# Cómo blanqueó Corea del Norte 1500 millones de dólares de Bybit, en tres pasos > Bybit perdió unos 1500 millones de dólares en una sola transacción el 21 de febrero de 2025. Luego vino el blanqueo: 50 billeteras en dos horas, cadenas de pelado, ether convertido en bitcoin en nueve días y el dinero reuniéndose en las propias billeteras de Corea del Norte. Un explicativo de 78 segundos, con la fuente de cada cifra. - URL: https://oliverz.dev/es/videos/bybit-laundering - Author: Oliver Zhang (https://oliverz.dev) - Language: es - Published: 2026-11-01 - Tags: security, crypto, explainer - Video: https://www.youtube.com/shorts/nq_rNyClr8E > **En resumen:** el 21 de febrero de 2025, unos hackers que el FBI atribuye a Corea del Norte se llevaron unos 401.000 ether, aproximadamente 1500 millones de dólares, del exchange Bybit en una sola transacción. El blanqueo llegó en tres pasos. Dividir: en dos horas el ether estaba repartido en 50 billeteras, y después siguió moviéndose por cada vez más direcciones, a la manera de la cadena de pelado (peel chain) con la que Lazarus ya ha blanqueado antes. Cambiar de forma: a través de servicios de intercambio, sobre todo los que usan THORChain, el ether se convirtió en bitcoin, y en nueve días las 50 billeteras quedaron vacías. Hacia la oscuridad: mezcladores, y después direcciones que ya guardaban botín de hackeos norcoreanos anteriores. El quinto día, el FBI señaló a Corea del Norte y pidió a exchanges y puentes que bloquearan las direcciones. ## El robo: una sola transacción El FBI: "North Korea was responsible for the theft of approximately $1.5 billion USD in virtual assets from cryptocurrency exchange, Bybit, on or about February 21, 2025." (Corea del Norte fue responsable del robo de aproximadamente 1500 millones de dólares en activos virtuales del exchange de criptomonedas Bybit, el 21 de febrero de 2025 o en torno a esa fecha). Chainalysis lo cifra en "approximately 401,000 ETH" (aproximadamente 401.000 ETH). La entrada fue a través de Safe{Wallet}, el servicio de firma múltiple que usaba Bybit. Sygnia descubrió que "a macOS workstation belonging to a Safe{Wallet} developer… was compromised on February 4, 2025" (una estación de trabajo macOS de un desarrollador de Safe{Wallet}… fue comprometida el 4 de febrero de 2025), y que el código implantado en la interfaz web de Safe tenía "an activation condition, set to execute the transaction manipulation only on a specific Bybit's cold wallet" (una condición de activación, configurada para ejecutar la manipulación de la transacción solo en una billetera fría concreta de Bybit). Así, "the Safe{Wallet} user interface displayed legitimate transaction data while malicious transactions were signed and executed." (la interfaz de usuario de Safe{Wallet} mostraba datos de transacción legítimos mientras se firmaban y ejecutaban transacciones maliciosas). ## Paso 1: dividir y luego pelar Elliptic: "Within two hours of the theft, the stolen funds were sent to 50 different wallets, each holding approximately 10,000 ETH." (en las dos horas siguientes al robo, los fondos robados se enviaron a 50 billeteras distintas, cada una con aproximadamente 10.000 ETH). Después, el rastro se alarga. Una cadena de pelado, en palabras de un resumen de 2020 de una demanda del Departamento de Justicia de EE. UU.: "a single address begins with a relatively large amount of cryptocurrency. A smaller amount is then "peeled" off this larger amount… and the remainder is transferred to a one-time change address. This process is repeated – potentially hundreds or thousands of times" (una sola dirección empieza con una cantidad relativamente grande de criptomonedas. Luego se 'pela' una cantidad menor de esa cantidad mayor… y el resto se transfiere a una dirección de cambio de un solo uso. Este proceso se repite, potencialmente cientos o miles de veces). Es un viejo método de Lazarus. Chainalysis, sobre aquel caso de 2020: "Lazarus collaborated with Tian and Li to launder the stolen cryptocurrency, conducting hundreds of transactions and forming peel chains that further obfuscated the path of funds." (Lazarus colaboró con Tian y Li para blanquear las criptomonedas robadas, realizando cientos de transacciones y formando cadenas de pelado que ocultaron aún más el recorrido de los fondos). No hemos visto ninguna fuente que rastree una cadena de pelado en los fondos de Bybit en concreto, así que la cadena del vídeo es ilustrativa. Lo que sí dijo el FBI: los activos robados fueron "dispersed across thousands of addresses on multiple blockchains." (dispersados entre miles de direcciones en varias blockchains). ## Día 5: el FBI El 26 de febrero, el FBI señaló a Corea del Norte ("FBI refers to this specific North Korean malicious cyber activity as "TraderTraitor"" (el FBI llama 'TraderTraitor' a esta actividad cibernética maliciosa norcoreana en concreto)) y publicó la lista de direcciones: "The following Ethereum addresses are holding or have held assets from the theft, and are operated by or closely connected to North Korean TraderTraitor actors" (las siguientes direcciones de Ethereum tienen o han tenido activos del robo, y están operadas por actores norcoreanos de TraderTraitor o estrechamente vinculadas a ellos). Nosotros contamos 51; el aviso no da ninguna cifra. Su petición: "FBI encourages private sector entities including RPC node operators, exchanges, bridges, blockchain analytics firms, DeFi services, and other virtual asset service providers to block transactions with or derived from addresses TraderTraitor actors are using to launder the stolen assets." (el FBI anima a las entidades del sector privado, incluidos operadores de nodos RPC, exchanges, puentes, empresas de análisis de blockchain, servicios DeFi y otros proveedores de servicios de activos virtuales, a bloquear las transacciones con las direcciones que los actores de TraderTraitor usan para blanquear los activos robados, o derivadas de ellas). ## Paso 2: cambiar de forma TRM Labs, el 3 de marzo: "All of the stolen ETH has now been moved to new addresses, with the vast majority bridged to Bitcoin, mostly via services using THORchain." (todo el ETH robado se ha movido ya a nuevas direcciones, y la gran mayoría se ha pasado a Bitcoin, sobre todo mediante servicios que usan THORchain). Elliptic añade el reloj: las 50 billeteras "were then emptied one by one over the next nine days. The last of the original 50 wallets holding the stolen funds was emptied on 3rd March." (se vaciaron después una a una durante los nueve días siguientes. La última de las 50 billeteras originales con los fondos robados se vació el 3 de marzo). ## Paso 3: hacia la oscuridad TRM: "We have now entered that second phase and have seen an initial tranche of Bybit's BTC being deposited to mixers including Wasabi and CryptoMixer." (ya hemos entrado en esa segunda fase y hemos visto un primer tramo del BTC de Bybit depositado en mezcladores como Wasabi y CryptoMixer). Elliptic: "this bitcoin has now begun to be passed through mixers, to further obfuscate the transaction trail." (este bitcoin ha empezado ya a pasar por mezcladores, para ocultar aún más el rastro de las transacciones). Y el dinero se juntó con dinero más antiguo. Chainalysis: "Funds from the Bybit exploit have also consolidated in addresses holding funds from other known DPRK-linked attacks, providing further evidence that the nation state actors are behind this latest incident." (los fondos del ataque a Bybit también se han concentrado en direcciones que guardan fondos de otros ataques conocidos vinculados a Corea del Norte, lo que aporta más pruebas de que los actores estatales están detrás de este último incidente). ## Después, efectivo, y qué paga El último paso es convertir las criptomonedas en dinero que se pueda gastar. Entre los patrones que enumera el Grupo de Expertos de la ONU: "Heavy reliance on third party launderers and over-the-counter brokers" (fuerte dependencia de blanqueadores externos y de intermediarios extrabursátiles (OTC)). Y el Tesoro de EE. UU. sancionó a "a PRC-based OTC virtual currency trader who facilitated the conversion of virtual currency stolen by DPRK actors working with the Lazarus Group to fiat currency." (un operador OTC de monedas virtuales con sede en China que facilitó la conversión a moneda fiduciaria de monedas virtuales robadas por actores norcoreanos que trabajaban con el Grupo Lazarus). ¿Para qué? El mismo informe de la ONU: "A second Member State reported that 40 per cent of the weapons of mass destruction programmes … are funded by illicit cybermeans." (un segundo Estado miembro informó de que el 40% de los programas de armas de destrucción masiva … se financia con medios cibernéticos ilícitos). Es la cifra que un país dio al Grupo, no una conclusión propia del Grupo. ## Cómo suele empezar No con código, sino con un mensaje. CISA: "The messages often mimic a recruitment effort and offer high-paying jobs to entice the recipients to download malware-laced cryptocurrency applications" (los mensajes suelen imitar un proceso de selección y ofrecen empleos bien pagados para tentar a los destinatarios a descargar aplicaciones de criptomonedas cargadas de malware). Entre las señales de alerta del FBI: "Requests to conduct a 'pre-employment test' or debugging exercise that involves executing … scripts, or GitHub repositories." (peticiones de hacer una 'prueba previa a la contratación' o un ejercicio de depuración que implique ejecutar … scripts o repositorios de GitHub). 1. No ejecutes código que te envíe un desconocido, por buena que sea la oferta de trabajo. 2. Antes de firmar, lee la transacción en el propio dispositivo, no en la página web que te la pidió. ## Fuentes - FBI IC3, [North Korea Responsible for $1.5 Billion Bybit Hack](https://www.ic3.gov/PSA/2025/PSA250226), 26 feb 2025 - Elliptic, [The largest theft in history: following the money trail from the Bybit hack](https://www.elliptic.co/blog/bybit-hack-largest-in-history), feb–mar 2025 - TRM Labs, [Bybit hack update: North Korea moves to next stage of laundering](https://www.trmlabs.com/resources/blog/bybit-hack-update-north-korea-moves-to-next-stage-of-laundering), 3 mar 2025 - Chainalysis, [Collaboration in the wake of record-breaking Bybit theft](https://www.chainalysis.com/blog/bybit-exchange-hack-february-2025-crypto-security-dprk/), 24 feb 2025 - Chainalysis, [New OFAC sanctions and DOJ complaint for North Korea-linked cryptocurrency laundering scheme](https://www.chainalysis.com/blog/north-korea-cryptocurrency-addresses-ofac-doj-march-2020/), 5 mar 2020 - Money Laundering Watch, [Two Chinese nationals charged with laundering over $100 million in cryptocurrency for North Korea](https://www.moneylaunderingnews.com/2020/03/two-chinese-nationals-charged-with-money-laundering-over-100-million-in-cryptocurrency-for-north-korea/), 11 mar 2020 - Sygnia, [Sygnia's investigation into the Bybit hack](https://www.sygnia.co/blog/sygnia-investigation-bybit-hack/) - UN Panel of Experts, [S/2024/215](https://documents.un.org/doc/undoc/gen/n24/032/68/pdf/n2403268.pdf), 7 mar 2024 - US Treasury, [jy1435](https://home.treasury.gov/news/press-releases/jy1435), 24 abr 2023 - CISA, [AA22-108A: TraderTraitor](https://www.cisa.gov/news-events/cybersecurity-advisories/aa22-108a); FBI, [PSA 240903](https://www.ic3.gov/PSA/2024/PSA240903), 3 sep 2024 El vídeo está animado con código y el guion se escribió con ayuda de IA; cada cita de arriba está contrastada con su fuente, y el recuento de 51 direcciones es nuestro. Ilustrativo: las direcciones de las billeteras, las cantidades de cada salto, la cadena de pelado, las pantallas y los mensajes. Este artículo explica el blanqueo al nivel en que lo describen el FBI y los analistas, no cómo hacerlo. Hecho con [Shotloop](https://oliverz.dev/es/products/shotloop), mi app gratis para Mac de explicativos hechos con código, corregidos plano a plano.