Autor: Sam Kessler, Coindesk
Compilado por: Joy, PANews
Puntos principales del artículo:
CoinDesk descubrió que más de una docena de empresas de criptomonedas contrataron, sin saberlo, trabajadores de TI de Corea del Norte, incluidos proyectos blockchain de alto perfil como Injective, ZeroLend, Fantom, Sushi, Yearn Finance y Cosmos Hub.
Estos empleados utilizaron identificaciones falsas, aprobaron entrevistas, aprobaron controles de calificación y brindaron experiencia laboral auténtica.
Contratar trabajadores norcoreanos es ilegal en Estados Unidos y otros países que imponen sanciones a Corea del Norte. Esto también plantea riesgos de seguridad, y CoinDesk descubrió que varias empresas han sido pirateadas después de contratar trabajadores de TI de Corea del Norte.
Zaki Manian, un conocido desarrollador de blockchain, dijo: "Todos están tratando de filtrar a estas personas. Dijo que, sin darse cuenta, contrató a dos trabajadores de TI de Corea del Norte en 2021 para ayudar a desarrollar la cadena de bloques Cosmos Hub".
En 2023, la empresa de criptomonedas Truflation todavía estaba en su infancia cuando su fundador Stefan Rust, sin saberlo, contrató a su primer empleado norcoreano.
"Siempre estamos buscando buenos desarrolladores", dijo Rust desde su casa en Suiza. De la nada, "este desarrollador nos conoció".
"Ryuhei" envió su currículum a través de Telegram, afirmando estar trabajando en Japón. Poco después de su contratación, empezaron a surgir extrañas contradicciones.
En un momento, "hablé con el tipo por teléfono y me dijo que había tenido un terremoto", recordó Rust. Pero no ha habido terremotos recientes en Japón. Luego, el empleado comenzó a perder llamadas y, cuando apareció, "no era él", dijo Rust. "Es otra persona." Quienquiera que fuera, su acento japonés había desaparecido.
Rust pronto se enteró de que "Ryuhei" y otros cuatro empleados, más de un tercio de su equipo, eran norcoreanos. Rust, sin saberlo, cayó en un plan organizado por Corea del Norte para proporcionar a sus empleados trabajos remotos en el extranjero y enviar sus ganancias a Pyongyang.
Las autoridades estadounidenses han intensificado recientemente las advertencias de que los trabajadores de TI de Corea del Norte se están infiltrando en empresas de tecnología, incluidos los empleadores de criptomonedas, y utilizando las ganancias para financiar el programa de armas nucleares del país. Según un informe de las Naciones Unidas de 2024, estos trabajadores de TI ganan a Corea del Norte hasta 600 millones de dólares al año.
Contratar y pagar a trabajadores –incluso sin querer– viola las sanciones de la ONU y es ilegal en Estados Unidos y muchos otros países. Esto también supone un grave riesgo para la seguridad, ya que se sabe que los piratas informáticos norcoreanos emplean empleados en secreto para atacar empresas.
Una investigación de CoinDesk revela la motivación y la frecuencia con la que los solicitantes de empleo norcoreanos se dirigen a empresas de criptomonedas: tienen éxito en entrevistas, pasan verificaciones de antecedentes e incluso demuestran un historial impresionante de contribuciones de código en el repositorio de software de código abierto GitHub.
CoinDesk habló con más de una docena de empresas de criptomonedas que dijeron que sin darse cuenta habían contratado trabajadores de TI de Corea del Norte.
Estas entrevistas con fundadores, investigadores de blockchain y expertos de la industria sugieren que los trabajadores de TI de Corea del Norte son mucho más comunes en la industria de la criptografía de lo que se pensaba anteriormente. Casi todos los gerentes de contratación entrevistados para este artículo admitieron que habían entrevistado a desarrolladores norcoreanos sospechosos, los habían contratado sin su conocimiento o conocían a alguien que lo había hecho.
Zaki Manian, un conocido desarrollador de blockchain, dijo: "En toda la industria del cifrado, la proporción de currículums, solicitantes de empleo o contribuyentes de Corea del Norte puede exceder el 50%. Dijo que, sin darse cuenta, contrató a dos personal de TI norcoreano en 2021". empleados para ayudar a desarrollar la cadena de bloques Cosmos Hub. "Todo el mundo está tratando de eliminar a esta gente".
Entre los empleadores norcoreanos involuntarios identificados por CoinDesk se encuentran varios proyectos blockchain conocidos, como Cosmos Hub, Injective, ZeroLend, Fantom, Sushi y Yearn Finance. "Todo sucede detrás de escena", dijo Manian.
La investigación es la primera vez que las empresas reconocen públicamente que contrataron inadvertidamente trabajadores de TI norcoreanos.
En muchos casos, los trabajadores norcoreanos trabajan igual que los empleados regulares, por lo que, en cierto sentido, los empleadores esencialmente obtienen lo que pagan por cumplir; Pero CoinDesk encontró evidencia de que esos empleados luego transfirieron sus salarios a direcciones de blockchain vinculadas al gobierno de Corea del Norte.
La investigación de CoinDesk también reveló varios casos en los que posteriormente se piratearon proyectos de cifrado que empleaban personal de TI de Corea del Norte. En algunos de estos casos, el robo pudo estar directamente relacionado con presuntos empleados de TI norcoreanos en la nómina de la empresa. Este fue el caso de Sushi, un conocido protocolo DeFi que perdió 3 millones de dólares en un hack en 2021.
La Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro de EE. UU. y el Departamento de Justicia comenzaron a dar a conocer los intentos de Corea del Norte de infiltrarse en la industria de las criptomonedas de EE. UU. en 2022. CoinDesk descubrió evidencia de que los trabajadores de TI de Corea del Norte comenzaron a trabajar para compañías de criptomonedas con identidades falsas mucho antes, al menos en 2018.
"Creo que mucha gente tiene la idea errónea de que esto es algo que sucedió de la nada", dijo Manian. "Estas personas tenían cuentas de GitHub y otras cosas que se remontaban a 2016, 2017, 2018 (GitHub, propiedad de Microsoft, es una plataforma en línea utilizada por muchas organizaciones de software para alojar código y permitir que los desarrolladores colaboren).
CoinDesk utilizó una variedad de métodos para conectar a los trabajadores de TI de Corea del Norte con las empresas, incluidos registros de pagos de blockchain, contribuciones de códigos públicos de GitHub, correos electrónicos de funcionarios del gobierno de EE. UU. y entrevistas directas con empresas específicas. Una de las redes de pago más grandes de Corea del Norte investigada por CoinDesk fue descubierta por el investigador de blockchain ZachXBT, quien publicó una lista de desarrolladores norcoreanos sospechosos en agosto.
Anteriormente, los empleadores guardaban silencio por temor a publicidad no deseada o repercusiones legales. Ahora, frente a un tesoro de registros de pagos y otras pruebas descubiertas por CoinDesk, muchos de ellos han decidido presentarse y compartir sus historias por primera vez, exponiendo el extraordinario éxito y la escala de la infiltración de Corea del Norte en la industria de las criptomonedas.
documentos falsificados
Después de contratar a Ryuhei, que aparentemente era un empleado japonés, Rust's Truflation se vio inundado de nuevas aplicaciones. En tan solo unos meses, Rust, sin saberlo, contrató a cuatro desarrolladores norcoreanos más, que afirmaban tener su sede en Montreal, Vancouver, Houston y Singapur.
La industria de la criptografía es particularmente vulnerable a las interrupciones por parte de los trabajadores de TI de Corea del Norte. La fuerza laboral de la industria de la criptografía es muy global y las empresas de criptografía tienden a estar más dispuestas a contratar desarrolladores totalmente remotos (o incluso anónimos) que otras empresas.
CoinDesk analizó las solicitudes de empleo de Corea del Norte recibidas por empresas de criptomonedas de una variedad de fuentes, incluidas plataformas de mensajería como Telegram y Discord, bolsas de trabajo específicas de criptomonedas como Crypto Jobs List y bolsas de trabajo como Indeed.
"Donde es más probable que los contraten es con equipos realmente nuevos y prometedores que estén dispuestos a contratar desde Discord", dijo Taylor Monahan, gerente de producto de la aplicación de billetera criptográfica MetaMask, quien publica con frecuencia investigaciones de seguridad relacionadas con North Las actividades criptográficas de Corea. "No cuentan con un proceso para contratar personas que pasen por verificaciones de antecedentes. Muchas veces están dispuestos a pagar en criptomonedas".
Rust dijo que realiza verificaciones de antecedentes de todos los nuevos empleados de Truflation. "Nos enviaron nuestros pasaportes e identificaciones, nos dieron el repositorio de GitHub, lo probaron y básicamente los contratamos".
Ahora se sospecha que un solicitante que presentó una licencia de conducir de Texas como prueba de identidad a la empresa de criptomonedas Truflation es ciudadano norcoreano. CoinDesk oculta algunos detalles porque los trabajadores de TI de Corea del Norte utilizaron identificaciones robadas. (Imagen cortesía de Stefan Rust)
Para un profano, la mayoría de los documentos falsificados serán indistinguibles de los pasaportes y visas genuinos, pero los expertos dijeron a CoinDesk que es probable que los servicios profesionales de verificación de antecedentes los detecten.
Uno de los presuntos empleados de TI norcoreanos identificados por ZachXBT, "Naoki Murano", proporcionó a la empresa un pasaporte japonés aparentemente auténtico. (Foto cortesía de Taylor Monahan)
Si bien es poco probable que las nuevas empresas utilicen verificadores de antecedentes profesionales, "sí vemos personal de TI norcoreano en empresas más grandes, ya sea como empleados reales o al menos como contratistas", dijo Monahan.
Escondido a plena vista
En varios casos, CoinDesk encontró trabajadores de TI en empresas norcoreanas que utilizaban datos de blockchain disponibles públicamente.
En 2021, la empresa Iqlusion del desarrollador de blockchain Manian necesitaba ayuda. Está buscando programadores independientes que puedan ayudar con un proyecto para actualizar la popular cadena de bloques Cosmos Hub. Encontró dos nuevos empleados; se desempeñaron bien.
Manian nunca ha conocido en persona a los autónomos "Jun Kai" y "Sarawut Sanit". Anteriormente habían colaborado en un proyecto de software de código abierto financiado por la red blockchain THORChain, estrechamente relacionada, y le dijeron a Manian que estaban en Singapur.
“Hablé con ellos casi todos los días durante un año”, dijo Manian. "Hicieron el trabajo. Francamente, estoy muy contento".
Dos años después de que los autónomos completaran su trabajo, Manian recibió un correo electrónico de un agente del FBI que estaba investigando transferencias de tokens que parecían provenir de Iqlusion y fueron enviadas a una dirección sospechosa de billetera criptográfica de Corea del Norte. Las transferencias en cuestión resultaron ser pagos de Iqlusion a Kai y Sanit.
Izquierda: Un agente del FBI (nombre redactado) le pidió a Zaki Manian información sobre dos pagos blockchain de su empresa, Iqlusion. Derecha: Manian informó a los agentes que las transacciones fueron entre Iqlusion y múltiples contratistas.
El FBI nunca confirmó a Manian que los desarrolladores que contrató eran agentes norcoreanos, pero una revisión de CoinDesk de las direcciones blockchain de Kai y Sanit reveló que durante 2021 y 2022, transfirieron ganancias a dos personas en la lista de sanciones de la OFAC: Kim Sang Man y. Sim Hyon Sop.
Según la OFAC, Sim era representante del Banco Kwangson de Corea del Norte, que lavó fondos de trabajadores de TI para ayudar a "financiar los programas de armas de destrucción masiva y misiles balísticos de Corea del Norte". Sarawut parece haber canalizado todas sus ganancias hacia Sim y otras billeteras blockchain vinculadas a Sim.
Los registros de blockchain de abril a diciembre de 2022 muestran que “Sarawut Sanit” envió todo su salario a una billetera asociada con el agente norcoreano Sim Hyon Sop, aprobado por la OFAC. (Selección de billeteras Ethereum rastreadas por CoinDesk. Precio de los activos estimado por Arkham).
Al mismo tiempo, Kai envió casi 8 millones de dólares directamente a Kim. Según el informe de asesoramiento de la OFAC de 2023, Kim era representante de la Compañía de Cooperación de Tecnología de la Información Chinyong, operada por Corea del Norte, que "empleaba a una delegación de trabajadores de TI norcoreanos que trabajaban en Rusia y Laos a través de empresas que controlaba y sus representantes".
A lo largo de 2021, “Jun Kai” envió 7,7 millones de dólares en criptomonedas directamente a direcciones de blockchain en la lista de sanciones de la OFAC asociadas con Kim Sang Man. (Selección de billeteras Ethereum rastreadas por CoinDesk. Precio de los activos estimado por Arkham).
El salario de Iqlusion para Kai representó menos de 50.000 dólares de los casi 8 millones de dólares que le dio a Kim, y el resto provino en parte de otras empresas de criptomonedas.
Por ejemplo, CoinDesk descubrió que la Fundación Fantom, que desarrolla la cadena de bloques Fantom ampliamente utilizada, pagó a "Jun Kai" y a otro desarrollador con vínculos con Corea del Norte.
Un portavoz de la Fundación Fantom dijo a CoinDesk: "Fantom confirmó que dos personas externas estuvieron involucradas con Corea del Norte en 2021. Sin embargo, los desarrolladores involucrados estuvieron involucrados en un proyecto externo que nunca se completó ni implementó".
Según la Fundación Fantom, "Los dos empleados involucrados han sido despedidos. Nunca contribuyeron con ningún código malicioso ni accedieron a la base del código de Fantom, y los usuarios de Fantom no se vieron afectados". pero falló debido a la falta de los derechos de acceso necesarios.
Según la base de datos OpenSanctions, el gobierno no publicó la dirección blockchain de Kim relacionada con Corea del Norte hasta mayo de 2023, más de dos años después de los pagos de Iqlusion y Fantom.
dar margen de maniobra
Estados Unidos y las Naciones Unidas impusieron sanciones al empleo de trabajadores de TI norcoreanos en 2016 y 2017, respectivamente.
Lo sepas o no, es ilegal pagar a los trabajadores norcoreanos en Estados Unidos, un concepto legal conocido como “responsabilidad estricta”.
Tampoco importa dónde esté ubicada una empresa: contratar trabajadores norcoreanos conlleva riesgos legales para cualquier empresa que haga negocios en un país que impone sanciones a Corea del Norte.
Sin embargo, Estados Unidos y otros estados miembros de la ONU aún tienen que procesar a las empresas de cifrado que emplean a trabajadores de TI de Corea del Norte.
El Departamento del Tesoro de Estados Unidos inició una investigación sobre Iqlusion, con sede en Estados Unidos, pero Manian dijo que la investigación concluyó sin ninguna sanción.
Las autoridades estadounidenses han sido indulgentes a la hora de presentar cargos contra estas empresas, una especie de reconocimiento de que, en el mejor de los casos, habían sufrido una forma inusualmente sofisticada y sofisticada de fraude de identidad o, en el peor, una estafa a largo plazo de lo más humillante.
Además de los riesgos legales, Monahan de MetaMask explicó que pagar a los trabajadores de TI de Corea del Norte también es "malo porque las personas a las que se les paga son básicamente las que están siendo explotadas por el régimen".
Los trabajadores norcoreanos de TI sólo podrán conservar una fracción de sus salarios, según un informe de 615 páginas del Consejo de Seguridad de las Naciones Unidas. "Las personas con ingresos bajos obtienen un 10 por ciento de reserva, mientras que las personas con ingresos altos se quedan con el 30 por ciento", afirma el informe.
Si bien esos salarios pueden seguir siendo altos en relación con el promedio de Corea del Norte, "no me importa dónde vivan", dijo Monahan. "Si le pagara a alguien y se viera obligado a enviar todo su sueldo a su jefe, eso me haría sentir muy incómodo. Si su jefe fuera el régimen de Corea del Norte, me sentiría aún más incómodo".
CoinDesk se puso en contacto con varios trabajadores de TI norcoreanos sospechosos durante el proceso de presentación de informes, pero aún no ha recibido una respuesta.
futuro
CoinDesk identificó más de 20 empresas que pueden emplear trabajadores de TI de Corea del Norte mediante el análisis de los registros de pago de blockchain de entidades sancionadas por la OFAC. Doce empresas que presentaron registros relevantes confirmaron a CoinDesk que previamente habían encontrado empleados de TI sospechosos de Corea del Norte en sus nóminas.
Algunos declinaron hacer más comentarios por temor a repercusiones legales, pero otros aceptaron compartir sus historias con la esperanza de que otros pudieran aprender de sus experiencias.
En muchos casos, los empleados norcoreanos son más fáciles de identificar una vez contratados.
Eric Chen, director ejecutivo de Injective, un proyecto centrado en finanzas descentralizadas, dijo que contrató a un desarrollador independiente en 2020, pero lo despidió rápidamente debido a su bajo desempeño.
"No duró mucho", dijo Chen. "El código que escribió era deficiente y los resultados no fueron buenos". Chen no sabía que el empleado tenía vínculos con Corea del Norte hasta el año pasado, cuando una "agencia gubernamental" estadounidense se puso en contacto con Injective.
Varias empresas dijeron a CoinDesk que despidieron a un empleado antes de enterarse de cualquier vínculo con Corea del Norte, citando una calidad laboral deficiente.
"Algunos meses de recibos de sueldo"
Sin embargo, los trabajadores de TI de Corea del Norte son similares a los desarrolladores típicos y tienen diferentes habilidades.
Por un lado, hay empleados que "entran en la empresa, pasan por el proceso de entrevistas y ganan unos cuantos meses de salario", dijo Manian. "Y por otro lado, cuando entrevistas a estas personas, descubres qué". en realidad lo son. La capacidad técnica es realmente fuerte”.
Rust recuerda haber conocido a "un muy buen desarrollador" mientras estaba en Truflation que decía ser de Vancouver, pero luego descubrió que era de Corea del Norte. "Es realmente un hombre joven", dijo Rust. "Se sentía como si acabara de salir de la universidad. Un poco verde, muy entusiasmado, muy entusiasmado con la oportunidad de trabajar".
En otro ejemplo, la startup DeFi Cluster despidió a dos desarrolladores en agosto después de que ZachXBT proporcionara pruebas de que tenían vínculos con Corea del Norte.
"Es alucinante cuánto sabían estas personas", dijo a CoinDesk z3n, el fundador anónimo de Cluster. En retrospectiva, hubo algunas "señales de alerta obvias". Por ejemplo, "Cambian su dirección de pago cada dos semanas y su nombre de Discord o Telegram aproximadamente cada mes".
cámara web apagada
En conversaciones con CoinDesk, muchos empleadores dijeron que notaron algo inusual que tuvo más sentido cuando supieron que sus empleados podrían ser norcoreanos.
A veces, estas señales son sutiles, como cuando las horas de un empleado no coinciden con el lugar donde se supone que debe trabajar.
Otros empleadores, como Truflation, han notado que varias personas pueden hacerse pasar por una, lo que los empleados ocultan apagando sus cámaras web. (Son casi todos hombres).
Una empresa contrató a una empleada que asistía a las reuniones por la mañana pero parecía olvidar todo lo discutido más tarde durante el día, una peculiaridad que tenía más sentido cuando había hablado claramente con muchas personas antes.
Cuando Rust expresó su preocupación sobre el empleado "japonés" Ryuhei a un inversor con experiencia en el seguimiento de redes de pagos criminales, el inversor rápidamente identificó a otros cuatro trabajadores de TI norcoreanos sospechosos en la nómina de Truflation.
"Cortamos los lazos de inmediato", dijo Rust, y agregó que su equipo realizó una auditoría de seguridad de su código, mejoró el proceso de verificación de antecedentes y cambió algunas políticas. Una de las nuevas políticas exige que los trabajadores remotos enciendan sus cámaras.
Hackeo de 3 millones de dólares
Muchos empleadores consultados por CoinDesk creen erróneamente que los trabajadores de TI de Corea del Norte operan independientemente del sector de piratería de Corea del Norte, pero los datos de blockchain y las conversaciones con expertos indican que las actividades de piratería de Corea del Norte y los trabajadores de TI a menudo están vinculados.
En septiembre de 2021, MISO, una plataforma creada por Sushi para emitir tokens criptográficos, perdió 3 millones de dólares en un robo. CoinDesk encontró evidencia de que el ataque estaba relacionado con la contratación por parte de Sushi de dos desarrolladores cuyos registros de pagos de blockchain estaban vinculados a Corea del Norte.
En el momento del hack, Sushi era una de las plataformas de las que más se hablaba en el espacio emergente DeFi. Se han depositado más de 5 mil millones de dólares en SushiSwap, una plataforma que funciona principalmente como un "intercambio descentralizado" para que las personas intercambien criptomonedas sin intermediarios.
Joseph Delong, director de tecnología de Sushi en ese momento, rastreó el robo de MISO hasta dos desarrolladores independientes que trabajaban en la plataforma: usaban los nombres Anthony Keller y Sava Grujic. Delong dijo que estos desarrolladores, de quienes ahora sospecha que son la misma persona u organización, inyectaron código malicioso en la plataforma MISO para transferir fondos a billeteras que controlaban.
Cuando Keller y Grujic fueron contratados por Sushi DAO, la organización autónoma descentralizada que gobierna el protocolo Sushi, presentaron credenciales que eran típicas e incluso impresionantes para los desarrolladores de nivel básico.
Keller usó el seudónimo "eratos1122" en público, pero cuando solicitó un trabajo en MISO, usó lo que parecía ser su nombre real, "Anthony Keller". En el currículum que Delong compartió con CoinDesk, Keller afirmaba vivir en Gainesville, Georgia y graduarse de la Universidad de Phoenix con una licenciatura en ingeniería informática. (La universidad no respondió a una solicitud para ver si hay un graduado con el mismo nombre).
"Anthony Keller" afirma vivir en Gainesville, Georgia, y su currículum enumera su experiencia trabajando en la popular aplicación financiera descentralizada Yearn.
El currículum de Keller menciona empleos anteriores. Uno de los más impresionantes es Yearn Finance, un protocolo de inversión en criptomonedas muy popular que ofrece a los usuarios una forma de ganar intereses a través de una variedad de estrategias de inversión. Banteg, desarrollador principal de Yearn, confirmó que Keller trabajó en Coordinape, una aplicación desarrollada por Yearn para ayudar a los equipos a colaborar y facilitar los pagos. (Banteg, dijo que el trabajo de Keller se limitaba a Coordinape y que no tenía acceso al código base central de Yearn).
Según Delong, Keller le presentó a Grujic a MISO y los dos se describieron a sí mismos como "amigos". Al igual que Keller, Grujic proporcionó un currículum que incluía su nombre real, no su seudónimo en línea "AristoK3". Afirmó ser de Serbia y se graduó en la Universidad de Belgrado con una licenciatura en informática. Su cuenta de GitHub está activa y su currículum enumera su experiencia laboral en varios proyectos criptográficos más pequeños y nuevas empresas de juegos.
En su currículum, "Sava Grujic" enumera 5 años de experiencia en programación y afirma que reside en Belgrado, Serbia.
Rachel Chu, ex desarrolladora principal de Sushi que trabajó estrechamente con Keller y Grujic antes del robo, dijo que se había vuelto "sospechosa" de la pareja antes del ataque.
A pesar de la distancia entre los dos, Grujic y Keller tenían "el mismo acento" y "la misma forma de enviar mensajes de texto", dijo Chu. "Cada vez que hablábamos, había un ruido de fondo, como en una fábrica", añadió. Chu recordó que había visto el rostro de Keller, pero nunca el de Grujic. Según Chu, la cámara de Keller "se acercó" para que no pudiera ver lo que había detrás de él.
Grujic y Keller finalmente dejaron de contribuir a MISO al mismo tiempo. "Pensamos que eran la misma persona", dijo Delong, "así que dejamos de pagarles. En el punto álgido de la pandemia de COVID-19, los desarrolladores remotos de criptomonedas se hicieron pasar por varias personas para ganar dinero extra de su nómina. La situación no es así". poco común.
Después de que Grujic y Keller fueran despedidos en el verano de 2021, el equipo de Sushi se olvidó de revocar su acceso al código base MISO.
El 2 de septiembre, Grujic, que utiliza su nombre de usuario "Aristok3", envió un código malicioso a la plataforma MISO para transferir 3 millones de dólares a una nueva billetera de criptomonedas, según una captura de pantalla obtenida por CoinDesk.
"Sava Grujic" envió un código contaminado a MISO de Sushi utilizando el seudónimo AristoK3. (Captura de pantalla proporcionada por Joseph Delong)
El análisis de CoinDesk de los registros de pagos de blockchain sugiere posibles vínculos entre Grujic, Keller y Corea del Norte. En marzo de 2021, Keller publicó una dirección de blockchain en un tweet ahora eliminado. CoinDesk encontró múltiples pagos entre esa dirección, la dirección del hacker de Grujic y la dirección de Keller registrada en Sushi. Según Delong, la investigación interna de Sushi finalmente concluyó que la dirección pertenecía a Keller.
Entre 2021 y 2022, las direcciones blockchain vinculadas a Keller y Grujic enviaron la mayoría de los fondos a billeteras vinculadas a Corea del Norte. (Selección de billeteras Ethereum rastreadas por CoinDesk. Precio de los activos estimado por Arkham).
CoinDesk descubrió que esta dirección envió la mayoría de los fondos a "Jun Kai" (el desarrollador de Iqlusion que envió dinero a Kim Sang Man, sancionado por la OFAC) y otra billetera que parece actuar como representante de Corea del Norte (ya que también le pagó a Kim ).
La investigación interna de Sushi encontró que Keller y Grujic operaban frecuentemente desde direcciones IP rusas, lo que respalda aún más la idea de que eran norcoreanos. Los trabajadores de TI de Corea del Norte a veces se encuentran en Rusia, dijo la OFAC. (El número de teléfono de EE. UU. en el currículum de Keller ha sido desactivado y sus cuentas "eratos1122" de Github y Twitter han sido eliminadas).
Además, CoinDesk encontró evidencia de que Sushi contrató a Keller y Grujic al mismo tiempo que otro presunto contratista de TI de Corea del Norte. El desarrollador, a quien ZachXBT llama "Gary Lee", codificó bajo el seudónimo LightFury y envió ganancias a "Jun Kai" y otra dirección proxy asociada con Kim.
De 2021 a 2022, Sushi también contrató a otro aparente contratista norcoreano llamado "Gary Lee". El trabajador transfirió sus ganancias de 2021-2022 a direcciones de blockchain vinculadas a Corea del Norte, incluida una billetera utilizada por “Jun Kai” de Iqlusion. (Selección de billeteras Ethereum rastreadas por CoinDesk. Precio de los activos estimado por Arkham).
Grujic devolvió los fondos robados después de que Sushi públicamente culpó del ataque al seudónimo de Keller "eratos1122" y amenazó con involucrar al FBI. Si bien puede parecer contradictorio que los trabajadores de TI de Corea del Norte se preocupen por proteger identidades falsas, los trabajadores de TI de Corea del Norte parecen reutilizar ciertos nombres y construir su reputación contribuyendo a muchos proyectos, tal vez para ganarse la confianza de futuros empleadores.
Se podría pensar que proteger el alias de Anthony Keller sería más rentable a largo plazo: en 2023, dos años después del incidente de Sushi, un hombre llamado "Anthony Keller" presentó una solicitud ante la empresa de Stefan Rust, Truflation.
Coindesk intentó ponerse en contacto con "Anthony Keller" y "Sava Grujic" para hacer comentarios, pero no tuvo éxito.
Robo al estilo norcoreano
Según las Naciones Unidas, Corea del Norte ha robado más de 3.000 millones de dólares en criptomonedas mediante ataques de piratería en los últimos siete años. De los ataques rastreados por la firma de análisis de blockchain Chainalysis en la primera mitad de 2023, 15 estaban vinculados a Corea del Norte, "aproximadamente la mitad de los cuales involucraron robos relacionados con trabajadores de TI", dijo la portavoz de la compañía, Madeleine Kennedy.
Los ciberataques de Corea del Norte no son como la versión hollywoodiense del hacking, en la que programadores encapuchados utilizan códigos informáticos complejos y terminales informáticos de color negro y verde para piratear ordenadores centrales.
Los ataques al estilo de Corea del Norte son obviamente de baja tecnología. Por lo general, implican alguna forma de ingeniería social, donde el atacante se gana la confianza de una víctima que posee las claves del sistema y luego las extrae directamente a través de algo tan simple como un enlace de correo electrónico malicioso.
"Hasta ahora, nunca hemos visto a Corea del Norte llevar a cabo un ataque real", dijo Monahan. "Siempre comienzan con un ataque de ingeniería social, luego comprometen el dispositivo y luego roban las claves privadas".
Los trabajadores de TI están bien preparados para contribuir a las operaciones de atraco de Corea del Norte, ya sea obteniendo información personal que puede usarse para sabotear objetivos potenciales o accediendo directamente a sistemas de software plagados de dinero digital.
serie de coincidencias
El 25 de septiembre, cuando se iba a publicar este artículo, CoinDesk organizó una videollamada con Rust de Truflation. El plan es verificar algunos de los detalles que compartió anteriormente.
Rust, nervioso, se unió a la llamada 15 minutos tarde. Acaba de ser hackeado.
CoinDesk se puso en contacto con más de 20 proyectos que parecen haber sido engañados para contratar trabajadores de TI de Corea del Norte. Sólo en las últimas dos semanas de entrevistas, dos de los proyectos han sido pirateados: Truflation y una aplicación de préstamos de criptomonedas llamada Delta Prime.
Es demasiado pronto para decir si los dos incidentes de piratería están directamente relacionados con la contratación involuntaria de empleados de TI de Corea del Norte.
El 16 de septiembre, Delta Prime se vio comprometido por primera vez. CoinDesk descubrió previamente pagos y contribuciones de código entre Delta Prime y Naoki Murano, uno de los desarrolladores vinculados a Corea del Norte promovidos por el detective anónimo de blockchain ZachXBT.
El proyecto perdió más de 7 millones de dólares, y la explicación oficial fue que "las claves privadas estaban comprometidas". Delta Prime no respondió a múltiples solicitudes de comentarios.
El hackeo de Truflation se produjo menos de dos semanas después. Aproximadamente dos horas antes de hablar con CoinDesk, Rust notó una salida de fondos de su billetera criptográfica. Acababa de regresar de un viaje de negocios a Singapur y estaba tratando de descubrir qué había hecho mal. "Simplemente no sé cómo sucedió", dijo. "Mantengo mis computadoras portátiles en un lugar seguro, bajo llave, en la pared del hotel. Siempre llevo mi teléfono conmigo".
Mientras Rust hablaba, millones de dólares salían de su billetera blockchain personal. "Quiero decir, es realmente malo. Este dinero es la matrícula y la pensión de mis hijos".
Truflation y Rust terminaron perdiendo alrededor de 5 millones de dólares. Los funcionarios determinaron que la causa de la pérdida fue el robo de la clave privada.