El hackeo de la billetera caliente de Upbit en 2019 supuso la pérdida de 48,5 millones de dólares en ETH: el exchange asumió toda la pérdida

El 27 de noviembre de 2019, 342.000 ETH —unos 48,5 millones de dólares al precio de entonces— salieron de la billetera caliente de Ethereum de Upbit hacia una dirección desconocida en una serie de transacciones anómalas. El mayor exchange de Corea del Sur suspendió todas las entradas y salidas de fondos esa misma tarde y trasladó todo lo que quedaba en almacenamiento caliente a billeteras hardware sin conexión.

Dunamu, la empresa matriz de Upbit, se comprometió públicamente a cubrir íntegramente los fondos robados con activos propios de Upbit. La promesa se cumplió: los clientes no perdieron nada más allá de un bloqueo de aproximadamente dos semanas, y el exchange, con dos años de vida, absorbió lo que entonces fue uno de los mayores hackeos a un exchange en el sector cripto.

El robo quedó sin resolver durante cinco años. En noviembre de 2024, la Agencia Nacional de Policía de Corea concluyó que las unidades Lazarus y Andariel de Corea del Norte llevaron a cabo el ataque —el primer hackeo norcoreano a un exchange de criptomonedas nacional confirmado oficialmente—, rastreando más de la mitad del botín, convertido a bitcoin en tres exchanges y dispersado por 51 plataformas de 13 países.

48,5 millones de dólares en ETH robados —58.000 millones de wones en su momento, cerca de 1,47 billones de wones para 2024; dos semanas de depósitos y retiros congelados; solo 4,8 BTC recuperados en total

Los depósitos de los clientes estaban en una billetera caliente conectada a internet —a una clave comprometida de desaparecer, fueran cuales fueran las certificaciones que tuviera la plataforma.

La protección del usuario aquí fue una decisión de estructura de capital: Dunamu podía pagar con fondos corporativos, una opción que los exchanges con poco patrimonio no tienen.

El bloqueo de dos semanas fue el precio de mezclar los activos de los clientes con el flotante operativo en lugar de mantenerlos segregados en almacenamiento en frío.

Las criptomonedas robadas son prácticamente irrecuperables una vez blanqueadas: cinco años de trabajo policial recuperaron 4,8 BTC de 342.000 ETH.

Un balance sólido es el único seguro real de un exchange. Upbit pudo reembolsar a los usuarios porque su matriz era rica; los exchanges con poco capital que sufren un golpe así deben congelar los retiros o quebrar.

Los retiros se reanudaron tras unas dos semanas, con el flotante restante de la billetera caliente trasladado a almacenamiento sin conexión. En septiembre de 2021, la Unidad de Inteligencia Financiera de Corea aceptó a Upbit como la primera nueva empresa de activos virtuales autorizada del país en virtud de la ley revisada de información financiera, cuyas nuevas normas incluían una certificación de seguridad ISMS obligatoria. La policía cerró el caso en noviembre de 2024, culpando a Lazarus y Andariel: más de la mitad del botín se blanqueó a través de 51 plataformas de 13 países, y solo se recuperaron 4,8 BTC (unos 600 millones de wones) de un exchange suizo, que fueron devueltos.