Los investigadores de inteligencia de amenazas construyeron una falsa startup de Finanzas Descentralizadas (DeFi), contrataron a sospechosos trabajadores de TI norcoreanos como desarrolladores y los observaron desde adentro.
La operación invirtió el manual habitual de infiltración. En lugar de atrapar a los operativos tratando de entrar, los investigadores los observaron trabajar después de que pasaron las entrevistas.
Cómo la Falsa Startup Exponía a los Trabajadores de TI Norcoreanos
La investigación fue un esfuerzo conjunto de Mauro Eldritch de BCA LTD, Heiner García de NorthScan y ANY.RUN. Los investigadores registraron Ballena Azul LTD como un protocolo que sirve a ballenas de criptomonedas.
Le dieron un sitio web, una marca corporativa y un registro de empresa del Reino Unido correspondiente para parecer legítima. Luego se hicieron pasar por fundadores y un líder de equipo.
Los investigadores utilizaron la plataforma sandbox de ANY.RUN como el entorno de trabajo. Registró cada movimiento de los operativos. Angelo Cruz, un reclutador que el equipo conoció en GitHub, proporcionó al primer desarrollador.
Esa contratación recomendó a un segundo, quien trajo a un tercero. Los tres pasaron las entrevistas y recibieron acceso a escritorios virtuales que en realidad eran entornos de grabación controlados.
Los operativos son descritos a lo largo del informe como sospechosos miembros de Famous Chollima, una unidad vinculada al Grupo Lazarus de Corea del Norte que se especializa en colocar falsos trabajadores de TI en empresas occidentales.
Síguenos en X para obtener las últimas noticias a medida que suceden
Lo que Encontraron los Investigadores
Los desarrolladores presentaron credenciales estadounidenses falsificadas durante la incorporación. Esto incluye licencias de conducir, números de Seguro Social robados y cuentas en Lead Bank, Citibank y Wise.
Los metadatos de una licencia mostraron que había sido procesada con Google Gemini y llevaba una marca de agua SynthID incrustada. Esto expuso la falsificación casi de inmediato.
“Para este momento, teníamos identidades falsas, SSNs robados, cuentas bancarias de mulas, posibles casas seguras de facilitadores y billeteras de criptomonedas con historial de transacciones”, escribieron los investigadores.
Los trabajadores dependían en gran medida de la inteligencia artificial. Usaron ChatGPT para escribir código que parecían no entender y para completar tareas. También se utilizaron herramientas de traducción en vivo durante las entrevistas y reuniones diarias.
La operación también reveló infraestructura de apoyo. Los investigadores registraron nodos de salida de AstrillVPN, servidores alojados en Vultr y Gorilla Servers, y billeteras de criptomonedas que contenían historial de transacciones. Un servidor operativo ya había sido etiquetado en los feeds de inteligencia de amenazas, una señal de que había sido reciclado de campañas anteriores.
“Los hallazgos muestran que los esquemas de trabajadores de TI de la RPDC no solo son un riesgo de contratación. Una vez dentro, los operativos pueden obtener acceso legítimo a código, sistemas, propiedad intelectual y procesos comerciales de confianza”, decía el informe.
Los hackers norcoreanos han representado una amenaza persistente para la industria de las criptomonedas. TRM Labs atribuyó el 76% de las pérdidas por hackeos de criptomonedas de 2026 hasta abril a equipos de la RPDC. El robo alcanzó los 2 mil millones de dólares en 2025.
La táctica de infiltración funciona de manera diferente. Los trabajadores norcoreanos se hacen pasar por ingenieros para conseguir trabajos remotos, luego roban secretos o plantan una forma de regresar. Un proyecto financiado por Ethereum (ETH) identificó anteriormente a 100 trabajadores de TI norcoreanos sospechosos en 53 proyectos de criptomonedas.
Suscríbete a nuestro canal de YouTube para ver a líderes y periodistas proporcionar información experta
Fuente: BeInCrypto
