Un clic y 1.500 millones esfumados: El ataque de Lazarus a Bybit y la guerra de 72 horas para salvar los fondos

14:13 UTC: una transferencia manipulada, 1.460 millones de dólares

El 21 de febrero de 2025 empezó como un viernes cualquiera para el equipo de tesorería de Bybit: una transferencia programada desde una de las carteras frías en Ethereum de la casa de cambio. A las 14:13 UTC, esa única transacción fue manipulada. Los firmantes creían aprobar una operación rutinaria; lo que se ejecutó en realidad vació la cartera. La cronología del incidente que Bybit publicó después confirmó el saldo final: una pérdida total de 1.460 millones de dólares, compuesta por 401.347 ETH, 90.375 stETH, 15.000 cmETH y 8.000 mETH. ^[1]

Los activos robados no viajaron como un solo bulto en una única transferencia hacia un único ladrón. Desde el primer bloque se repartieron entre 39 direcciones receptoras: éter nativo junto con fichas de staking líquido, una estructura pensada para esparcir huellas y dejar atrás a los analistas de cadena desde los primeros minutos. ^[1]

En las primeras horas la certeza escaseaba. Nadie podía decir de inmediato si habían fallado la infraestructura de Bybit, la pila multisig de Safe o algo completamente distinto, y la especulación llenó el vacío. Lo que sí se establecería después es que el episodio fue el mayor robo de la historia del sector, capaz de eclipsar de golpe todos los ataques anteriores a plataformas de intercambio. ^{[1], [5]}

La brecha fue humana: phishing a un desarrollador de Safe

La pregunta que dominó los primeros días era simple: si los firmantes autorizados de Bybit aprobaron el retiro, ¿qué los engañó? El 28 de febrero, el comunicado de la fundación del ecosistema de Safe entregó la respuesta confirmada. Su investigación halló que una campaña de ingeniería social selectiva —phishing— había comprometido la máquina de un desarrollador de Safe, y que ese acceso se usó para alterar la interfaz de Safe Wallet específicamente en la transacción de Bybit. ^[3]

Igual de importante fue lo que Safe descartó: no existía vulnerabilidad alguna en sus contratos inteligentes ni en su código fuente. Los contratos multisig ejecutaron con fidelidad lo que se les ordenó. El engaño vivía por completo en la capa de presentación: la interfaz en la que los humanos confían cuando leen lo que firman. ^[3]

Esa distinción separa el miedo inicial del hecho final. Los primeros reportes evocaron la amenaza de una explotación sistémica de Safe capaz de poner en riesgo a miles de protocolos dependientes. La investigación redujo el alcance de forma dramática: una estación de trabajo de desarrollador, una interfaz modificada, un objetivo concreto. El modelo de amenaza confirmado —y no el imaginado— es contra el que el sector debe defenderse hoy. ^[3]

Tres horas después: una transmisión en vivo y retiros que no se cierran

Hacia las 17:15 UTC —unas tres horas después de la transferencia manipulada—, el director ejecutivo de Bybit, Ben Zhou, inició una transmisión en vivo ante una audiencia que esperaba un epitafio. Dijo a los espectadores que Bybit se mantenía solvente y que los activos de los clientes seguían respaldados uno a uno, presentando la supervivencia de la casa de cambio como algo que los usuarios podían presenciar en tiempo real. ^{[1], [4]}

Presenciaron, y pusieron a prueba. Bybit mantuvo los retiros abiertos en plena tormenta, y las cifras que publicó después fueron notables: alrededor de 4.000 millones de dólares retirados, más de 350.000 solicitudes procesadas y el 99,994 % completadas en un plazo de 10 horas, una prueba de resistencia que ha quebrado a plataformas más frágiles. ^[1]

Las congelaciones contaron una historia más discreta. Tether congeló apenas unos 181.000 USDT vinculados al robo. Bybit informó más tarde de que sus socios congelaron en conjunto 42,89 millones de dólares en fondos robados o relacionados: un total del sector que nunca debe atribuirse a Tether en solitario. ^[1]

Setenta y dos horas para reponer la bóveda

En un plazo de 72 horas, Bybit repuso las reservas que respaldaban los saldos de usuarios mediante préstamos puente, grandes depósitos y compras extrabursátiles, manteniendo abiertos los retiros. No recuperó el botín: rellenó el hueco del balance con financiación de emergencia y adquisición de activos. ^{[1], [4]}

Un informe posterior de prueba de reservas mostró los activos clave respaldados por encima del 100 %: un margen verificable en lugar de una promesa verbal. La incertidumbre inicial sobre si la casa de cambio sobreviviría a la estampida quedó sustituida por un colchón de seguridad auditado y publicado. ^[1]

Lo que sostuvo el resultado fue gestión de crisis, no suerte: comunicación continua, cifras honestas, vías abiertas y recapitalización veloz. Que la reposición de 72 horas fuera posible habla de la propia escala de Bybit, y esa escala es en sí una lección sobre qué custodios pueden sobrevivir a un golpe de grado Lazarus. ^{[1], [4]}

TraderTraitor: atribución, blanqueo y una sombra alargada

El 26 de febrero, el FBI atribuyó formalmente el robo a ciberactores estatales norcoreanos bajo su designación TraderTraitor —la constelación del Lazarus Group— y lo cifró en unos 1.500 millones de dólares. La agencia también documentó el manual de blanqueo: conversiones rápidas mediante intercambios y puentes entre cadenas, y movimientos fragmentados para complicar el rastreo. ^[2]

Los analistas del CSIS enmarcaron el golpe como récord y advertencia a la vez: la prueba de que las casas de cambio de criptoactivos son hoy objetivos estratégicos de actores estatales y de que la seguridad operativa de nivel de seguridad nacional se ha vuelto infraestructura básica para todo custodio serio. ^[5]

La lección técnica es la más incisiva. Ninguna primitiva criptográfica falló y ningún contrato resultó vulnerado; lo que engañaron fue a un ser humano a través de una interfaz de confianza. Las defensas deben trasladarse entonces a las vistas previas de transacción verificables, los entornos de firma aislados y la integridad del front-end: las capas exactas donde ocurrió el robo. ^{[3], [5]}

Para los usuarios, el episodio reescribió un viejo mantra. «Si no son tus claves, no son tus monedas» asume que la autocustodia elimina la confianza; Bybit demostró que hasta los firmantes institucionales de una cartera fría pueden volverse armas contra sí mismos a través de la capa de software. La confianza se salvó con transparencia, reservas y velocidad — y con la incómoda admisión de que el eslabón más débil nunca fue la cadena de bloques. ^{[1], [3]}