Hackeo a Bybit: 1.500 millones de dólares en ETH robados y lo que enseña el mayor robo cripto de la historia
El 21 de febrero, atacantes desviaron cerca de 401.000 ETH de una billetera fría de Bybit. Cuatro días después, lo que se sabe es que los firmantes vieron una pantalla falsa, que Corea del Norte es la principal sospechosa y que la causa técnica aún se investiga.
Referencia histórica: 25 de febrero de 2025. Publicado en este sitio el 2 de noviembre de 2026. Las fechas del texto identifican el período tratado.
En este artículo
En resumen
- El 21/02/2025, cerca de 401.000 ETH, más de 1.400 millones de dólares, salieron de una billetera fría de Bybit en una sola transferencia: el mayor robo de criptoactivos registrado.
- El CEO Ben Zhou dijo que los firmantes vieron una interfaz adulterada, con la dirección correcta y una URL que parecía de Safe, mientras el mensaje firmado cambiaba la lógica del contrato de la billetera.
- TRM Labs, Elliptic y el investigador ZachXBT señalan a Corea del Norte; el FBI aún no se había pronunciado a esta fecha.
- La lección central es de proceso: firmar a ciegas una transacción que la pantalla no muestra completa derrota incluso a una billetera fría con varias firmas.
São Paulo, 25 de febrero de 2025 — El viernes 21 de febrero, el exchange Bybit, con sede en Dubái, perdió cerca de 401.000 ETH, más de 1.400 millones de dólares, en una sola transferencia. Según Elliptic, empresa de análisis de blockchain, fueron aproximadamente 1.460 millones de dólares. Es el mayor robo de criptoactivos registrado. El exchange afirma que los fondos de los clientes siguen cubiertos, pero el caso expone una falla que no se resuelve solo con tecnología: el momento en que las personas aprueban una transacción.
- ETH desviados en una sola transferencia (The Record, 24/02)
- ~401.000
- Valor robado, según Elliptic (23/02)
- US$ 1.460 millones
- Billeteras que recibieron cerca de 10.000 ETH cada una en un máximo de dos horas, según Elliptic
- 50
- Retiros de clientes procesados por Bybit desde el viernes, según el exchange (The Record, 24/02)
- US$ 4.000 millones
Qué ocurrió
Bybit guardaba la mayor parte del ETH en una billetera fría multifirma: una dirección que exige la aprobación de varios responsables, fuera del alcance directo de internet. En una rutina común, el exchange mueve parte del saldo a una billetera caliente, la que permanece conectada y abastece los retiros. Fue en esa transferencia donde ocurrió el ataque.
Ben Zhou, CEO de Bybit, confirmó el robo el mismo viernes. Según él, los firmantes vieron en pantalla la dirección correcta y una URL que parecía de Safe, la plataforma de billeteras multifirma que usa Bybit. El exchange dijo que la interfaz de firma fue falsificada: el mensaje firmado alteraba la lógica del contrato de la billetera fría y dio a los atacantes el control de ella. Zhou afirmó que las demás billeteras del exchange no fueron afectadas.
Cuando el dispositivo de firma o la aplicación muestra solo una secuencia de caracteres, quien firma no puede confirmar qué está autorizando. Si la pantalla del computador miente, la firma de varios responsables pasa a validar el ataque en lugar de impedirlo.
Quién está detrás
La atribución todavía la hacen empresas privadas e investigadores, no autoridades. El investigador ZachXBT presentó pruebas que vinculan el ataque con el grupo Lazarus, asociado al gobierno de Corea del Norte, y Arkham Intelligence divulgó la conclusión el 21 de febrero. TRM Labs dijo, con “alta confianza”, que hackers norcoreanos fueron los responsables, por superposición de direcciones con robos anteriores. Elliptic también atribuyó la acción a Corea del Norte, citando el patrón de cambiar los tokens robados por ETH nativo.
El cambio en minutos tiene una razón técnica: los emisores de tokens pueden congelar saldos, mientras que nadie puede congelar ETH nativo. Eso fue lo que ocurrió con la parte que tardó en cambiarse: el protocolo mETH bloqueó 15.000 cmETH (cerca de 43,5 millones de dólares) y Tether congeló 181.000 dólares en USDT, según ForkLog. Para entender ese poder en el caso del dólar digital, vea qué es el USDT y quién lo emite.
Adónde fue el dinero
- 21/02, viernesSe vacía la billetera fría. En minutos, tokens como stETH y cmETH se cambian por ETH en exchanges descentralizados. En un máximo de dos horas, 50 billeteras reciben cerca de 10.000 ETH cada una.
- 21/02, nocheEl CEO dice que el exchange es solvente aun sin recuperar los fondos. Arkham divulga las pruebas de ZachXBT que vinculan el ataque con el grupo Lazarus.
- 22/02, sábadoBinance, Bitget y otras empresas depositan ETH en Bybit, que procesa casi todos los retiros pendientes y lanza un programa de recompensa del 10% del valor recuperado.
- 23/02, domingoBybit informa que se recuperaron 42,9 millones de dólares con ayuda de socios. Elliptic publica la atribución a Corea del Norte.
- 24/02, lunesA The Record, TRM Labs le dice que tiene “alta confianza” en la autoría norcoreana. Bybit informa cerca de 4.000 millones de dólares en retiros procesados desde el viernes.
Para lavar el ETH, los atacantes pasaron por exchanges descentralizados, según Elliptic, y por puentes entre redes para convertirlo en bitcoin, según el CEO de Bybit. Cuanto antes se señala una dirección, mayor es la posibilidad de congelamiento, y así fue como parte de los fondos quedó retenida.
Lo que aún no se sabe
- Causa técnica exacta. Bybit atribuye el ataque a una interfaz adulterada vinculada a Safe. Safe y peritos independientes aún investigaban cómo ocurrió la adulteración.
- Atribución oficial. Empresas de análisis e investigadores señalan a Corea del Norte; falta que se pronuncien las autoridades estadounidenses.
- Cuánto se recuperará. Los 42,9 millones de dólares recuperados hasta el domingo, según Bybit, son poco frente a los 1.460 millones.
Lecciones prácticas para empresas y personas
El caso es de un exchange, pero el error de fondo vale para cualquier empresa que paga con criptoactivos: la falla estuvo en la verificación humana de una transacción, no en la criptografía.
Para quien usa USDT en pagos, el punto es el mismo: no confiar solo en lo que aparece en el navegador. La lista de destinos aprobados, la confirmación por un segundo canal y el envío de prueba, descritos en la guía contra el envenenamiento de direcciones, valen también aquí.
Preguntas frecuentes
¿Cuánto perdió Bybit en el ataque de febrero de 2025?
Cerca de 401.000 ETH fueron desviados el 21/02/2025, el equivalente a más de 1.400 millones de dólares. Elliptic estimó 1.460 millones. Fue el mayor robo de criptoactivos registrado.
¿Quién fue el responsable del ataque a Bybit?
El 25/02/2025, investigadores y empresas de análisis de blockchain, como ZachXBT, TRM Labs, Arkham y Elliptic, señalaban al grupo Lazarus, vinculado a Corea del Norte. No había una atribución oficial de ningún gobierno a esa fecha.
¿Qué es la firma a ciegas (blind signing)?
Es aprobar una transacción sin poder leer, en el propio dispositivo de firma, qué hace. El firmante ve solo datos codificados y depende de la pantalla del computador, que puede ser adulterada. Las billeteras de hardware que muestran los detalles reducen ese riesgo.
¿Los clientes de Bybit perdieron dinero?
Según Bybit, no. El CEO afirmó que el exchange es solvente aun sin recuperar los fondos, y otras empresas depositaron ETH en el exchange para reponer el saldo. Bybit informó que procesó cerca de 4.000 millones de dólares en retiros de clientes en los días siguientes.
¿Te resultó útil? Compártelo con quien paga a proveedores en el exterior.
Fuentes
- Bybit hack: the largest in history · Elliptic, 23 feb 2025
- North Korea's Lazarus hackers behind $1.4 billion crypto theft from Bybit, researchers say · The Record, 24 feb 2025
- Lazarus Group behind Bybit hack, says Arkham · ForkLog, 22 feb 2025
Contenido informativo, sin recomendación de inversión. Las marcas de terceros citadas pertenecen a sus titulares; la mención es periodística y no indica asociación ni vínculo con Swapo Finance.
Pagos internacionales con la velocidad del Pix y las reglas del Banco Central.
Convierte reales en USDT y envíalos al proveedor en la red TRON. Tarifa única mostrada antes, política de segregación patrimonial, atención humana. Activo virtual sin cobertura del FGC; solicitud de autorización presentada ante el BCB.
