Drenaje del proveedor de pagos AlphaPo

El 23 de julio de 2023, el proveedor centralizado de pagos cripto AlphaPo — que procesaba pagos para sitios de apuestas, suscripciones de e-commerce y otros negocios online — fue drenado de aproximadamente 60 millones de dólares en sus hot wallets de Tron, Bitcoin y Ethereum. El FBI posteriormente atribuyó el ataque al Grupo Lazarus de Corea del Norte basándose en la ruta de blanqueo y el patrón on-chain.

Qué ocurrió

AlphaPo operaba como los rieles cripto back-end para varios grandes negocios online, manteniendo saldos significativos en hot wallets para gestionar depósitos de clientes y pagos a comerciantes. El compromiso fue un libro de texto de extracción de claves privadas de la infraestructura de firma de AlphaPo — vector exacto nunca detallado en público.

Las estimaciones iniciales de pérdidas en las primeras horas del incidente rondaban los $23M (en gran medida salidas del lado de Ethereum visibles en exploradores estándar). El investigador ZachXBT identificó posteriormente salidas adicionales en Tron y Bitcoin, llevando el total a aproximadamente $60M.

El desglose (selecto):

• 6M+ USDT (lado Tron)
• 108K USDC
• 100,2M FTN
• 430K TFL
• 2,5K ETH
• 1.700 DAI
• Más $37M en TRON y BTC identificados por ZachXBT a posteriori.

La ruta de blanqueo — incluyendo depósitos al mezclador Sinbad que coincidían con operaciones previas de Lazarus — fue la señal clave para la eventual atribución del FBI.

Consecuencias

• AlphaPo detuvo operaciones en las cadenas afectadas y rotó claves.
• La empresa absorbió la pérdida desde reservas corporativas; los clientes comerciantes fueron en gran medida resarcidos.
• No hubo recuperaciones públicas desde las carteras del atacante.

Por qué importa

AlphaPo es uno de un cluster compacto de operaciones de Lazarus a mediados del verano de 2023 — junto con Atomic Wallet (junio, $100M+), Stake.com (septiembre, $41M), CoinEx (septiembre, $54M) y Mixin Network (septiembre, $200M) — que estableció el targeting paralelo de Lazarus a la infraestructura de procesadores de pagos junto con sus campañas más visibles centradas en exchanges.

La lección estructural: cualquier negocio que mantenga saldos multi-chain en hot wallets en nombre de clientes finales es un objetivo relevante para Lazarus, sin importar el reconocimiento de marca al consumidor. Procesadores de pagos, proveedores de custody-as-a-service, plataformas de contabilidad on-chain — todos están en la misma mira que los exchanges, y necesitan la misma inversión en seguridad operativa, incluso si su perfil público es más bajo.