Los hackers norcoreanos recurren a la IA, ya que la RPDC genera el 66% de las pérdidas por hackeos de criptomonedas

Los piratas informáticos norcoreanos están recurriendo a la inteligencia artificial para expandir sus operaciones cibernéticas, lo que añade un nuevo nivel de sofisticación a una amenaza que ya es responsable de la mayor parte de las pérdidas por piratería de criptomonedas en todo el mundo.

Según la empresa de inteligencia blockchain TRM Labs, los grupos de hackers vinculados a Corea del Norte fueron responsables del robo de criptomonedas por un valor aproximado de 643 millones de dólares durante la primera mitad de 2026, lo que representa el 66% de todas las pérdidas por piratería de criptomonedas a nivel mundial.

La cifra pone de relieve el creciente dominio de los actores vinculados a la RPDC en una industria que sufrió pérdidas por valor de 972 millones de dólares debido a 207dentde piratería informática durante ese período.

Este descubrimiento se produce cuando investigadores de ciberseguridad han hallado que Kimsuky, un grupo de ciberamenazas vinculado a la Oficina General de Reconocimiento de Corea del Norte, está utilizando la IA generativa como arma para respaldar sus campañas de piratería informática. Un nuevo informe de la empresa surcoreana de ciberseguridad Genians reveló que el grupo ha desplegado herramientas de IA y grandes plataformas de modelos de lenguaje, como Ollama, GPT4All y Msty, junto con tecnología de generación aumentada de recuperación.

A lo largo de los años, los piratas informáticos norcoreanos han utilizado principalmente correos electrónicos falsos de contactos laborales reales para atacar a personas en el ámbito diplomático, académico y de seguridad. Enviaban archivos maliciosos haciéndose pasar por materiales para eventos internacionales, informes de investigación, invitaciones, pagos de honorarios, solicitudes de cooperación para investigaciones y documentos financieros y legales.

Sin embargo, según la empresa de seguridad Genians, Kimsuky está probando herramientas de IA generativa para su próxima oleada de ataques. Ya ha configurado un modelo de lenguaje local a gran escala (LLM), un entorno de generación aumentada por recuperación (RAG) y un entorno de desarrollo asistido por IA. 

El uso de la IA sugiere que las operaciones cibernéticas de Corea del Norte están yendo más allá de la simple asistencia para el phishing, hacia capacidades más amplias de automatización e inteligencia. Los investigadores encontraron evidencia de herramientas de codificación asistidas por IA, sistemas de conversión de voz a texto y documentos generados por IA diseñados para parecerse a materiales financieros y de criptomonedas legítimos.

Kimsuky está utilizando Ollama, GPT4All y Cursor AI

Genians descubrió que Kimsuky utilizaba documentos generados por IA sobre activos virtuales y asuntos financieros para engañar a sus víctimas. El contenido generado por IA replicaba fielmente documentos corporativos auténticos, tanto en tono como en diseño, para atraer a los usuarios.

Además, la empresa de seguridad descubrió que el atacante utilizaba Ollama, GPT4All y Msty para ejecutar modelos de IA locales, sistemas RAG, agentes de IA y herramientas de conversión de voz a texto. El análisis forense también reveló que dependían en gran medida del software de codificación Cursor AI, ocultando su código mediante codificación Base64, cadenas fragmentadas y rutinas de decodificación personalizadas. 

Kimsuky inicia su cadena de ataque principalmente cuando un usuario descarga un archivo ZIP malicioso por correo electrónico u otros medios y abre el acceso directo LNK que contiene. Estos accesos directos utilizan iconos falsos y nombres de archivo profesionales —como investigaciones oficiales, solicitudes de honorarios, informes de prensa o correspondencia de embajadas— para imitar documentos comerciales legítimos.

En relación con sus hallazgos, Moon Jong-hyun, director del Centro de Seguridad de Genians (GSC), declaró: "Este análisis demuestra que un grupo de hackers respaldado por un gobierno está mejorando sus capacidades de ataque mediante la creación de entornos locales de aprendizaje automático y desarrollo de IA para integrar la IA en marcos de ataque reales" 

Los ciberataques relacionados con Corea del Norte representaron el 60% del total de robos en 2025

La empresa de seguridad blockchain CertiK estima que los hackers norcoreanos robaron 2060 millones de dólares en activos digitales en 2025, lo que representa el 60 % del total de robos de criptomonedas de ese año. En un solo ataque, los hackers norcoreanos perpetraron el mayor robo de criptomonedas registrado hasta la fecha, sustrayendo 1500 millones de dólares de Bybit.

CertiK también demostró que Corea del Norte ha convertido el robo de criptomonedas en un motor financiero fundamental para el Estado, saqueando aproximadamente 6750 millones de dólares en 263 incidentes registradosdent2016 y 2026. Asimismo, señaló que la ingeniería social es fundamental para las operaciones de piratería informática del país, y que la mayoría de los grandes robos norcoreanos comienzan con algún tipo de manipulación humana.

Además, advirtió que en 2026 podría incrementarse el uso de la IA en la ingeniería social, aumentar los intentos de atacar a los trabajadores de TI y surgir nuevos métodos de blanqueo de capitales. Incluso recomendó que las organizaciones en riesgo implementen entrevistas por vídeo con verificación de autenticidad y rigurosas comprobaciones de antecedentes para contrarrestar lasdentgeneradas por IA o prestadas. Asimismo, aconsejó a las empresas que apliquen políticas de confianza cero para lostracremotos, impartan formación sobre seguridad a los empleados, establezcan periodos de espera para los retiros y protejan la infraestructura crítica, como los puentes y las billeteras digitales.

En total, los hackers se han apropiado de más de 900 millones de dólares en todo el mundo desde principios de 2026. Sin embargo, un nuevo estudio de TRM Labs revela una gran diferencia entre el número de ciberataques y el cash robado a principios de 2026. Los hackers atacaron sistemas 207 veces, pero solo se llevaron 972 millones de dólares, una cifra muy inferior a los 2300 millones de dólares sustraídos durante el primer semestre de 2025.

No obstante, los ataques son cada vez más sofisticados. De los 207dent, 125 fueron exploits detracinteligentes, en los que los atacantes explotan múltiples vulnerabilidades de código simultáneamente, en lugar de solo una. Sin embargo, el cash robado sigue desviado de empresas financieras y proyectos de criptomonedas. 

Las mentes más brillantes del mundo de las criptomonedas ya leen nuestro boletín. ¿Te apuntas? ¡ Únete!