Bybit demanda a Corea del Norte, y podría funcionar

El intercambio presentó una demanda civil en un tribunal federal de EE. UU. contra Corea del Norte, su agencia de inteligencia y el Grupo Lazarus por el hackeo de 1.500 millones de dólares de febrero de 2025. Un juez ya ha congelado los activos robados. El caso pone a prueba si la ley civil puede hacer lo que la aplicación penal no ha logrado.

El 7 de agosto de 2026, Bybit anunció que había presentado una demanda civil en el Tribunal de Distrito de los Estados Unidos para el Distrito de Columbia contra la República Popular Democrática de Corea, su agencia de inteligencia Oficina General de Reconocimiento y el Grupo Lazarus. La queja se refiere a la brecha del 21 de febrero de 2025 que drenó más de 400.000 Ether y Ether apostado del intercambio con sede en Dubái, un incidente valorado en aproximadamente 1.500 millones de dólares en ese momento y que sigue siendo el mayor robo de criptomonedas registrado.

La presentación es inusual en casi todos los aspectos. Una empresa privada está demandando a una nación soberana en un tribunal de EE. UU. Los demandados incluyen una agencia de inteligencia estatal y un grupo de hackers que opera bajo su dirección. Los activos robados han sido lavados a través de miles de billeteras, convertidos entre blockchains y pasados por servicios de mezcla diseñados para romper el rastro de transacciones. Y sin embargo, un juez federal otorgó una orden judicial preliminar, lo que significa que un tribunal ya ha determinado que hay suficiente evidencia y base legal para congelar los activos robados identificables mientras el caso continúa.

La pregunta no es si la demanda es simbólicamente importante. Claramente lo es. La pregunta es si puede producir un resultado práctico: la recuperación de fondos robados, la creación de un precedente legal para futuros casos, o ambos. El caso llega en un momento en que la industria de las criptomonedas busca herramientas institucionales para complementar sus defensas técnicas. El rastreo de blockchain, la cooperación de intercambios y las recompensas por errores han sido los principales mecanismos de recuperación después de grandes hackeos. Una demanda civil respaldada por una orden judicial federal introduce un instrumento legal que no ha sido ampliamente probado en el contexto de las criptomonedas pero que tiene un profundo precedente en litigios tradicionales de recuperación de activos.

Lo que realmente afirma la demanda

La queja nombra a tres demandados. La República Popular Democrática de Corea es nombrada como un estado soberano que dirigió el robo a través de su aparato de inteligencia. La Oficina General de Reconocimiento, la principal organización de inteligencia extranjera de Corea del Norte, es nombrada como la agencia que supervisó la operación. El Grupo Lazarus es nombrado como el actor de amenaza que llevó a cabo la ejecución técnica.

El caso se presenta bajo teorías de responsabilidad civil que no requieren que los demandados comparezcan ante el tribunal. Bybit está persiguiendo la reclamación a través de los mecanismos legales disponibles contra estados soberanos y sus agentes cuando se acusa a esos estados de patrocinar actos que causan daño financiero a partes privadas. La Ley de Inmunidad Soberana Extranjera típicamente protege a los gobiernos extranjeros de demandas en tribunales de EE. UU., pero existen excepciones para el terrorismo patrocinado por el estado y ciertas actividades comerciales.

Junto con la queja, Bybit obtuvo una orden judicial preliminar dirigida a los demandados John Doe, individuos y entidades no identificados que poseen activos rastreados hasta el robo. La orden les prohíbe transferir, vender o disponer de los activos identificados. Una orden judicial preliminar no es un fallo final. Preserva la propiedad durante el litigio. Pero obtener una requiere demostrar a un juez que es probable que el demandante tenga éxito en el fondo y que los activos estarían en riesgo de disipación sin la orden.

El CEO de Bybit, Ben Zhou, enmarcó la presentación en términos que enfatizaban la responsabilidad por encima de la recuperación financiera. "Nuestro enfoque nunca ha cambiado: proteger primero a nuestros usuarios, recuperar lo que podamos y asegurarnos de que las personas detrás de estos ataques rindan cuentas", dijo Zhou en un comunicado.

Cómo se desarrolló el hackeo de febrero de 2025

La brecha ocurrió el 21 de febrero de 2025, cuando los atacantes comprometieron la infraestructura de seguridad de Bybit y drenaron más de 400,000 ETH y stETH del exchange. Los activos estaban valorados en aproximadamente $1.5 mil millones en ese momento, lo que lo convierte en el mayor robo de criptomonedas jamás registrado.

El FBI atribuyó el ataque a actores norcoreanos en cuestión de días. La oficina identificó a los perpetradores bajo el nombre operativo TraderTraitor e instó a los exchanges, validadores y empresas de blockchain a bloquear transacciones conectadas a direcciones identificadas en la operación de lavado. La velocidad de la atribución fue notable. Las agencias de inteligencia de EE. UU. habían estado rastreando las operaciones del Grupo Lazarus durante años, y las firmas en cadena del ataque coincidían con patrones de campañas norcoreanas anteriores.

Los atacantes se movieron rápidamente para lavar los fondos robados. Durante la primera semana, una parte significativa del ETH se convirtió en Bitcoin a través de puentes entre cadenas. Luego, el Bitcoin se dispersó en miles de carteras en un patrón diseñado para abrumar las herramientas de rastreo. Para marzo de 2025, el CEO de Bybit informó que el 88.87 por ciento de los fondos robados seguían siendo rastreables, mientras que el 7.59 por ciento se había oscurecido a través de mezcladores de criptomonedas y el 3.54 por ciento había sido congelado.

La arquitectura legal de la demanda refleja una estrategia calculada para navegar el desafío inusual de demandar a una nación soberana y su aparato de inteligencia. Al presentar la demanda en el Distrito de Columbia, Bybit coloca el caso en una jurisdicción donde los tribunales federales manejan rutinariamente asuntos que involucran estados extranjeros y sanciones internacionales. La excepción de la FSIA para el terrorismo patrocinado por el estado está bien establecida en este tribunal, con décadas de precedentes de casos contra Irán, Siria y Libia que proporcionan una hoja de ruta para que los demandantes puedan presentar reclamos contra acusados soberanos que se niegan a comparecer. La orden judicial preliminar que congela los activos robados demuestra que el tribunal está dispuesto a ejercer jurisdicción y emitir órdenes ejecutables incluso antes de que los acusados respondan, lo que en un caso contra Corea del Norte puede que nunca suceda.

La proporción rastreable disminuyó en los meses siguientes. Para abril de 2025, Zhou reveló que el 27.6 por ciento de los fondos robados ya no podían ser rastreados. Los atacantes utilizaron una combinación de protocolos entre cadenas, servicios de mezcla y exchanges descentralizados para oscurecer el rastro. Cada salto entre cadenas y cada paso por un mezclador hacía que los fondos restantes fueran más difíciles de seguir.

Bybit cubrió el déficit inmediato mediante compras de ETH, préstamos y depósitos de contrapartes de la industria. El exchange continuó procesando retiros de clientes durante toda la crisis, evitando el colapso de liquidez que ha seguido a otros hackeos importantes de exchanges. La respuesta operativa fue ampliamente acreditada como una de las recuperaciones posteriores a hackeos más efectivas en la historia de la industria.

La escala de la operación de lavado revela la sofisticación del aparato norcoreano. Los atacantes no simplemente enviaron el ETH robado a un solo mezclador y esperaron. Ejecutaron un pipeline de múltiples etapas. Primero, el ETH se intercambió por otros tokens a través de exchanges descentralizados para romper el vínculo directo con las carteras de Bybit. Luego, los tokens se puentearon a otras cadenas, principalmente Bitcoin, a través de protocolos entre cadenas. El Bitcoin se dividió luego en miles de carteras recién creadas en un patrón llamado lavado de "cadena de pelado", donde cada cartera envía una pequeña porción a un destino y reenvía el resto a la siguiente cartera en la cadena. Cada etapa agregaba una capa de ofuscación, y todo el proceso se automatizaba con scripts que se ejecutaban más rápido de lo que los analistas humanos podían seguir en tiempo real.

Por qué una demanda civil y por qué ahora

El momento de la presentación plantea una pregunta obvia: ¿por qué esperar 18 meses? La respuesta involucra tanto la estrategia legal como la evolución de la evidencia disponible.

Las investigaciones penales sobre el hackeo están en curso. Las agencias de aplicación de la ley de EE. UU., incluido el FBI, están llevando a cabo sus propios casos contra los actores norcoreanos. La demanda civil de Bybit es explícitamente separada de esos procedimientos penales. El exchange no depende de los plazos o prioridades de los fiscales.

La infraestructura de lavado de dinero que empleó el Grupo Lazarus después del hackeo de Bybit ilustra cómo los hackers respaldados por estados han profesionalizado sus operaciones para explotar las brechas estructurales en el cumplimiento de las criptomonedas. A las pocas horas del robo, el Ether robado se movió a través de una cascada de billeteras intermedias diseñadas para romper la cadena de procedencia. Los fondos luego fluyeron a través de intercambios descentralizados, puentes entre cadenas y servicios de mezcla que no realizan verificaciones de conocimiento del cliente. Para cuando las agencias de aplicación de la ley comenzaron a coordinar su respuesta, una parte significativa de los activos robados ya se había convertido en bitcoin y se había enrutado a través de capas adicionales de ofuscación. Esta rápida dispersión es una firma de las operaciones criptográficas de Corea del Norte, refinada a través de años de práctica en múltiples robos de alto perfil.

Una demanda civil ofrece varias ventajas que el enjuiciamiento penal no ofrece. Primero, la carga de la prueba es menor. Los casos penales requieren prueba más allá de toda duda razonable. Los casos civiles requieren una preponderancia de la evidencia. Segundo, un demandante civil controla su propio caso. Bybit puede buscar la recuperación según su propio cronograma en lugar de esperar un enjuiciamiento penal que puede tardar años en culminar en un fallo.

Tercero, y lo más práctico, una demanda civil con una orden judicial preliminar le da a Bybit un instrumento legal que los intercambios y custodios deben respetar. Cuando Bybit identifica fondos robados en una plataforma, ahora puede señalar una orden judicial en lugar de depender de la cooperación voluntaria. Los intercambios que se nieguen a congelar activos cubiertos por una orden judicial federal enfrentan exposición legal propia.

La brecha de 18 meses también permitió que el rastreo de blockchain madurara. Las primeras semanas después de un hackeo importante son caóticas. Los fondos se mueven rápidamente a través de cadenas y mezcladores. Con el tiempo, parte de ese movimiento se detiene. Los fondos permanecen en billeteras. Terminan en intercambios donde el retiro requiere interacción con entidades reguladas. La orden judicial preliminar apunta a esos puntos de descanso, las billeteras y cuentas donde actualmente se encuentran los fondos robados rastreables.

¿Puedes realmente demandar a Corea del Norte y cobrar?

Esta es la pregunta que hace que el caso sea inusual. Demandar a una nación soberana en un tribunal extranjero no es una práctica estándar, y cobrar un fallo contra un país que no participa en el sistema financiero internacional presenta desafíos obvios.

El marco legal para demandar a gobiernos extranjeros en tribunales de EE. UU. se rige por la Ley de Inmunidades Soberanas Extranjeras. En circunstancias normales, los estados extranjeros son inmunes a ser demandados en tribunales de EE. UU. Pero existen excepciones. La excepción por terrorismo, agregada después de las enmiendas de 1996, permite reclamos contra estados designados como patrocinadores del terrorismo. Corea del Norte ha estado en la lista de patrocinadores estatales del terrorismo del Departamento de Estado desde 2017.

Si el robo de criptomonedas califica bajo la excepción por terrorismo es una cuestión legal que el tribunal deberá abordar. Casos anteriores bajo esta excepción han involucrado actos de violencia física, toma de rehenes y apoyo material a organizaciones terroristas. Un hackeo de criptomonedas cometido para obtener ganancias financieras en lugar de violencia política puede poner a prueba los límites del estatuto.

Incluso si Bybit obtiene un fallo en rebeldía (es poco probable que Corea del Norte envíe abogados para defender el caso), cobrar ese fallo contra un estado que opera fuera del sistema financiero convencional es un desafío separado. El valor práctico de la demanda no radica en extraer el pago de Pyongyang sino en los efectos accesorios: la orden judicial preliminar que congela activos, el precedente legal que las víctimas futuras pueden citar, y la señal a los intercambios y custodios de que los activos congelados tienen una orden judicial detrás.

El componente John Doe de la demanda es potencialmente más accionable. Si las identidades de individuos o entidades que poseen los fondos robados se descubren durante el litigio, pueden ser agregados al caso y sujetos a acciones de ejecución. A diferencia de Corea del Norte misma, los individuos que poseen criptomonedas robadas y no cumplen con una orden judicial federal enfrentan consecuencias que pueden ser ejecutadas.

El patrón más amplio del robo de criptomonedas de Corea del Norte

El hackeo de Bybit no fue un incidente aislado. Fue el evento individual más grande en una campaña sostenida de robo de criptomonedas que las agencias de inteligencia de EE. UU. atribuyen al estado norcoreano.

Los grupos norcoreanos robaron un estimado de $2.02 mil millones en criptomonedas durante 2025, según datos de Chainalysis. El ataque a Bybit representó la mayor parte de ese total. Acumulativamente, los grupos vinculados a Corea del Norte han robado aproximadamente $6.75 mil millones en activos digitales a lo largo de múltiples años de operaciones.

La amenaza continuó hasta 2026. En abril, los ataques vinculados a Lazarus supuestamente drenaron 577 millones de dólares de Drift Protocol y KelpDAO en dos incidentes separados. Los ataques utilizaron métodos técnicos diferentes pero compartieron el mismo manual operativo: identificar una vulnerabilidad en un protocolo DeFi o intercambio, explotarla rápidamente y mover los fondos robados a través de una cadena de lavado preplanificada que cruza múltiples blockchains en cuestión de horas.

La escala del robo tiene implicaciones geopolíticas. Las agencias de inteligencia de EE. UU. y Corea del Sur han evaluado que Corea del Norte canaliza los ingresos del robo de criptomonedas hacia sus programas de armas, incluido el desarrollo nuclear y de misiles. Esta evaluación es una de las razones por las que el FBI atribuyó el ataque a Bybit tan rápidamente y por las que las autoridades estadounidenses han sido inusualmente activas en coordinar con los intercambios para congelar fondos. La escala de la brecha de febrero de 2025, que superó todos los incidentes anteriores por un factor de tres, obligó a la industria a enfrentar la insuficiencia de sus mecanismos de respuesta existentes y considerar si el litigio civil podría llenar el vacío de aplicación que la persecución penal ha dejado abierto.

Para la industria de las criptomonedas, la amenaza norcoreana se ha convertido en una suposición de seguridad básica en lugar de un riesgo excepcional. Los intercambios, protocolos DeFi y operadores de puentes ahora diseñan sus modelos de seguridad con atacantes patrocinados por el estado como un escenario de amenaza principal. La demanda de Bybit agrega una dimensión legal a lo que ha sido principalmente una respuesta técnica y operativa.

El patrón de los ataques norcoreanos también revela una preferencia por atacar puntos de infraestructura donde grandes cantidades de valor se concentran en una sola operación de firma. El ataque a Bybit comprometió el proceso mediante el cual el intercambio movía fondos entre billeteras frías y cálidas. El ataque al puente Ronin apuntó al conjunto de validadores que controlaba las transferencias entre cadenas. En ambos casos, los atacantes identificaron el momento en que una sola acción comprometida podía mover la cantidad máxima de valor. Este patrón de ataque ha obligado a los intercambios a repensar cómo estructuran las transacciones de alto valor, agregando computación multiparte, módulos de seguridad de hardware y ejecución con retraso de tiempo a lo que antes eran operaciones rutinarias.

Lo que el caso significa para futuras recuperaciones de hackeos

La demanda de Bybit podría crear una plantilla para cómo los intercambios y otras víctimas persiguen fondos robados a través de tribunales civiles. Los principales hackeos anteriores, incluido el robo del puente Ronin en 2022 y la explotación de Wormhole en el mismo año, se basaron principalmente en la cooperación de las fuerzas del orden, congelaciones voluntarias por parte de los participantes de la industria y programas de recompensas.

Una demanda civil con una orden judicial preliminar agrega una capa que la cooperación voluntaria no puede proporcionar: compulsión. Cuando un tribunal ordena congelar activos, el custodio que los posee tiene la obligación legal de cumplir. La orden convierte una solicitud en un requisito, y el incumplimiento conlleva consecuencias legales.

El enfoque de doble vía, civil y penal simultáneamente, también importa. Los casos penales avanzan según los plazos de los fiscales y sirven a los objetivos de aplicación pública. Los casos civiles avanzan según el plazo del demandante y sirven a los objetivos de recuperación del demandante. Cuando ambas vías operan en paralelo, los fondos robados enfrentan presión desde múltiples direcciones legales.

Para las víctimas más pequeñas que carecen de los recursos de Bybit, el precedente importa más que el caso específico. Si la demanda tiene éxito en congelar y eventualmente recuperar los activos robados, crea una hoja de ruta que otras víctimas pueden seguir. Si produce opiniones judiciales publicadas sobre las cuestiones de jurisdicción e inmunidad, esas opiniones se convierten en herramientas que los futuros demandantes pueden usar para agilizar sus propios casos.

El caso también prueba la disposición de la industria de las criptomonedas a cooperar con las órdenes de los tribunales civiles. Los intercambios que reciben solicitudes de congelación respaldadas por una orden judicial federal enfrentan un cálculo diferente al de los intercambios que reciben solicitudes informales de una víctima de hackeo. La formalización legal del proceso de recuperación podría acelerar el cumplimiento en todo el ecosistema de intercambios.

También hay un argumento de disuasión, aunque su fuerza contra un actor estatal es discutible. La mayoría de los hackers criminales sopesan la ganancia esperada contra la pena esperada. Para una agencia de inteligencia estatal que canaliza los ingresos del robo hacia programas de armas, el cálculo es diferente. Pero la demanda crea costos en la etapa de lavado. Cada intercambio que congela activos en respuesta a la orden judicial reduce la cantidad que llega a su destino previsto. Si la demanda civil hace que el lavado sea un 5 o 10 por ciento más difícil, eso se traduce en cientos de millones de dólares en valor robado que no se pueden convertir en efectivo. A lo largo de múltiples operaciones, la fricción incremental en la etapa de lavado se acumula en una reducción significativa de la efectividad del programa.

Qué ver

Cumplimiento de la medida cautelar preliminar. La orden es tan efectiva como la disposición de los custodios y los intercambios a hacerla cumplir. Esté atento a los informes de intercambios que congelan fondos en respuesta a la orden, o a disputas donde los custodios impugnen el alcance de la medida cautelar.

Demandados adicionales añadidos al caso. La estructura de John Doe permite a Bybit añadir individuos y entidades identificados a medida que avanza el descubrimiento de pruebas. Si el rastreo de blockchain conduce a custodios específicos, intercambios o mesas OTC que procesaron fondos robados, podrían convertirse en partes del litigio.

La respuesta o no respuesta de Corea del Norte. Los demandados soberanos en los tribunales de EE. UU. típicamente invocan inmunidad y cuestionan la jurisdicción o simplemente ignoran los procedimientos. El enfoque de Corea del Norte determinará si el caso procede mediante sentencia en rebeldía o mediante un litigio contencioso sobre las cuestiones jurisdiccionales.

Tasa de recuperación en comparación con la vía penal. Bybit ha estado trabajando con las autoridades desde febrero de 2025. La demanda civil ahora corre en paralelo. Comparar los montos recuperados a través de cada vía indicará si el litigio civil agrega capacidad de recuperación significativa más allá de lo que logra la aplicación penal por sí sola.

Demandas de seguimiento de otras víctimas de hackeos. Si el caso de Bybit sobrevive los desafíos jurisdiccionales y produce recuperación de activos, otras víctimas de hackeos patrocinados por estados pueden presentar demandas civiles similares. Esté atento a los casos de víctimas de los ataques de Drift Protocol y KelpDAO, que también se atribuyen al Grupo Lazarus.

Coordinación internacional sobre la congelación de activos. La orden del tribunal de EE. UU. se aplica a entidades dentro de la jurisdicción de EE. UU., pero las criptomonedas robadas se mueven globalmente. Esté atento a acciones legales paralelas en jurisdicciones como Singapur, el Reino Unido y la UE, donde los intercambios y custodios pueden tener partes de los fondos lavados. Una congelación coordinada en múltiples jurisdicciones sería significativamente más efectiva que una orden de un solo país.

Adaptación de Corea del Norte a la presión legal. Los grupos de hackers patrocinados por el estado adaptan sus técnicas de lavado de dinero en respuesta a las acciones de cumplimiento. Si la demanda civil hace que el lavado de dinero basado en intercambios convencionales sea más difícil, los atacantes pueden pasar al comercio entre pares, intercambios descentralizados sin KYC o cadenas de privacidad. La velocidad y la naturaleza de esta adaptación indicarán cuánta fricción crea el enfoque legal.

Preguntas frecuentes