Ripple alerta a Crypto ISAC sobre Lazarus tras robo de 577 millones

Ripple está compartiendo ahora su inteligencia interna sobre actores de amenaza norcoreanos con Crypto ISAC, el grupo de intercambio de amenazas del sector, tras la brecha de Drift en abril de 285 millones de dólares, que dejó al descubierto un cambio en la metodología de los atacantes: el paso desde exploits en contratos inteligentes hacia la ingeniería social de ciclo largo. Sumada al exploit del bridge de Kelp, de 292 millones de dólares, también atribuido al Lazarus Group, las pérdidas de abril vinculadas a operativos norcoreanos superaron los 577 millones de dólares en un solo mes, y en ambos casos no hubo ningún exploit on-chain.

Por qué importa

La ola de robos en DeFi de 2022–2024 giraba en torno al código: los atacantes encontraban bugs en contratos inteligentes y vaciaban los protocolos en minutos. La ola actual gira en torno a las personas. Los operativos solicitan empleo en empresas cripto, superan las verificaciones de antecedentes, se presentan en llamadas de Zoom y construyen confianza durante meses antes de desplegar malware que se lleva las claves privadas. Para cuando los fondos se mueven, ningún control de seguridad tradicional tiene nada que señalar, porque el atacante ya estaba dentro, acreditado como contratista.

La contribución de Ripple a Crypto ISAC es el tejido conectivo que hace que ese patrón sea legible entre empresas: perfiles de LinkedIn, direcciones de correo electrónico, ubicaciones y números de contacto que permiten a un equipo de seguridad reconocer al candidato al que acaba de entrevistar como el mismo operativo que no superó las verificaciones de antecedentes en otras tres empresas esa misma semana. «La postura de seguridad más sólida en cripto es una compartida», publicó Ripple en X. «Un actor de amenaza que no supera una verificación de antecedentes en una empresa solicitará empleo en tres más esa misma semana. Sin inteligencia compartida, cada empresa empieza desde cero».

Impacto en el mercado

El alcance del Lazarus Group es ya lo bastante visible como para reconfigurar procedimientos legales. El lunes, un abogado que representa a víctimas del terrorismo norcoreano presentó notificaciones de restricción contra Arbitrum DAO, argumentando que los 30.765 ETH congelados tras el exploit del bridge de Kelp son propiedad norcoreana según la legislación estadounidense. El protocolo de préstamos Aave respondió en apoyo de Arbitrum, argumentando que «un ladrón no adquiere la propiedad legítima de un bien robado simplemente por tomarlo».

Si el intercambio de inteligencia a nivel de sector realmente frena las campañas, es la pregunta abierta.