Un clúster de billeteras vinculado al Grupo Lazarus de Corea del Norte transfirió 121.5 Bitcoin (BTC), valorados en aproximadamente US$7.74 millones, cerca de una hora antes de que el rastreador de análisis blockchain Lookonchain marcara la transacción el jueves.

Aunque el monto es modesto en un mercado donde los volúmenes diarios de negociación suelen alcanzar decenas de miles de millones de dólares, la relevancia radica en la asociación de la billetera con el Grupo Lazarus. Las direcciones vinculadas a la organización atraen un intenso escrutinio porque cada transacción potencialmente acerca las criptomonedas robadas a su conversión en fondos utilizables. El alcance más amplio es geopolítico: un Panel de Expertos de las Naciones Unidas ha informado que el robo de criptomonedas sirve como una importante fuente de ingresos para Pyongyang, ayudando a financiar los programas de armas de destrucción masiva y misiles balísticos del país en violación de las sanciones de la ONU.

Las billeteras de Lazarus vuelven a activarse

Según Lookonchain, las billeteras asociadas al Grupo Lazarus movieron 121.5 BTC, estimados en aproximadamente US$7.74 millones. La firma no reveló el destino de los fondos ni vinculó la transferencia con un robo previo específico.

The Lazarus Group hackers moved 121.5 $BTC ($7.74M) an hour ago. pic.twitter.com/5qrmlvxMGd — Lookonchain (@lookonchain) July 30, 2026

The Lazarus Group hackers moved 121.5 $BTC ($7.74M) an hour ago. pic.twitter.com/5qrmlvxMGd

Corea del Norte domina el robo cripto en 2026

TRM Labs estimó que los hackers norcoreanos robaron aproximadamente US$577 millones en criptomonedas hasta abril de 2026. Casi todo ese total provino de dos incidentes: un exploit de US$285 millones contra Drift Protocol el 1 de abril y un ataque de US$292 millones a un puente de KelpDAO el 18 de abril. Aunque esos dos incidentes representaron solo el 3% de todos los ataques registrados, concentraron el 76% del valor total robado durante el período.

La tendencia se ha intensificado en los últimos años. Los analistas de TRM señalan que la participación de Corea del Norte en el volumen global de robo de criptomonedas aumentó desde menos del 10% en 2020 y 2021, a 22% en 2022, 37% en 2023, 39% en 2024 y 64% en 2025, alcanzando un nuevo récord este año. Desde 2017, los hackers norcoreanos han robado más de US$6 mil millones en activos digitales, consolidando su condición como la mayor amenaza cibernética patrocinada por un Estado en el mundo.

Bitcoin, THORChain y el manual de flood-the-zone

El movimiento más reciente refleja el patrón de lavado documentado por TRM Labs tras el hackeo de Bybit en febrero de 2025, en el que actores norcoreanos robaron aproximadamente US$1.5 mil millones en Ether, el mayor robo de criptomonedas registrado hasta la fecha. La investigación concluyó que los perpetradores canalizaron rápidamente los fondos a través de THORChain para convertirlos en Bitcoin y luego enviaron una parte mediante mezcladores de monedas como Wasabi Wallet y CryptoMixer.

Ese ataque puso de relieve las limitaciones de la transparencia de la blockchain. El Center for Strategic and International Studies (CSIS) señaló en su análisis del caso Bybit que, aunque los investigadores identificaron muchas de las billeteras involucradas en cuestión de días, la velocidad de las transferencias a través de exchanges descentralizados, puentes cross-chain y jurisdicciones permitió que una parte sustancial de las criptomonedas robadas siguiera circulando antes de que las autoridades intervinieran.

Nick Carlsen, de TRM, exanalista del FBI, describe la metodología del Grupo Lazarus como "flood the zone", una estrategia deliberada para saturar a los investigadores generando un alto volumen de transacciones en múltiples plataformas dentro de un período comprimido. El grupo a menudo mantiene Bitcoin ya convertido sin mayor actividad durante períodos prolongados antes de redirigir finalmente los fondos a canales de retiro de efectivo. Informes del Panel de Expertos de la ONU han documentado que estas redes de conversión suelen depender de corredores OTC que operan en China y el sudeste asiático y que ayudan a convertir criptomonedas en monedas fiduciarias.

Este contexto hace que la transferencia de 121.5 BTC sea digna de atención. En lugar de liquidar los activos robados en una sola transacción grande, los operadores norcoreanos suelen mover montos más pequeños con el tiempo. Si otra fase de distribución está en marcha, exchanges, mesas OTC e investigadores blockchain podrían enfrentar un mayor escrutinio en los próximos meses.

Las billeteras sancionadas requieren revisión en todo el mercado

El Grupo Lazarus sigue sujeto a sanciones del Departamento del Tesoro de EE. UU. bajo el programa DPRK3 de la Office of Foreign Assets Control, que designa direcciones de criptomonedas vinculadas a la organización. Cualquier entidad que procese transacciones que involucren estas direcciones corre riesgo de sanciones, lo que significa que los fondos identificados como provenientes de Lazarus deben tratarse como una preocupación inmediata de cumplimiento.

El FBI ha atribuido múltiples robos de criptomonedas al grupo, incluido el hackeo de US$100 millones al Harmony Horizon Bridge en 2022 y el hackeo de Bybit de febrero de 2025, que la agencia vinculó a Corea del Norte bajo el nombre en clave "TraderTraitor".

La reciente transferencia de 121.5 BTC importa menos por su valor en dólares que por lo que indica. Los activos robados por hackers norcoreanos pueden reaparecer meses o incluso años después del robo inicial, y aun una transacción relativamente pequeña desde una billetera conocida de Lazarus puede marcar el inicio de una operación de lavado más amplia, siempre que esas direcciones sigan activas.