Bybit demanda a Corea del Norte por los 1.500 millones robados, y el único precedente en ese mismo tribunal cobró 48 centavos por cada mil dólares
Bybit presentó este viernes una demanda civil contra Corea del Norte, contra su servicio de inteligencia y contra el grupo Lazarus por los cerca de 1.500 millones de dólares que le sacaron…
Bybit presentó este viernes una demanda civil contra Corea del Norte, contra su servicio de inteligencia y contra el grupo Lazarus por los cerca de 1.500 millones de dólares que le sacaron de una cartera fría en febrero de 2025. El escrito entró en el Tribunal Federal del Distrito de Columbia, y el mismo día un juez concedió una medida cautelar que congela parte de los fondos robados. Han pasado 532 días entre el robo y la demanda.
La noticia se ha contado como el exchange que lleva a un Estado a los tribunales. Merece la pena leer con cuidado a quién congeló el juez los activos, porque no fue a Corea del Norte. La cautelar recae sobre un grupo de personas y entidades sin identificar que figuran en el caso como demandados John Doe, según el comunicado que recogió CoinDesk. Ahí está la parte operativa del pleito, y también su techo.
La ley que decide este caso no habla de robos
Demandar a un Estado extranjero en Estados Unidos no es una decisión libre del demandante. La Ley de Inmunidades Soberanas Extranjeras, la FSIA, es la única vía para que un tribunal estadounidense tenga jurisdicción sobre un país, y funciona al revés de lo que parece intuitivo: la inmunidad es la regla y las excepciones son tasadas y estrechas.
La excepción que la gente asocia con Corea del Norte es la de terrorismo, el artículo 1605A. Pyongyang está designada Estado patrocinador del terrorismo desde noviembre de 2017, así que ese requisito lo cumple. El problema es el otro. El texto del 1605A levanta la inmunidad cuando se reclaman daños por lesiones personales o muerte causadas por tortura, ejecución extrajudicial, sabotaje de aeronaves, toma de rehenes o el apoyo material a esos actos. Vaciar una cartera de ethereum no está en esa lista. Es un daño patrimonial, y la vía de terrorismo está escrita para daños a las personas. La misma norma exige además, en su vía principal, que quien reclama sea nacional estadounidense, y Bybit opera desde Dubái.
El resto del menú tampoco encaja. La excepción por actividad comercial pide que el Estado haya actuado como operador de mercado, no como servicio de inteligencia. La de responsabilidad extracontractual no comercial exige que el daño ocurra en territorio estadounidense, y aquí el ataque salió de un teclado remoto contra un exchange con sede en Emiratos. La demanda todavía no es pública, así que no se sabe qué puerta invoca el equipo legal de Bybit. Pero el pasillo es corto.
El único precedente en ese mismo tribunal
El Distrito de Columbia ya condenó a Corea del Norte una vez, y el resultado está documentado de principio a fin. En diciembre de 2018, en el caso Warmbier contra la República Popular Democrática de Corea, la jueza dictó sentencia en rebeldía por 501.134.683,80 dólares a favor de los padres de Otto Warmbier, el estudiante que murió tras su detención en Pyongyang. Corea del Norte no compareció, no recurrió y no pagó.
En enero de 2022, tres años después, un juez federal de Nueva York ordenó entregar a la familia 240.336,41 dólares procedentes de una cuenta de un banco norcoreano incautada, según recogió NBC News. Esa es la tasa de cobro real de una sentencia contra Pyongyang en ese tribunal.
No es un argumento para decir que la demanda es inútil, y luego vuelvo sobre eso. Es el marco con el que hay que leer cualquier titular que hable de recuperar 1.500 millones.
El botín ya no vale 1.500 millones
La cifra que circula es de febrero de 2025 y está congelada en el tiempo. Lo que salió de la cartera fría fueron 401.346 ETH más 113.375 unidades de ethereum sintético, repartidas en 90.375 stETH, 15.000 cmETH y 8.000 mETH, según la reconstrucción técnica de NCC Group y los desgloses de las firmas forenses que siguieron las transacciones. En total, 514.721 equivalentes de ether. A los 1.460 millones que se contabilizaron entonces, el precio implícito era de 2.836 dólares por moneda.
Ethereum cotiza hoy a 1.906 dólares. Ese mismo montón de monedas vale ahora 981 millones.
| Concepto | Cantidad | Valor |
|---|---|---|
| ETH | 401.346 | 765,1 M$ |
| stETH | 90.375 | 172,3 M$ |
| cmETH | 15.000 | 28,6 M$ |
| mETH | 8.000 | 15,3 M$ |
| Total a precio de hoy | 514.721 | 981,2 M$ |
| Contabilizado en feb-2025 | 514.721 | 1.460 M$ |
| Diferencia | — | −478,8 M$ (−32,8%) |
Importa para lo que viene. Si el pleito acaba recuperando monedas y no dólares, devuelve un tercio menos de lo que dice el titular. Y si la reclamación se fija en dólares de 2025, entonces Bybit está pidiendo a un tribunal una cifra que el activo robado ya no respalda. De aquellos 15.000 cmETH, además, el protocolo mETH consiguió bloquear la mayoría en caliente aquella misma noche suspendiendo retiradas, así que parte de esa columna nunca llegó a salir del perímetro.
El agujero no estaba en Bybit
Vale la pena recordar cómo entraron, porque explica qué arregla y qué no arregla un juzgado. Lazarus no rompió la criptografía de ethereum ni forzó las claves de Bybit. Comprometió una máquina de un desarrollador de Safe{Wallet}, el proveedor de la infraestructura multifirma que el exchange usaba para gestionar el almacenamiento en frío, e inyectó JavaScript malicioso en la interfaz de firma. Los firmantes autorizados de Bybit vieron en pantalla lo que parecía una transferencia interna rutinaria y la aprobaron con sus propias llaves.
El riesgo estaba en la costura entre dos empresas: una tenía las claves, la otra construía la pantalla donde esas claves se usaban. El aviso público del FBI atribuyó la operación a Lazarus, también designado TraderTraitor. Una cautelar sobre carteras periféricas no cierra esa costura en ningún exchange del mundo.
El ataque de Lazarus no fue solo un ataque a Bybit. Fue un ataque a la confianza en nuestro sector. Por eso hemos trabajado con investigadores, exchanges, reguladores, fuerzas de seguridad y ahora los tribunales. — Ben Zhou, cofundador y consejero delegado de Bybit
La otra cara: una sentencia sirve para algo aunque Pyongyang no pague
Sería fácil despachar esto como teatro legal, y sería un error. Un pleito civil en Estados Unidos da a Bybit tres cosas que la vía policial no le daba. Poder de investigación propio, con citaciones a terceros que tocaron el dinero. Un título ejecutivo frente a intermediarios, mesas de OTC y exchanges que sí están al alcance de un juez estadounidense y que hoy tienen un incentivo nuevo para no mover nada. Y la llave para reclamar activos norcoreanos incautados cuando aparezcan, que es el mecanismo por el que los Warmbier cobraron su cuarto de millón.
Que la parte soberana sea probablemente simbólica no anula la parte útil. Los John Doe son la demanda de verdad, y están donde el dinero todavía se puede tocar. Bybit ha dicho que pedirá más medidas al tribunal, y que la acción civil va por separado de las investigaciones penales en curso.
- El expediente en el Distrito de Columbia cuando se publique. Ahí se verá qué excepción de la FSIA invoca Bybit y qué carteras y activos concretos cubre la cautelar. Sin eso, no se sabe si el congelamiento protege un saldo real o un perímetro vacío.
- Cualquier ejecución contra un John Doe identificado que termine en repatriación efectiva de fondos. Ese es el único indicador que convierte el pleito en dinero.
- El umbral razonable de éxito: recuperar más del 10% de lo robado serían unos 150 millones. El precedente de ese mismo tribunal se quedó en el 0,048%.
- Si otros exchanges copian el patrón, demanda civil más cautelar más demandados sin identificar. Solo se replicará si produce un cobro medible.
- Si Corea del Norte comparece. No lo ha hecho nunca en un caso así, y una sentencia en rebeldía llega más rápido pero cobra igual de mal.
El mercado no se movió con la noticia. Bitcoin está en 64.665 dólares y ethereum en 1.906, planos en 24 horas, con la capitalización global en 2,29 billones. Tiene sentido: lo que se decidió hoy no cambia ningún flujo, cambia quién responde ante un juez si vuelve a tocar unas monedas concretas.
Basado en: CoinDesk, comunicado de Bybit, 28 U.S. Code § 1605A (Cornell LII), NBC News, NCC Group, FBI IC3, Chainalysis, CoinGecko.