Imagina la escena: eres head de ingeniería de un exchange brasileño, recibes en Telegram una invitación urgente para una llamada en Google Meet con un fondo de Singapur. El enlace lleva a una página idéntica a la oficial, con video congelado por "un problema de audio de macOS". La página te pide, en tono amigable, que pegues un comando en Terminal para "resolver el driver". Eres ejecutivo de cripto, usas Mac hace diez años, ya has ejecutado mil comandos en Terminal. Pegas. Veinte segundos después, tu Keychain completo — con contraseñas de exchanges, claves de API, tokens de sesión de Vercel, cookies de banco — está en un canal privado de Telegram controlado por Pyongyang.
Este escenario dejó de ser hipotético la semana pasada. El 21 de abril de 2026, el equipo Quetzal de seguridad de Bitso, en asociación con la plataforma de análisis ANY.RUN, publicó el descubrimiento de un nuevo kit modular de malware para macOS apodado Mach-O Man — atribuido, con alto grado de confianza, a la unidad Famous Chollima del Lazarus Group, el brazo de operaciones cripto de la inteligencia norcoreana.
La historia, resumida: el mismo grupo que robó US$ 1,5 mil millones de Bybit en febrero de 2025 ahora cambió de objetivo. En lugar de cazar desarrolladores de bibliotecas de bridge u operadores de carteras multisig, Lazarus ahora va tras ejecutivos. Y el vector preferido es la laptop corporativa que todos juraban que era segura: el MacBook.
Qué es Mach-O Man, técnicamente
El nombre es una referencia al formato ejecutable nativo de macOS (Mach-O) y al fisicoculturista Randy Savage. Detrás de la broma, uno de los kits más limpios que Lazarus ha desplegado en Mac. Tres características definen a Mach-O Man:
- Modular. No es un único binario. Son etapas — dropper, infostealer, beacon C2, self-destruct — que pueden ser combinadas según el objetivo.
- Sin persistencia pesada. A diferencia de malwares clásicos que plantan LaunchDaemons para sobrevivir a reinicio, Mach-O Man ejecuta, exfiltra y puede borrarse en minutos. Fue diseñado para ataques quirúrgicos, no para control de largo plazo.
- Exfiltración vía Telegram. Los datos recopilados — credenciales de navegador, cookies de sesión, entradas de Keychain, historial de terminal, archivos de carteras cripto locales — se comprimen y envían a canales privados de Telegram controlados por los operadores. Sin servidor C2 propio significa menos footprint forense y más dificultad de takedown.
El kit aún incluye un script de autodestrucción que usa comandos nativos del sistema para eliminar el malware y limpiar rastros, eludiendo diálogos de confirmación del usuario. Cuando la víctima nota algo mal, el binario ya no existe.
El ataque en la práctica: ClickFix, la ingeniería social perfecta
El gancho técnico es secundario. El ataque real es psicológico, y se llama ClickFix. La secuencia siempre es parecida:
- Primer contacto por Telegram o LinkedIn, personalizado. El atacante se hace pasar por head de fondo, head de BD de exchange, reclutador de M&A o reportero de medio reconocido. El mensaje tiene contexto real — obtiene datos de posts recientes, eventos a los que el objetivo realmente asistió, deals que la empresa anunció.
- Invitación a llamada urgente. "Hoy mismo, 15 minutos, es sensible al tiempo." El enlace parece Zoom, Teams o Google Meet. No es. Es una réplica idéntica alojada en dominio parecido (typosquat) o CDN legítimo secuestrado.
- Bug simulado en la llamada. La página simula problema de audio o cámara. Un modal aparece diciendo: "detectamos un problema con tu audio en macOS. Pega el comando abajo en Terminal para corregir."
- El comando. En general, es un one-liner que invoca
curluosascriptpara descargar y ejecutar el dropper de Mach-O Man. En algunos casos observados, el comando está ofuscado víabase64para escapar de la percepción del usuario técnico. - Exfiltración silenciosa. El binario se ejecuta con privilegios del usuario (no necesita sudo), accede al Keychain, copia datos sensibles y envía a Telegram. En entornos corporativos sin EDR específico para macOS, la alerta es cero.
El nombre "ClickFix" ya se ha visto en campañas contra el sector financiero tradicional desde 2024, pero es la primera vez que vemos a un actor APT de tier 1 operacionalizando la técnica a escala contra cripto.
Lazarus en 2026: un rastro de US$ 2 mil millones
Mach-O Man no surge en el vacío. Es la evolución natural de una secuencia de operaciones que, en los últimos dieciocho meses, ha convertido a Corea del Norte en el mayor actor estatal de robo cripto del mundo. Los números conocidos:
- Febrero 2025 — Bybit: US$ 1,5 mil millones drenados vía inyección de JavaScript malicioso en la interfaz de Safe{Wallet}, después de que un dev tuviera su máquina comprometida. El mayor robo cripto de la historia.
- Abril 2026 — Drift Protocol: US$ 285 millones sifoneados en una operación de ingeniería social que llevó seis meses de infiltración. Atribuida a la subunidad UNC4736 — nuestra cobertura en Drift Confirma: Hack de US$ 285M Fue Operación de Inteligencia Norcoreana de 6 Meses.
- Abril 2026 — KelpDAO: US$ 293 millones en exploit, de los cuales Arbitrum congeló US$ 71 millones por acción del security council — ver Arbitrum Congela US$ 71 Millones del Hacker de Kelp.
La consultoría CertiK atribuyó tanto Drift como Kelp a Famous Chollima — la misma unidad que ahora opera Mach-O Man. El patrón es claro: en 2024, Lazarus atacaba puentes cross-chain; en 2025, migró a supply chain de infraestructura (Bybit vía Safe{Wallet}); en 2026, está cazando personas. No es retroceso táctico. Es sofisticación.
Para el cuadro completo del mes, vale releer nuestra cobertura consolidada en Abril Negro de DeFi: US$ 606 Millones en Hacks en Solo 18 Días.
Por qué el enfoque ahora es macOS
Durante años, la narrativa de "Mac es seguro" era una combinación de tres cosas: market share menor (menos incentivo para atacantes), arquitectura Unix-like con sandboxing, y Gatekeeper + notarización bloqueando binarios no firmados. Este equilibrio se rompió.
Tres factores empujaron a Lazarus hacia macOS:
- Concentración de objetivos. Ejecutivos e ingenieros de cripto usan Mac en una proporción mucho mayor que el promedio del mercado. Un único MacBook de CTO de exchange vale más, en términos de potencial de daño, que cien PCs corporativos aleatorios.
- Defensas menos maduras. EDRs corporativos (Crowdstrike, SentinelOne) tienen cobertura de Windows mucho más profunda que macOS. SIEMs corporativos raramente tienen reglas específicas para
osascript, modificaciones de Keychain o uso anómalo decurl | sh. - ClickFix elude el Gatekeeper. Cuando el usuario pega y ejecuta el comando voluntariamente en su propio Terminal, ninguna de las protecciones de notarización se aplica. El ataque no descarga app empaquetada — descarga script.
El timing también coincide con la expansión del ecosistema cripto latinoamericano. Con exchanges brasileños cerrando cerco regulatorio con el Banco Central, el volumen de activos bajo custodia local creció — y con él, el interés de actores estatales en comprometer a quienes mandan esas casas.
Manual defensivo para ejecutivos y equipos cripto
La parte práctica. Si eres CEO, CTO, head de seguridad o dev sénior de cualquier operación cripto, estas son las acciones que tiene sentido ejecutar esta semana, no "en el próximo trimestre":
Para el ejecutivo individual
- Regla de oro: nunca pegues comando en Terminal viniendo de una página web. Si la "solución" a tu problema de audio es ejecutar un script, es malware. Siempre. Sin excepción. El audio y video de macOS no se reparan por shell.
- Invitaciones de reunión viniendo por Telegram o DM de red social son sospechosas por defecto. Confirma por canal secundario (email corporativo, WhatsApp verificado) antes de hacer clic en cualquier enlace. Cuesta 30 segundos.
- Activa FileVault y revisa el Keychain. Borra credenciales antiguas que no usas más. Mach-O Man no diferencia lo que es actual de lo que es obsoleto — se lo lleva todo.
- Rota contraseñas y claves de API críticas cada 90 días. Sí, es tedioso. Pero reduce el blast radius de cualquier compromiso a un trimestre.
- Usa un password manager que no sea Keychain para los secretos más sensibles (1Password, Bitwarden con master key fuerte). Mach-O Man apunta específicamente al Keychain.
Para la empresa
- Instala EDR con cobertura macOS real. Crowdstrike Falcon, SentinelOne Singularity y Jamf Protect tienen detección de comportamientos típicos de Mach-O Man — ejecución de scripts vía
osascript, acceso anómalo al Keychain, conexiones outbound a API de Telegram. - Bloquea la API de Telegram en firewall corporativo, excepto en máquinas que genuinamente la necesitan. Exfiltración vía Telegram es firma de Mach-O Man.
- Entrena al equipo ejecutivo en ClickFix. Phishing tradicional todos lo reconocen. ClickFix es nuevo y está específicamente diseñado para quienes tienen formación técnica.
- MFA por hardware key (YubiKey), no SMS ni app. Tokens de sesión robados del Keychain pierden valor si la siguiente autenticación requiere tap físico.
- Segrega carteras de trabajo de carteras personales. Si la laptop personal está comprometida, la clave corporativa en hardware wallet separado sobrevive.
Qué significa esto para Brasil
Dos cosas.
Primero, Brasil está en el radar. El propio equipo Quetzal de Bitso fue quien primero identificó la campaña — lo que solo tiene sentido si el tráfico de ataque pasó por infraestructura o clientes LatAm. Ejecutivos de exchanges brasileños, de fintechs de pago y de fondos de activos digitales están explícitamente entre los objetivos.
Segundo, el ecosistema local tiene agravantes propios. Como ya cubrimos en Trojan GoPix Evoluciona, malware adaptado al contexto brasileño (Pix, boletos, bancos digitales nacionales) ya ronda la escena. La suma de un ataque Lazarus contra un ejecutivo con un trojan bancario local ya presente en la máquina es devastadora. El dinero cripto sale por exfiltración de Keychain; el dinero fiat sale por Pix fraudulento. El mismo día.
Y hay un tercer punto menos obvio: la ola de deepfake contra KYC biométrico de marzo y abril crea sinergia perversa con Mach-O Man. Si el atacante roba tus credenciales vía Mach-O Man y, luego, hace la verificación biométrica 2FA vía deepfake con foto tuya de internet, el combo elude todas las capas de defensa de un exchange promedio.
El contexto: phishing dirigido subió 1.400% en los dos primeros meses de 2026. Mach-O Man es solo la punta más sofisticada de una tendencia macro.
La perspectiva ON3X
Tres lecturas para cerrar.
Uno: seguridad cripto en 2026 es problema humano, no técnico. Todo ataque de alto impacto este año comenzó en una persona — dev, ejecutivo, operador. Los protocolos están más auditados que nunca. Es el humano el que sigue siendo el eslabón débil, y atacantes estatales lo saben mucho antes que nosotros.
Dos: "Mac es seguro" murió el 21 de abril de 2026. La higiene digital que ejecutivos de Windows internalizaron hace dos décadas ahora necesita ser replicada en el ecosistema Apple. No es paranoia, es realismo.
Tres: custodia institucional importa. Plataformas reguladas que segregan patrimonio, operan cold storage multisig distribuido y tienen pipeline de monitoreo on-chain 24/7 no eliminan el riesgo — pero lo transfieren a quienes tienen escala para absorberlo. El ejecutivo que guarda todo en self-custody en su propio MacBook se convirtió, en 2026, en el objetivo de elección de Pyongyang.
La pregunta que cada C-level de cripto necesita hacerse al leer este artículo es simple: si la próxima llamada de Zoom falsa llegara a mí hoy, ¿pegaría el comando? La respuesta honesta, incluso para quienes creen que no lo harían, suele ser "depende de la prisa y de quién lo mandó". Exactamente por eso ClickFix funciona. Y exactamente por eso Lazarus está ganando miles de millones.