El 21 de febrero de 2025, en una sola firma, desaparecieron 1.500 millones de dólares del segundo mayor exchange de cripto del mundo — el mayor robo de la historia del dinero. Así lo hizo Corea del Norte, y así fue como al final ningún cliente perdió un céntimo.
La transferencia rutinaria
Es un jueves por la tarde de lo más corriente. En Bybit hay una tarea rutinaria en la agenda: mover ether de una cold wallet — offline, la caja fuerte — a una cartera caliente. Varios directivos tienen que firmar; es un multisig, exactamente el montaje que se considera seguro.
Los firmantes miran su pantalla. Ven la dirección correcta, el importe correcto. Firman. Y mientras creen aprobar una transferencia normal, en realidad están firmando algo muy distinto: un cambio en la lógica del contrato inteligente que gobierna la caja fuerte.
All the signers saw the “musked” UI which showed the correct address.Ben Zhou, CEO de Bybit
En cuestión de minutos, la caja fuerte se vacía en 39 direcciones desconocidas.
Lo que desapareció
El botín es de vértigo: 401.347 ETH, más stETH, cmETH y mETH — en total unos 499.000 ether, por un valor de aproximadamente 1.460 millones de dólares. No fue un fallo en un protocolo DeFi oscuro. La caja fuerte más grande y mejor protegida de un exchange de primera línea, vaciada en una sola transacción. El dogma de que “cold storage = seguro” murió en una tarde.
La firma falsa
¿Cómo? Los atacantes no habían hackeado a Bybit, sino la cadena de suministro. Semanas antes, en torno al 4 de febrero, comprometieron el portátil de un desarrollador de Safe{Wallet}, el software multisig que usaba Bybit. El 19 de febrero inyectaron JavaScript malicioso en la infraestructura de Safe — código que solo se activaba con la dirección de contrato propia de Bybit y falsificaba la interfaz para que los firmantes vieran lo correcto y firmaran lo incorrecto. Dos minutos después del golpe, el código ya había sido eliminado.
Es la forma más traicionera de “blind signing”: tu hardware dice sí, tus ojos dicen sí, y aun así estás firmando la entrega de tu propia caja fuerte.
Las primeras doce horas
Y entonces ocurre algo que separa esta historia de FTX y Mt.Gox. El CEO de Bybit, Ben Zhou, no se esconde. En hora y media tuitea que la caja fuerte ha sido reventada. En cuestión de horas se pone en directo para explicarlo.
Bybit is solvent even if this hack loss is not recovered.Ben Zhou, 21 de febrero de 2025 probado
Lo que sigue es una fuga masiva de depósitos y, a la vez, el movimiento contrario. Llegan más de 350.000 solicitudes de retirada; Bybit procesa el 99,994% en diez horas. Los competidores acuden al rescate: Bitget aporta 40.000 ether — sin intereses y sin garantía. Galaxy Digital, FalconX y Wintermute ponen el resto. En unas 72 horas el agujero de 1.230 millones de dólares está tapado y una auditoría confirma que cada cliente vuelve a estar cubierto al 100%. El préstamo a Bitget se devuelve tres días después.
El rastro hacia Corea del Norte
Mientras Bybit apaga el fuego, empieza la cacería. El investigador on-chain ZachXBT establece la conexión en unas cinco horas: las direcciones se solapan con hackeos anteriores de Phemex y BingX — la huella dactilar de Lazarus, el grupo de hackers de Corea del Norte. Cinco días después, el FBI lo hace oficial.
North Korea was responsible for the theft of approximately $1.5 billion.FBI, aviso público, 26 de febrero de 2025 probado
Adónde fue el dinero
Aquí acaba la historia de éxito. Los hackers blanquearon el botín completo en unos diez días, en su mayor parte convertido a bitcoin a través del protocolo THORChain y repartido entre casi 7.000 carteras. A mediados de 2025 alrededor del 62% — 868 millones de dólares — estaba “dark”: ilocalizable. Solo se congeló una fracción. Alemania desconectó el mezclador eXch e incautó 34 millones de euros; la FinCEN estadounidense cortó una red de blanqueo de capitales. Pero la mayor parte se ha esfumado — rumbo al régimen de Pyongyang.
Lo que significa
El hackeo de Bybit son dos historias en una. Es una advertencia de que la “cold wallet” no basta cuando las personas y el software que la rodean sí se pueden reventar — el frente se desplazó de la caja fuerte a la firma. Y es un ejemplo poco común de gestión de crisis: gracias a la transparencia, la solvencia y la ayuda del sector, al final ningún cliente perdió nada, pese a tratarse del mayor atraco de la historia.
Y eso último es justo lo que importa a quien elige dónde guarda sus criptomonedas. Un hackeo no es cuestión de si ocurrirá, sino de cuándo. La pregunta de verdad es esta: ¿tiene el exchange las reservas, la transparencia y la voluntad de dejarte indemne cuando algo sale mal? Bybit las tenía. No todos los exchanges lo han demostrado.
Fuentes
Atribución del FBI (IC3 PSA); cronología del incidente de Bybit con todas las publicaciones en X (Bybit Learn); causa forense Safe{Wallet} (Bleeping Computer); reservas restauradas en 72 h (CNBC); préstamo de Bitget devuelto (Cointelegraph); 62% dark (The Defiant).