Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
En febrero de 2025, Bybit sufrió uno de los mayores robos de criptomonedas registrados cuando los atacantes manipularon una transferencia rutinaria desde una billetera fría de Ethereum y redirigieron los activos a direcciones bajo su control. Los reportes públicos y el análisis posterior al incidente describen el hecho como un robo cripto dirigido que involucró el flujo de trabajo de la billetera multisig de Bybit, no un compromiso masivo confirmado de registros de datos personales de clientes.
¿Qué pasó en el hackeo de Bybit?
Bybit dijo que detectó actividad no autorizada el 21 de febrero de 2025 durante una transferencia programada desde su cold wallet multisig de ETH hacia su hot wallet. Investigaciones publicadas tras el incidente encontraron que los atacantes manipularon el proceso de aprobación de transacciones, de modo que los firmantes autorizados creyeron que estaban aprobando una transferencia interna legítima cuando en realidad autorizaban una transacción maliciosa que entregó el control de la wallet a los atacantes. Varios informes ubican el valor del robo entre aproximadamente $1,4 mil millones y $1,5 mil millones, lo que lo convirtió en el mayor robo de criptomonedas de su tipo hasta ese momento.
¿Cuándo ocurrió el hackeo de Bybit?
El robo se ejecutó el 21 de febrero de 2025 durante el proceso de transferencia de la billetera. Reportes forenses posteriores indicaron que la actividad del atacante dentro del entorno de terceros afectado probablemente comenzó antes en febrero, con cambios maliciosos identificados en la interfaz de la billetera Safe antes del robo en sí.
¿Quién está detrás del hackeo de Bybit?
Los reportes públicos y las investigaciones atribuyeron ampliamente la operación a actividad vinculada a Lazarus, de Corea del Norte. El FBI vinculó públicamente el robo con el clúster TraderTraitor, también asociado con nombres como Jade Sleet, Slow Pisces y UNC4899.
¿Cómo ocurrió el hackeo de Bybit?
El ataque se describió ampliamente como un compromiso al estilo de cadena de suministro que involucró a Safe{Wallet}, la plataforma multisig usada en el flujo de firmas de Bybit. Los reportes y el análisis técnico indicaron que se comprometió una máquina de un desarrollador de Safe, se introdujo JavaScript malicioso en la interfaz de Safe, y la interfaz alterada mostraba a los firmantes de Bybit lo que parecía una transacción normal mientras cambiaba la lógica subyacente de la transacción y el destino. En la práctica, esto significó que el proceso multisig en sí no fue evadido mediante claves robadas, sino subvertido mediante la presentación engañosa de la transacción y el riesgo de firma ciega.
Cronología del hackeo de Bybit
Principios de febrero de 2025: Investigadores reportaron después actividad del atacante vinculada a un entorno de desarrollo de Safe comprometido.
19 de febrero de 2025: Los reportes indicaron que se introdujo JavaScript malicioso en la interfaz de Safe usada en el flujo de trabajo objetivo.
21 de febrero de 2025: Bybit detectó actividad no autorizada durante una transferencia rutinaria desde su billetera fría de ETH hacia su billetera caliente.
Finales de febrero de 2025: Bybit compartió conclusiones de investigaciones externas que vinculaban el ataque a la infraestructura de Safe, y la atribución a Lazarus se fortaleció mediante reportes públicos y la declaración del FBI.
Detalles técnicos
Las revisiones técnicas indicaron que los atacantes manipularon la interfaz web de Safe para que se comportara con normalidad para la mayoría de los usuarios, pero alteraron selectivamente las transacciones que involucraban las billeteras objetivo de Bybit. El análisis de NCC Group indicó que el código malicioso modificaba lo que veían los firmantes y lo que firmaban, lo que permitió a los atacantes reemplazar una transferencia benigna por una transacción que cambiaba la lógica de control de la billetera. Otros reportes describieron el incidente como una mezcla de compromiso de cadena de suministro, manipulación de interfaz de usuario y abuso de contratos inteligentes, en lugar de una brecha directa en el servidor del exchange.
¿Qué se comprometió?
El impacto confirmado fue el robo de activos cripto del entorno de la billetera fría de Ethereum de Bybit, incluidas grandes cantidades de ETH y activos relacionados como stETH. Los reportes públicos sobre el incidente se centraron en los fondos robados y el control de la billetera, no en una exposición confirmada de información personal identificable de clientes, bases de datos de cuentas de clientes ni claves de billetera sin cifrar pertenecientes a usuarios minoristas.
¿Cuántas personas se vieron afectadas?
No existe un conteo público ampliamente confirmado de usuarios individuales cuyos datos personales se hayan expuesto, ya que el incidente se reportó principalmente como un robo de billetera del exchange. El impacto directo confirmado fue sobre las tenencias custodiadas de Bybit involucradas en el flujo de trabajo de la billetera comprometida.
¿Se expusieron mis datos?
Según los reportes públicos revisados aquí, no hubo una divulgación pública claramente establecida de que este evento haya involucrado una filtración masiva de datos de clientes. Cualquier afirmación de que se expusieron nombres, correos electrónicos, números de teléfono, registros financieros o claves de billetera de un gran número de clientes debe verificarse de forma independiente antes de publicarse. Bybit lanzó un programa LazarusBounty que ofrece una recompensa del 10% por la recuperación exitosa de los fondos faltantes.
Principales impactos del hackeo de Bybit
El impacto más inmediato fue la pérdida de aproximadamente $1.400 millones a $1.500 millones en activos de criptomonedas. El incidente también intensificó el escrutinio sobre la seguridad operativa de multisig, la infraestructura de billeteras de terceros, el riesgo en la cadena de suministro de software y el peligro de depender de las interfaces de usuario como la capa principal de verificación para transacciones de alto valor.
Respuesta al hackeo de Bybit
Bybit divulgó la actividad no autorizada y compartió las conclusiones de investigación de firmas externas, incluidas Sygnia y Verichains. Safe dijo que reconstruyó y reconfiguró su infraestructura, rotó credenciales y agregó validación y monitoreo adicionales después del ataque. Los reportes públicos también señalaron actividad continua de rastreo y lavado vinculada a los fondos robados, además de esfuerzos de atribución por parte de las autoridades relacionados con actores vinculados a Corea del Norte.
Lecciones del hackeo de Bybit
La confianza en terceros puede convertirse en una superficie de ataque principal.
Un compromiso en el entorno de un proveedor de confianza puede anular controles internos sólidos si quienes revisan las transacciones dependen de la interfaz de ese proveedor.La multifirma no basta sin una verificación independiente.
Si los firmantes no pueden validar con confiabilidad la intención de una transacción fuera de la interfaz que usan, los atacantes pueden manipular las aprobaciones sin robar las claves mismas.Los controles de integridad del front-end importan para operaciones de alto riesgo.
Monitorear cambios no autorizados, validar firmas y hashes de transacciones, y reforzar las rutas de entrega de software son aspectos críticos cuando grandes movimientos de activos dependen de interfaces web.La seguridad operativa es tan importante como la criptografía.
Este incidente mostró cómo las relaciones de confianza entre humanos y máquinas, el diseño de los flujos de trabajo y el riesgo de firma a ciegas pueden debilitar modelos de seguridad de wallets que, de otro modo, serían sólidos.
¿Es seguro Bybit después del hackeo?
Afirmar que Bybit ahora es completamente segura iría más allá de la evidencia pública revisada aquí. Un planteamiento más preciso es que Bybit y los socios afectados implementaron medidas de respuesta y refuerzo después del robo, mientras que el incidente sigue siendo un ejemplo duradero de cómo actores sofisticados pueden atacar los procesos operativos en torno a la custodia de activos digitales.
Estrategias de mitigación y prevención
Las organizaciones que manejan criptomonedas de alto valor o aprobaciones sensibles deben:
Exigir verificación fuera de banda de las direcciones de destino y la intención de las transacciones para transferencias críticas.
Tratar los paneles de administración y las interfaces de billetera de terceros como no confiables hasta verificarlos.
Reforzar las cadenas de suministro de software, el acceso a la cloud y los entornos de desarrollo.
Agregar controles de integridad, validación de hashes de transacciones y un monitoreo sólido de cambios para los activos de front-end.
Reducir la dependencia de la firma a ciegas y usar flujos de trabajo que muestren detalles de transacciones legibles para humanos siempre que sea posible.
Artículos educativos y videos relacionados
Preguntas frecuentes
Los reportes públicos revisados aquí lo describieron principalmente como un robo de criptomonedas dirigido a las operaciones de billetera de Bybit, no como una filtración masiva confirmada de datos de clientes.
Las investigaciones indicaron que los atacantes comprometieron el flujo de trabajo de la billetera Safe, inyectaron JavaScript malicioso en la interfaz de firma y engañaron a los firmantes autorizados para que aprobaran una transacción maliciosa.
El ataque fue ampliamente atribuido a la actividad de Lazarus, vinculado a Corea del Norte, y el FBI relacionó el robo con el grupo TraderTraitor.
No dependas únicamente de una interfaz confiable para las aprobaciones críticas. Las transacciones de alto riesgo necesitan validación independiente, controles sólidos en la cadena de suministro y flujos de trabajo diseñados para resistir el engaño de la firma a ciegas.
