Quantstamp señala a actores norcoreanos tras el robo de 36 millones de dólares a Humanity Protocol mediante spear phishing con un falso email de Bithumb.
Un robo de 36 millones de dólares en Humanity Protocol. Una pista que conduce directamente a Pyongyang. Y una técnica de ingeniería social devastadoramente eficaz que logró engañar al equipo del proyecto.
La firma de auditoría de seguridad blockchain Quantstamp acaba de publicar un análisis que apunta a actores norcoreanos como responsables de uno de los ataques cripto más relevantes de las últimas semanas. Los detalles de la operación revelan un nivel de sofisticación que va mucho más allá de un simple exploit técnico.
Esto es lo que se sabe sobre este ataque, sus mecanismos y lo que revela sobre la evolución de las amenazas que pesan sobre el ecosistema Web3.
Según el análisis de Quantstamp, el vector de entrada del ataque se basó en un correo electrónico fraudulento que suplantaba la identidad de Bithumb, uno de los mayores exchanges surcoreanos. Esta técnica de spear phishing dirigido permitió a los atacantes comprometer a un miembro del equipo de Humanity Protocol, abriendo así la puerta a toda la infraestructura del sistema.
La suplantación de identidad de exchanges de reconocido prestigio es una firma recurrente de los grupos de hackers vinculados a Corea del Norte, entre ellos el célebre Lazarus Group. Estos actores no buscan únicamente explotar vulnerabilidades en el código: apuntan directamente a las personas, que suelen ser el eslabón más débil de cualquier infraestructura de seguridad. El uso de una entidad coreana ampliamente reconocida en el sector cripto asiático refuerza la credibilidad del señuelo ante los equipos objetivo.
Este tipo de ataque híbrido —que combina ingeniería social con explotación técnica— se ha convertido en la norma para los grupos estatales norcoreanos, que habrían sustraído varios miles de millones de dólares en criptomonedas en los últimos años, según las estimaciones de la ONU y de Chainalysis.
Humanity Protocol es un proyecto blockchain centrado en la verificación de identidad descentralizada, concretamente mediante el reconocimiento de la palma de la mano. Respaldado por inversores de primer nivel y con rondas de financiación significativas, el proyecto representaba un objetivo de alto valor para actores que buscan maximizar el rendimiento por ataque.
La pérdida de 36 millones de dólares supone un golpe duro para el ecosistema del proyecto, pero también para la confianza de los usuarios en los protocolos de identidad descentralizada. En un sector cuya promesa central es precisamente la seguridad y la soberanía de los datos, una brecha de esta magnitud lanza una señal de alarma a inversores y socios institucionales.
Quantstamp, encargado del análisis post-mortem del incidente, subraya que la vulneración no se produjo a través de un fallo en los smart contracts del protocolo, sino mediante un ataque directo a la infraestructura humana y operativa del equipo. Este detalle es crucial: incluso un código auditado y seguro no protege contra una clave privada robada mediante phishing.
El caso Humanity Protocol se enmarca en una tendencia de fondo. Según los datos de Chainalysis, los hackers norcoreanos habrían robado más de 1.300 millones de dólares en criptomonedas solo en 2024, convirtiendo a la RPDC en el actor malicioso más activo y peligroso del ecosistema blockchain a nivel mundial.
Sus métodos evolucionan de forma constante: falsos reclutadores en LinkedIn, correos electrónicos que suplantan exchanges, malware camuflado como actualizaciones de software. Los equipos cripto, habitualmente reducidos y con escasos recursos en materia de ciberseguridad, son objetivos privilegiados. Quantstamp recomienda a los proyectos reforzar sus protocolos de autenticación interna, formar a sus equipos para detectar intentos de phishing y adoptar arquitecturas multifirma para limitar la exposición de los fondos en caso de que un único actor se vea comprometido.
Para el conjunto de la industria, este incidente recuerda que la seguridad en Web3 no se reduce a auditar smart contracts. La superficie de ataque humana sigue siendo la más explotada —y la más difícil de parchear.
Ariela es una de las principales redactoras de noticias en InvestX. Con ocho años de experiencia en redacción, escribe diariamente sobre los temas más relevantes y de mayor impacto en el mercado de las criptomonedas.
AVISO DE DESCARGO DE RESPONSABILIDAD
Este artículo se publica únicamente con fines informativos y no debe considerarse asesoramiento en inversiones. Operar con criptomonedas implica riesgos y es fundamental no invertir más de lo que pueda permitirse perder.
InvestX no se hace responsable de la calidad de los productos o servicios presentados en esta página y no podrá ser considerado responsable, directa o indirectamente, de cualquier daño o pérdida derivada del uso de un producto o servicio destacado en este artículo. Las inversiones en criptoactivos son, por naturaleza, arriesgadas. Se recomienda a los lectores realizar su propia investigación antes de tomar cualquier decisión y solo invertir dentro de sus posibilidades financieras. Este artículo no constituye asesoramiento financiero ni de inversión.
Advertencia sobre riesgos : Operar con instrumentos financieros y/o criptomonedas implica un alto nivel de riesgo, incluida la posibilidad de perder la totalidad o una parte de su inversión. Esto puede no ser adecuado para todos los inversores. Los precios de las criptomonedas son extremadamente volátiles y pueden verse afectados por factores externos como eventos financieros, regulatorios o políticos. El trading con margen aumenta significativamente los riesgos financieros.
Los CFD son instrumentos complejos y conllevan un alto riesgo de pérdida rápida de capital debido al efecto de apalancamiento. Entre el 74 % y el 89 % de las cuentas de inversores minoristas pierden dinero al operar con CFD. Antes de operar, debe asegurarse de comprender cómo funcionan los CFD y evaluar si puede permitirse asumir el alto riesgo de perder su dinero.
Antes de decidir operar con instrumentos financieros o criptomonedas, es fundamental estar completamente informado sobre los riesgos y costos asociados con las transacciones en los mercados financieros. Debe analizar cuidadosamente sus objetivos de inversión, su nivel de experiencia y su tolerancia al riesgo. Si es necesario, consulte con profesionales financieros. InvestX.fr/es y la aplicación InvestX pueden proporcionar comentarios generales que no deben considerarse asesoramiento financiero o de inversión. Para cualquier duda, consulte a un asesor financiero independiente.
InvestX.fr/es no se hace responsable de errores, inversiones inadecuadas, inexactitudes u omisiones, y no garantiza la precisión o integridad de la información, textos, gráficos, enlaces u otros elementos presentes en este sitio. Algunos de los socios presentados en este sitio pueden no estar regulados en su país. Es su responsabilidad verificar la conformidad de estos servicios con las regulaciones locales antes de utilizarlos.
