Corea del Norte, los chips y la industria estatal del robo digital

Durante años, muchas personas imaginaron a Corea del Norte como un país detenido en el tiempo con uniformes militares, edificios grises, desfiles interminables y una economía aislada del resto del mundo. La imagen es parcialmente correcta, aunque mientras el planeta observaba los misiles y los ensayos nucleares, el régimen norcoreano construyó otra industria mucho más rentable, silenciosa y difícil de bloquear. Se trata del robo digital, convertido en política de Estado.

Las cifras del último período despejan cualquier duda sobre la escala del fenómeno. Chainalysis, una empresa de análisis de datos blockchain, atribuyó $1.340 millones de dólares a grupos vinculados al régimen norcoreano durante 2024, repartidos en 47 incidentes. Eso significó el 61% del total mundial sustraído en criptomonedas ese año. Y la cifra trepó a $2.020 millones durante 2025. Así, Elliptic, una consultora de inteligencia blockchain, estimó más de $6.000 millones acumulados desde 2017. Por su parte, el Tesoro estadounidense informó más de 3.000 millones robados en tres años y el comité multilateral de sanciones de Naciones Unidas calculó $2.800 millones en operaciones malignas norcoreanas durante los últimos dos años.

El símbolo de esa escala llegó en febrero de 2025. La plataforma de intercambio de criptomonedas Bybit, con sede en Dubái, sufrió un robo de $1.500 millones de dólares en un solo evento cuando 400.000 unidades de Ethereum cambiaron de manos en cuestión de horas. Los atacantes no rompieron criptografía sino que explotaron una vulnerabilidad en una herramienta externa de billeteras llamada Safe Wallet y engañaron a los firmantes para aprobar una transacción falsificada. Este fue el mayor hurto individual registrado en la historia del sector. Antes del golpe a Bybit, el grupo había robado $625 millones en marzo de 2022 de Ronin de Axie Infinity, una red blockchain especializada. Se suman $235 millones de la india WazirX durante 2024 y $30 millones más de la coreana Upbit hacia el final del mismo año.

La arquitectura institucional del robo

Detrás de esos números opera una estructura estatal documentada. Se trata de la Oficina General de Reconocimiento, conocida como RGB por sus siglas inglesas, y concentra las capacidades de inteligencia extranjera del régimen desde 2009. Bajo su mando funciona la Oficina 121, también llamada Bureau 121, con entre 600 y 6.000 efectivos, según distintas estimaciones de los servicios surcoreanos. Entre tanto, la Unidad 180 se especializa en robo financiero extranjero. Y el Departamento 53 administra el programa de trabajadores informáticos infiltrados.

Los grupos visibles ante la prensa son las marcas operativas de esa estructura. Los nombres más conocidos en la prensa internacional son Lazarus, APT38, TraderTraitor, Hidden Cobra, Diamond Sleet y Labyrinth Chollima. Asimismo, Microsoft los rastrea bajo distintos códigos internos. El FBI los persigue como amenaza persistente avanzada. Cabe aclarar que un mismo grupo aparece con varios nombres según el investigador que lo describe. Esa fragmentación nominal forma parte de la estrategia de negación operativa del régimen.

El servicio de inteligencia surcoreano contabilizó 6.800 efectivos en las divisiones cibernéticas norcoreanas durante 2022 y esa cifra subió a 8.400 hacia 2024. La expansión refleja una decisión política explícita de Kim Jong-un, quien definió la guerra cibernética como “espada multiuso” del Estado norcoreano hacia 2013.

El segundo robo: la infiltración laboral

El robo directo de criptomonedas es apenas la cara visible. La operación más extendida y subestimada del régimen consiste en colocar miles de trabajadores informáticos en empresas occidentales bajo identidades falsificadas. Naciones Unidas estima entre $250 y $600 millones anuales en salarios fraudulentos se canalizan al régimen por esta vía. El esquema involucra a 40 países afectados.

Los detalles del esquema fueron expuestos por una serie de procesos judiciales en Estados Unidos. Christina Chapman, ciudadana estadounidense radicada en Arizona, administró 90 computadoras portátiles desde su vivienda durante tres años. Esas máquinas pertenecían formalmente a empleados de 309 empresas estadounidenses, entre ellas el gigante deportivo Nike. Entre tanto, la operación generó $17,1 millones de dólares. Finalmente, Chapman se declaró culpable en febrero de 2025.

Kejia Wang, residente de Nueva Jersey, recibió nueve años de prisión por dirigir una red que infiltró operadores norcoreanos en más de 100 empresas estadounidenses incluidas firmas del Fortune 500. La red utilizó las identidades robadas de más de 80 ciudadanos estadounidenses, falsificó tarjetas de seguridad social, licencias de conducir californianas y formularios fiscales del Departamento de Hacienda. Solo en junio de 2025, el FBI ejecutó 21 allanamientos en 16 estados y confiscó cerca de 200 computadoras vinculadas al esquema.

Los datos agregados muestran la magnitud. Mandiant, la firma de inteligencia de amenazas de Google Cloud, afirmó que casi todos los directores de seguridad de las quinientas mayores empresas estadounidenses entrevistados sobre el tema admitieron que contrataron al menos a un operador norcoreano sin saberlo. SentinelOne registró cerca de 1.000 postulaciones laborales vinculadas al régimen. KnowBe4, una firma estadounidense de capacitación en ciberseguridad, descubrió en julio de 2024 que un nuevo empleado identificado como “Kyle” era en realidad un operador norcoreano. El infiltrado superó todos los controles de antecedentes previos.

Para ejecutar el esquema, el régimen depende de facilitadores extraterritoriales documentados por las agencias estadounidenses. Hay empresas pantalla operando en China, Rusia, Camboya, Laos y Hong Kong. Asimismo, cuentas bancarias chinas reciben los fondos para el lavado posterior, con documentos malayos falsificados para la apertura de cuentas en plataformas de intercambio sin verificación rigurosa. De esto se entiende que el sistema requiere infraestructura financiera fuera del territorio norcoreano para funcionar.

La inteligencia artificial como amplificador operativo

La inteligencia artificial (IA) entró en este ecosistema durante el último año con consecuencias visibles. Microsoft documentó en su informe sobre el grupo Jasper Sleet que los operadores norcoreanos incorporaron herramientas de modificación de voz, generación de imágenes sintéticas y reconocimiento facial falsificado para superar entrevistas remotas. Stimson Center y 38 North observaron desde el tercer trimestre de 2025 un uso creciente de imágenes generadas por IA, voces sintetizadas con perfiles femeninos y herramientas de cancelación de ruido para enmascarar entornos durante videollamadas.

La táctica anterior consistía en manipular el flujo de fotos enviadas a sistemas automatizados de verificación de identidad mediante inyecciones de instrucciones. Esa técnica preliminar dio paso a falsificaciones audiovisuales completas durante entrevistas de trabajo. El régimen reutiliza modelos abiertos descargados de GitHub, servicios comerciales en la nube contratados bajo identidades falsas y herramientas de generación de imágenes accesibles para cualquier usuario.

La IA suele discutirse en Occidente como herramienta de productividad o como riesgo laboral. Para un régimen sancionado y aislado, funciona como automatización ofensiva de bajo costo. Este analiza grandes volúmenes de datos, redacta mensajes convincentes en idiomas que ningún operador norcoreano dominaba antes y detecta vulnerabilidades técnicas a velocidades imposibles para una persona.

La política estadounidense sobre chips avanzados

El gobierno de Estados Unidos respondió con un marco regulatorio robusto. La Regla de Difusión de IA, vigente desde enero de 2025, estableció tres niveles de países. El primer grupo incluye 18 aliados sin restricciones. El segundo grupo recibe cuotas limitadas y el tercer grupo, alrededor de 20 países, queda prohibido del acceso a chips avanzados. Ese tercer grupo incluye explícitamente a Corea del Norte junto con China, Rusia, Irán, Cuba, Venezuela y Sudán. Los controles cubren las clasificaciones técnicas 3A090 y 4A090.

Así, sin acceso a chips de última generación, entrenar modelos avanzados se vuelve más lento, más caro y menos competitivo. La diferencia equivale a comparar un automóvil de carrera moderno con uno de hace veinte años. Por eso Taiwán, fabricante del grueso de los chips más avanzados del planeta, se convirtió en pieza central de la seguridad internacional. Una interrupción grave en ese proceso tendría consecuencias económicas inmediatas en IA, defensa, finanzas, telecomunicaciones y ciberseguridad.

Los límites de la estrategia del silicio

La política de control de chips es necesaria pero insuficiente por sí sola porque las operaciones documentadas del régimen norcoreano rara vez exigen entrenar modelos propios desde cero. En realidad, emplean modelos abiertos disponibles públicamente, servicios comerciales contratados con identidades falsas o herramientas accesibles para cualquier desarrollador con conexión a internet. El cuello de botella real no está en el silicio avanzado sino en la verificación de identidad de las plataformas remotas y en las cadenas de blanqueo posteriores al robo.

Esa observación obliga a complementar las restricciones de exportación con otras herramientas tales como verificación reforzada de identidad mediante pruebas de vida, análisis de patrones de teclado durante entrevistas remotas o la atestación de dispositivos y redes corporativas. Se agregan, el marcado obligatorio de contenido generado por IA y la trazabilidad estricta sobre los servicios comerciales que requieren documentación nacional verificable.

La defensa algorítmica del sistema financiero

La industria privada construyó una infraestructura defensiva que merece más atención política. Chainalysis ayudó a congelar o recuperar $34.000 millones de dólares en fondos ilícitos según sus propios informes. Por otra parte, otra firma de inteligencia, TRM Labs, obtuvo en diciembre de 2024 la certificación federal estadounidense FedRAMP High, recibiendo un espaldarazo como proveedor seguro, y coordina la Beacon Network, la primera red de respuesta a delitos cripto en tiempo real. Esa red asocia más de 70 instituciones financieras y supervisa cerca del 75% del volumen global de criptomonedas. Elliptic integró capacidades de IA en su tecnología de pantalla holística, así, la firma asegura que esa integración redujo a la mitad los tiempos de gestión de alertas. La unidad T3 de la cadena TRON congeló 100 millones de dólares en USDT vinculados a actividad ilícita durante cuatro meses de 2024.

Estos sistemas funcionan como un cibermecanismo inmunológico porque detectan patrones transaccionales anómalos en tiempo real. Estos analizan grafos de propiedad en cadena de bloques y clasifican comportamientos compatibles con tipologías conocidas de blanqueo. Así, un operador humano revisa cientos de alertas por día cuando un sistema entrenado adecuadamente analiza millones de eventos simultáneamente.

El verdadero peligro para Occidente no se limita al robo directo de criptomonedas, sino que incluye al menos cinco vectores conocidos. El robo de activos digitales mediante intrusión técnica, los salarios fraudulentos por infiltración laboral, la extracción de propiedad intelectual y datos militares bajo control de exportación; así como el acceso persistente a redes corporativas occidentales y el blanqueo masivo a través de mezcladores como Tornado Cash, redes de intercambio sin verificación y bancos asiáticos cooperativos.

Hace veinte años, mucha gente pensaba que el petróleo era el recurso estratégico central del planeta. En parte todavía lo es, aunque el nuevo cuello de botella mundial se parece menos a un pozo petrolero y más a una sala ultra limpia llena de máquinas capaces de fabricar transistores microscópicos. La batalla no se libra solamente en esas salas, también está en los departamentos de recursos humanos, en los formularios de empleo remoto, en las plataformas de criptomonedas y en los grafos de transacciones en cadena de bloques. Mantener una ventaja tecnológica significativa frente al régimen norcoreano exige acción simultánea sobre todos esos frentes.

Las cosas como son.

Mookie Tenembaum aborda temas internacionales como este todas las semanas junto a Horacio Cabak en su podcast El Observador Internacional, disponible en Spotify, Apple, YouTube y todas las plataformas.