Recibes un mensaje en Telegram. Alguien quiere una reunión. El enlace lleva a una página de Zoom de aspecto impecable. Hay un pequeño problema técnico, nada preocupante: solo tienes que abrir la Terminal del Mac y pegar un comando para solucionarlo.
Fin. Tu sistema está comprometido.
Esto es Mach-O Man, el nuevo kit de malware del Grupo Lazarus de Pyongyang — y según CertiK, la misma unidad responsable del robo de 285 millones de dólares a Drift Protocol el 1 de abril y de los 292 millones sustraídos a KelpDAO el 18 de abril.
Dos golpes. Dieciocho días. Más de 575 millones de dólares. Ahora llega el tercer vector de ataque.
Cómo Funciona Mach-O Man
La campaña fue identificada el 21 de abril de 2026 por el equipo de seguridad Quetzal de Bitso, en colaboración con la plataforma de análisis ANY.RUN. El malware está construido sobre binarios nativos Mach-O — el formato ejecutable de Apple — lo que lo hace invisible para la mayoría de las herramientas de defensa tradicionales.
La cadena de ataque se desarrolla en cuatro fases:
- Señuelo: una invitación urgente por Telegram, frecuentemente desde una cuenta comprometida, a una llamada en Zoom, Teams o Google Meet
- ClickFix: la página falsa muestra un error de conexión e invita a la víctima a pegar un comando en la Terminal de macOS para "resolver el problema"
- Stager: el comando ejecuta
teamsSDK.bin, que descarga un bundle de aplicación falso con firma ad hoc para eludir Gatekeeper - Exfiltración: el malware recopila credenciales, datos del Keychain, sesiones de navegador en Chrome, Safari, Firefox, Brave y Opera — y luego se autoelimina
Mauro Eldritch
La Conexión con Drift y KelpDAO
CertiK confirmó el vínculo directo entre Mach-O Man y los dos grandes exploits de abril. El patrón es el mismo: ingeniería social como puerta de entrada, no vulnerabilidades técnicas en los contratos. En Drift, la gobernanza multisig fue manipulada mediante ingeniería social. En Kelp, la infraestructura RPC fue comprometida desde dentro.
Natalie Newson, investigadora sénior de seguridad blockchain en CertiK, fue directa:
"Esto no es hacking aleatorio. Es una operación financiera dirigida por el Estado que opera a una velocidad y escala propia de las instituciones."
La unidad responsable —Famous Chollima, división operativa del Lazarus Group— acumula 18 ataques atribuidos solo en 2026 según Elliptic. Desde 2017, el total robado asciende a aproximadamente 6.700 millones de dólares. Según las Naciones Unidas, esos fondos financian directamente el programa de armamento de Kim Jong Un.
Lazarus Group Just Released
La seguridad en IA y cripto es cada vez más relevante. Lee también nuestro análisis sobre los routers LLM maliciosos que vacían wallets cryptoEl punto clave que hay que entender es este: Lazarus Group no necesita vulnerar tus smart contracts, solo necesita que abras el Terminal de tu Mac y pegues un comando que parece inofensivo. Si eres founder, CTO, trader con fondos significativos o contributor DeFi, ya estás en su punto de mira. Y probablemente, como señaló Newson, aún no lo sabes.
