Incidente de Seguridad en Bybit: Brecha de $1.400 Millones en Criptoactivos

El viernes 21 de febrero de 2025, el exchange de criptomonedas Bybit sufrió un ciberataque sin precedentes, en el que ciberdelincuentes lograron robar aproximadamente 1.400 millones de dólares en Ethereum desde su billetera fría. Este incidente ha sido catalogado como el mayor hackeo en la historia de las criptomonedas y ha puesto en alerta a toda la industria.

El más grande de la historia.

¿Cómo ocurrió el ataque?

El ataque tuvo lugar durante una transacción rutinaria de transferencia de fondos desde una billetera fría (cold wallet) a una billetera tibia (warm wallet), utilizando el servicio Safe{Wallet}. Durante este proceso, los atacantes intervinieron y manipularon la transacción, logrando redirigir los fondos a una billetera bajo su control.

Hallazgos Claves de la Investigación Forense

Bybit contrató a la firma de ciberseguridad Sygnia para investigar el incidente. Los principales hallazgos incluyen:

• Malware en Safe{Wallet}: Se descubrió un código malicioso inyectado en un recurso alojado en AWS S3 de Safe{Wallet}.
• Manipulación de Transacciones: El código malicioso alteraba el contenido de las transacciones durante el proceso de firma.
• Condición de Activación: El malware solo se activaba si la transacción provenía de Bybit o de una dirección aún no identificada.
• Eliminación del Malware: Dos minutos después del ataque, se subieron nuevas versiones de los archivos afectados sin el código malicioso.
• Ataque Originado en Safe{Wallet}: No se encontraron pruebas de que la infraestructura de Bybit haya sido comprometida directamente.

Medidas de Seguridad de Bybit Antes del Ataque

Antes del incidente, Bybit contaba con varias medidas de seguridad:

• Uso de billeteras frías con sistema multifirma.
• Monitoreo en tiempo real para detectar actividades sospechosas.
• Uso de Safe{Wallet} como plataforma segura de administración de transacciones.

Sin embargo, la sofisticación del ataque permitió que los hackers evadieran estas medidas.

Respuesta de Bybit

Tras el ataque, Bybit implementó una serie de acciones inmediatas:

• Informó rápidamente a sus usuarios e inversores mediante redes sociales y una transmisión en vivo.
• Colaboró con otros exchanges para rastrear y bloquear las direcciones involucradas en el hackeo.
• Recuperó 43 millones de dólares, aunque 160 millones ya han sido lavados mediante técnicas como chain hopping (cambio de criptomonedas a través de múltiples blockchains para dificultar su rastreo).
• Repuso los fondos robados mediante préstamos, aportes de grandes inversores y compras directas de ETH, garantizando que todos los fondos de los clientes están respaldados 1:1.

¿Quién está detrás del ataque?

Investigaciones de empresas como Arkham Intelligence y TRM Labs apuntan al Grupo Lazarus de Corea del Norte, conocido por sus sofisticadas operaciones de ciberataques contra plataformas financieras. En 2024, Lazarus fue responsable de aproximadamente 1.340 millones de dólares robados en 47 incidentes relacionados con criptomonedas.

Conclusión

El ataque a Bybit no solo resalta la creciente sofisticación de los ciberdelincuentes, sino también la vulnerabilidad de plataformas críticas dentro del ecosistema cripto. La rápida respuesta del exchange y la reposición de los fondos muestran la resiliencia del sector, pero también subrayan la urgencia de fortalecer las medidas de seguridad. Este incidente se convierte en un precedente clave que impulsará nuevas estrategias para mitigar riesgos y mejorar la protección de los activos digitales en el futuro.

Referencias:

Reporte oficial: https://docsend.com/view/s/rmdi832mpt8u93s7