El Federal Bureau of Investigation (FBI), junto con el U.S. Secret Service (USSS) y la división de investigaciones criminales del IRS (IRS-CI), ha atribuido oficialmente a TraderTraitor —un colectivo vinculado a Corea del Norte y rastreado también como Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces y UNC4899— el robo de más de 6.4 millardos de dólares en activos digitales.
Qué sucedió y cómo se blanqueó el botín
Según las agencias, los atacantes convirtieron inicialmente gran parte de los fondos robados en Ethereum (ETH) y se espera que utilicen servicios DeFi (finanzas descentralizadas) y plataformas de intercambio instantáneo para mover y ocultar esos activos en etapas posteriores de blanqueo. El FBI ha facilitado una lista de direcciones de billeteras asociadas al grupo que estarían empleando para esas conversiones y lavados on‑chain.
Impacto en exchanges y en la industria Web3
El incidente motivó medidas operativas en varias plataformas de intercambio. En el caso citado públicamente, un exchange procedió a pausar y luego reanudar de forma progresiva retiros tras efectuar comprobaciones de seguridad y de preparación de servicios; los depósitos permanecieron disponibles. Parte de los fondos —alrededor de 2.85 millardos de dólares, según el informe— fueron congelados on‑chain por entidades y protocolos como Tether, Circle, Ripple, Arbitrum y Optimism.
Metodología de ataque y vectores observados
TraderTraitor sigue un patrón conocido: campañas de ingeniería social que inducen a víctimas a descargar aplicaciones o componentes de software comprometidos. Informes de firmas de seguridad identifican la distribución de malware mediante proveedores de Terraform troceados (trojanizados) que entregan cargadores Bash. Estos cargadores descargan implantes multiplataforma —por ejemplo un ladrón de información en Python y puertas traseras posteriores— para exfiltrar credenciales y mantener acceso persistente en sistemas macOS, Linux y Windows.
Además, el grupo usa artimañas de reclutamiento laboral como señuelo: crea perfiles y dominios falsos y usa mensajes personalizados (a veces generados o pulidos con herramientas de IA) para ganarse la confianza de ingenieros, investigadores y personal de empresas relacionadas con ciberseguridad, blockchain y contratación. Una vez que la víctima ejecuta código o componentes ofrecidos, el atacante dispone del vector para comprometer infraestructuras y robar activos cripto.
Qué significa para administradores y dueños de sitios web
- Revisión de cadenas de suministro de desarrollo: auditar y restringir proveedores y módulos externos (incluidos proveedores de Terraform). Verificar firmas y fuentes oficiales antes de integrar módulos.
- Principio del menor privilegio: ejecutar tareas de infraestructura y CI/CD con cuentas y permisos mínimos para reducir el impacto de un componente comprometido.
- Escaneo y detección: emplear herramientas de detección de anomalías en endpoints y en pipelines de desarrollo que identifiquen cargas inusuales, conexiones salientes o ejecución de binarios no autorizados.
- Concienciación y procesos de contratación: desconfiar de ofertas laborales no solicitadas, verificar identidad de reclutadores y no ejecutar binarios ni scripts recibidos por canales no verificados.
- Monitorización on‑chain: para proyectos que gestionan activos, monitorizar direcciones y aplicar controles con proveedores de custodias y servicios que permitan congelar o marcar fondos si se detecta actividad sospechosa.
Contexto y alcance
El robo reportado es descrito por las agencias como el mayor saqueo de criptomonedas conocido hasta la fecha, superando incidentes previos en escala. Grupos vinculados a Estados estatales, en particular a Corea del Norte, vienen siendo señalados por operaciones de cibercrimen que combinan exfiltración de activos digitales y abuso de flujos de trabajo de desarrollo confiables para distribuir malware.
Nota: la información procede del comunicado conjunto de agencias y de análisis públicos; no se han añadido datos no confirmados por las fuentes oficiales.
Lee también:
- Investigación revela infraestructura DNS detrás del malware Android ‘RatHat’ usado en campañas de smishing
- Fallo crítico en LXD y MicroCloud permite suplantar clientes de confianza sin la clave privada
Fuente: The Hacker News
