El Grupo Lazarus de Corea del Norte libra una guerra cibernética contra las criptomonedas: y los desarrolladores son el nuevo objetivo

El Grupo Lazarus, la infame unidad de hacking de Corea del Norte, ha llevado a cabo nuevos ciberataques en criptomonedas con un enfoque cada vez mayor en los desarrolladores. 

Los investigadores de seguridad han descubierto en los últimos meses que el grupo ha estado saboteando paquetes npm maliciosos que roban credenciales, exfiltran datos de billeteras de criptomonedas y crean una puerta trasera persistente en los entornos de desarrollo. Esto marca una escalada importante en su guerra cibernética de años de duración, que ya ha sido testigo de algunos de los mayores robos de criptomonedas en la historia.

Según una nueva investigación del Socket Research Team, una rama del Grupo Lazarus ha penetrado en el repositorio npm, uno de los gestores de paquetes más populares para desarrolladores de JavaScript. 

Los hackers luego utilizaron técnicas de typosquatting para publicar versiones maliciosas de paquetes npm populares, engañando a desarrolladores desprevenidos para que descargaran los programas. Los paquetes incluyen is-buffer-validator, yoojae-validator, event-handle-package, array-empty-validator, react-event-dependency y auth-validator. 

Al ejecutarse, los paquetes comprometidos instalan el malware BeaverTail. Esta herramienta «avanzada» puede robar credenciales de inicio de sesión, buscar en los archivos del navegador contraseñas guardadas y volcar archivos de billeteras de criptomonedas, como Solana y Exodus.

Los investigadores de seguridad notaron que los datos robados se enviaron al servidor de comando y control (C2) codificado, un modus operandi común empleado por el Grupo Lazarus para retransmitir datos confidenciales de vuelta a sus actores. 

Su propósito es robar y transmitir datos comprometidos sin ser detectado, y es particularmente amenazante en el mundo de los desarrolladores que construyen aplicaciones financieras y de blockchain, dice Kirill Boychenko, analista de inteligencia de amenazas en Socket Security.

Lazarus lanzó una ofensiva contra Bybit, robando casi 1.460 millones de dólares

Además de estos ataques a la cadena de suministro, el Grupo Lazarus también ha estado vinculado a uno de los mayores robos de criptomonedas registrados. Se sospecha que su primera acción ocurrió el 21 de febrero de 2025, cuando hackers vinculados al grupo vulneraron a Bybit, uno de los mayores intercambios de criptomonedas del mundo, llevándose un estimado de 1.460 millones de dólares en activos cripto.

El ataque fue extremadamente sofisticado y supuestamente fue lanzado desde un dispositivo comprometido de un empleado de Safe{Wallet}, un socio tecnológico de Bybit. Los hackers aprovecharon una vulnerabilidad en la infraestructura de la billetera Ethereum de Bybit y alteraron la lógica del contrato inteligente para redirigir los fondos a sus billeteras.

Aunque Bybit abordó el problema inmediatamente, una declaración del CEO Ben Zhou reveló que el 20% del dinero robado ya había sido lavado a través de servicios de mezcla y era irrecuperable.

Esta última serie de ataques es parte del esfuerzo más amplio de Corea del Norte para evadir las sanciones internacionales contra él robando y lavando criptomonedas.

Según un informe de las Naciones Unidas de 2024, los cibercriminales norcoreanos fueron responsables de más del 35% de los robos globales de criptomonedas durante el último año, acumulando más de 1.000 millones de dólares en activos robados. El Grupo Lazarus no es solo un sindicato de cibercrimen, sino también una amenaza geopolítica, ya que se informa que el dinero robado se canaliza directamente hacia los programas de armas nucleares y misiles balísticos de la nación.

Estos ataques del Grupo Lazarus también han evolucionado con los años, pasando de hackeos directos a exchanges a ataques a la cadena de suministro e incluso a desarrolladores y repositorios de software.

Al añadir puertas traseras a plataformas de código abierto como npm, PyPI y GitHub, el grupo amplía su rango de ataque potencial a muchos sistemas, eliminando la necesidad de hackear directamente los exchanges de criptomonedas.

Los expertos en seguridad piden protecciones más estrictas para los desarrolladores de criptomonedas 

Teniendo en cuenta estos riesgos crecientes, los especialistas en ciberseguridad abogan por una seguridad más estricta para los desarrolladores y usuarios de criptomonedas, así como protección contra los hackers. Una de las mejores prácticas es verificar la autenticidad de los paquetes de npm antes de la instalación, ya que el typosquatting sigue siendo uno de los métodos más comunes que utilizan los cibercriminales. 

El escáner Socket AI también rastrea anomalías en sus dependencias de software o en la auditoría de npm, lo que le informa si se están utilizando paquetes comprometidos y le permite eliminarlos de su aplicación antes de que puedan causar daños reales.

La guía recomienda que los usuarios y desarrolladores tomen la iniciativa para protegerse habilitando la autenticación multifactor (MFA) para las billeteras de los exchanges, plataformas de desarrolladores como GitHub y otras cuentas. 

La monitorización de la red se considera ahora la primera línea de defensa, ya que el sistema comprometido suele enviar mensajes de vuelta a un servidor externo de comando y control (C2), que luego sube las actualizaciones maliciosas al ordenador infectado. Bloquear el tráfico saliente ilegítimo puede cortar el acceso de los hackers a estos datos robados.

Bybit lanza un programa de recompensas por recuperación mientras se intensifica la batalla por la seguridad de las criptomonedas

Tras el hackeo de Bybit, el exchange también inició un Programa de Recompensas por Recuperación, premiando a quien ayude a encontrar los activos robados. El programa permite recompensas de hasta el 10% del dinero recuperado.

Al mismo tiempo, el ecosistema cripto más amplio está intensificando las prácticas de seguridad y alertando a los desarrolladores para que se protejan contra las mismas prácticas que pueden llevar por este camino amenazante.

Pero a medida que las tácticas del Grupo Lazarus avanzan cada vez más rápido, los defensores de la red dicen que la guerra contra las criptomonedas apenas ha comenzado.