden monitorearlos. La situación se vuelve mucho más compleja cuando los fondos se dividen entre cientos o miles de direcciones, y la complejidad aumenta aún más cuando los activos se mueven entre distintas redes blockchain. En ese caso, los investigadores deben reconstruir múltiples historiales de transacciones y determinar si direcciones aparentemente no relacionadas están conectadas.

El FBI dijo que los activos robados fueron convertidos en Bitcoin y otros activos virtuales y dispersados en múltiples blockchains. La actividad entre cadenas puede dificultar el rastreo porque los investigadores deben seguir los fondos a través de distintas redes con estructuras de transacción diferentes. Los mezcladores de criptomonedas y otros servicios de mejora de privacidad también pueden complicar las investigaciones, ya que estos sistemas están diseñados para romper enlaces evidentes entre depósitos y retiros.

Empresas de análisis blockchain como Chainalysis, TRM Labs y Elliptic trabajan junto con las agencias de aplicación de la ley para rastrear flujos ilícitos de criptomonedas, pero los actores sofisticados siguen adaptándose. Cuanto más rápido se dispersan los fondos, más difícil resulta para los exchanges y los investigadores congelarlos.

Las primeras horas después de un hackeo son críticas

Una de las lecciones más importantes del incidente de Bybit es la importancia de la velocidad. Cuando un exchange importante es hackeado, los investigadores comienzan de inmediato a identificar las direcciones del atacante. Luego, los exchanges y las empresas de infraestructura blockchain pueden intentar marcar o congelar transacciones vinculadas a esas direcciones. La ventana de intervención puede ser extremadamente breve: una vez que los activos robados entran en una gran red de direcciones y servicios, recuperarlos se vuelve mucho más difícil.

Bybit afirma que los fondos de los clientes siguieron respaldados

La magnitud del hackeo generó preocupaciones inmediatas sobre la capacidad de Bybit para seguir siendo solvente. La dirección del exchange afirmó poco después del incidente que los activos de los clientes seguían totalmente respaldados y que la empresa podía absorber la pérdida. La propia cronología de Bybit señala que su CEO, Ben Zhou, tranquilizó públicamente a los clientes al afirmar que el exchange seguía siendo solvente incluso si los fondos robados no podían recuperarse. Esa respuesta ayudó a calmar los temores sobre una posible crisis de liquidez. No obstante, el incidente demostró cómo una sola billetera comprometida puede generar una exposición financiera enorme.

Las billeteras frías no están completamente libres de riesgo

El ataque también planteó dudas sobre los supuestos de seguridad en torno al almacenamiento en frío. Por lo general, las billeteras frías se consideran más seguras porque las claves privadas se mantienen fuera de los sistemas en línea. Pero el incidente de Bybit mostró que la seguridad del proceso de firma y de la infraestructura circundante es tan importante como el almacenamiento físico de las claves.

Según el relato de Bybit, los atacantes explotaron el proceso alrededor de una billetera multisig de Safe durante una transacción rutinaria. El incidente se convirtió así en un caso de estudio importante para los proveedores de custodia de criptomonedas.

La seguridad multisignatura enfrenta nuevos desafíos

Muchas grandes empresas cripto usan sistemas multisignatura para evitar que una sola persona controle los fondos. El concepto es sencillo: se requieren múltiples aprobaciones antes de que pueda ejecutarse una transacción. Sin embargo, los atacantes no necesariamente necesitan robar todas las claves privadas; en su lugar, pueden intentar comprometer la interfaz, el proceso de firma o al personal involucrado en aprobar transacciones.

Eso significa que los equipos de seguridad deben proteger no solo las claves privadas, sino también los sistemas que las rodean.

La batalla legal podría tomar tiempo

El esfuerzo de rastreo respaldado por el tribunal no garantiza que los fondos robados serán recuperados. Los procedimientos legales pueden tomar tiempo. Algunas plataformas podrían no tener información útil. Otros activos ya podrían haberse movido fuera de jurisdicciones en las que los tribunales de EE. UU. puedan exigir cooperación fácilmente. También existe la posibilidad de que algunos fondos ya se hayan convertido en otros activos o en monedas fiduciarias.

Por lo tanto, el proceso legal es solo un componente de un esfuerzo de recuperación mucho más amplio.

¿Qué ocurre con los fondos congelados?

Si los investigadores identifican criptomonedas robadas en poder de una plataforma regulada, podrían congelar los activos. La recuperación luego puede depender de procedimientos legales adicionales. Los activos congelados no se devuelven automáticamente a la víctima; los tribunales y las autoridades encargadas de hacer cumplir la ley pueden tener que establecer la propiedad y determinar cómo deben manejarse los activos.

Este proceso puede tomar mucho más tiempo que simplemente identificar una dirección de blockchain.

El caso muestra la importancia de la seguridad de los exchanges

El incidente de Bybit se ha convertido en una advertencia importante para la industria cripto en general. Los exchanges custodian enormes cantidades de activos de clientes, lo que los convierte en objetivos atractivos para atacantes sofisticados. Los equipos de seguridad deben defenderse de phishing, malware, credenciales comprometidas, amenazas internas y ataques contra la infraestructura de transacciones. Una intrusión exitosa puede derivar potencialmente en pérdidas de miles de millones de dólares.

La campaña de robo cripto de Corea del Norte

El hackeo de Bybit también encaja en un patrón más amplio de robo de criptomonedas atribuido a actores norcoreanos. Las autoridades de EE. UU. han advertido repetidamente que Corea del Norte utiliza el ciberdelito y el robo de criptomonedas para generar ingresos. El FBI ha alentado a empresas del sector privado, incluidos exchanges, proveedores de infraestructura blockchain y firmas de análisis, a identificar y bloquear transacciones vinculadas a la actividad de lavado norcoreana.

La magnitud de esta actividad ha convertido el robo de criptomonedas en una preocupación de seguridad internacional.

Por qué los exchanges necesitan una cooperación más fuerte

La lucha contra el robo de criptomonedas a gran escala requiere cada vez más cooperación entre exchanges. Un activo robado rara vez permanece en la plataforma donde fue sustraído: puede moverse a otro exchange, a un protocolo descentralizado o a otra blockchain. Si las empresas comparten inteligencia con rapidez, pueden tener una mejor oportunidad de congelar los fondos antes de que desaparezcan dentro de una red de lavado más grande. El caso de Bybit mostró lo importante que puede ser esa cooperación.

La transparencia de blockchain es a la vez una fortaleza y una debilidad

En el centro de la seguridad cripto hay una paradoja importante. Las blockchains hacen visibles las transacciones, pero la visibilidad no equivale necesariamente a rendición de cuentas. Los investigadores pueden ver hacia dónde se mueven los fondos sin saber quién controla cada dirección. Al mismo tiempo, ese historial permanente de transacciones puede aportar evidencia valiosa mucho después de que ocurra un ataque. Una billetera que hoy parece inactiva podría volverse relevante años después si los investigadores identifican a su propietario o la vinculan con otra dirección conocida.

El hecho de que aproximadamente 90% de los activos robados se hayan vuelto imposibles de rastrear no significa necesariamente que los esfuerzos de recuperación hayan terminado. Las direcciones de blockchain no caducan y las transacciones siguen registradas. Si un exchange, un proveedor de pagos u otra empresa regulada identifica eventualmente una de las direcciones robadas, las autoridades podrían intervenir. Además, nuevas técnicas analíticas podrían permitir a los investigadores conectar transacciones que antes parecían no relacionadas, lo que significa que el proceso de recuperación podría continuar durante años.

Lo que el desarrollo judicial significa para Bybit

Para Bybit, el respaldo del tribunal de EE. UU. representa una oportunidad de ampliar la investigación más allá del análisis blockchain. El acceso a información de empresas con sede en EE. UU. podría ayudar potencialmente a identificar cuentas y rutas de transacción que son difíciles de establecer solo con registros públicos de blockchain. La información también podría ayudar a determinar si todavía quedan activos robados recuperables. Sin embargo, es poco probable que el proceso produzca una solución inmediata, y la mayoría de los fondos robados podría estar ya fuera de una recuperación práctica.

Implicaciones para la seguridad de los exchanges y para los inversores

El caso de Bybit recuerda que la seguridad de las criptomonedas ya no es un asunto técnico de nicho. A medida que aumenta el valor de las criptomonedas, los grupos criminales tienen mayores incentivos para atacar exchanges, custodios y proveedores de infraestructura. Los equipos de seguridad deben defenderse de phishing, malware, credenciales comprometidas, amenazas internas y ataques contra la infraestructura de transacciones. La industria debe seguir invirtiendo en una arquitectura de billeteras más sólida, mejor monitoreo de transacciones, mayor seguridad para los empleados y cooperación más rápida entre empresas.

El caso también es relevante para los inversores cripto que mantienen activos en exchanges centralizados. El hackeo de Bybit demuestra que la seguridad del exchange sigue siendo una consideración crítica incluso cuando las empresas utilizan sistemas de custodia sofisticados. Los inversores deben entender la diferencia entre custodia en exchange y autocustodia, y considerar los riesgos asociados con cada una.

Perspectiva final

Bybit ha obtenido una nueva vía legal en su esfuerzo por rastrear las criptomonedas robadas durante el hackeo de $1.5 mil millones que afectó al exchange en febrero de 2025. El proceso respaldado por el tribunal podría permitirle solicitar información a plataformas con sede en EE. UU. que hayan interactuado con los activos robados, ayudando potencialmente a los investigadores a identificar fondos que aún sean recuperables.

El desarrollo ocurre mientras los informes indican que aproximadamente 90% de los activos robados ya se han vuelto imposibles de rastrear. El FBI atribuyó previamente el robo a actores norcoreanos y advirtió que los activos sustraídos fueron convertidos y dispersados rápidamente a través de miles de direcciones y múltiples blockchains.

La naturaleza pública de las transacciones en blockchain significa que la investigación no necesariamente tiene fecha de vencimiento. Cada movimiento de los fondos robados deja un registro permanente. Si los investigadores logran conectar eventualmente esas transacciones con individuos, empresas o plataformas financieras identificables, parte de los activos podría potencialmente recuperarse.

El caso de Bybit también ilustra una transformación más amplia en el crimen cripto. Los hackers ya no se limitan a robar activos digitales; están desarrollando métodos cada vez más sofisticados para mover, convertir y ocultar esos activos dentro de una red financiera global. Para los exchanges, la lección es clara: proteger las criptomonedas requiere más que asegurar las claves privadas; requiere defender todo el ecosistema de transacciones. Para las autoridades, el caso demuestra por qué el análisis blockchain, la autoridad legal y la cooperación con empresas privadas deben trabajar juntos.

El hackeo de $1.5 mil millones de Bybit pudo haber ocurrido hace más de un año, pero la investigación está lejos de haber terminado.