Chainalysis atribuye más de 14,3 millones de dólares en pérdidas de criptomonedas durante los últimos 18 meses al método norcoreano de entrevistas falsas, que más adelante tuvo como objetivo a Binance.
La empresa de análisis de cadenas de bloques considera que esos robos de menor cuantía sirvieron de práctica para el robo de 6.300 millones de dólares.
Decenas de entrevistas de trabajo falsas provocaron la vulneración de billeteras
Las pérdidas se debieron a entrevistas falsas y esquemas con malware vinculados a la RPDC, cuyos objetivos iban desde personas con criptomonedas y billeteras privadas hasta protocolos y DAO.
«Hemos identificado decenas de otros casos de entrevistas de trabajo comprometidas que han provocado la vulneración de billeteras» a nivel individual, afirmó Tom McLouth, analista sénior de inteligencia en Chainalysis. Las pérdidas individuales oscilaron entre decenas de miles y millones de dólares.
Los grupos norcoreanos estaban «perfeccionando y evolucionando su metodología» en esos ataques, dijo. «Así es como acabas con el mayor robo de la historia», afirmó McLouth.
Según Chainalysis, el ataque a Binance podría ser la culminación de meses o incluso años de práctica. Cryptopolitan informó que Binance rastreó la brecha hasta una invitación a una entrevista de trabajo que se envió a un ingeniero en septiembre.
El ingeniero descargó una tarea para la entrevista que había sido infectada con código malicioso, después de dos rondas con una empresa falsa. Alec Zebrick, gerente sénior de Servicios Globales de Chainalysis, llama a esto «entrevistas contagiosas». Están dirigidas a empleados con acceso privilegiado, para que sus credenciales puedan utilizarse contra su empleador.
Chainalysis también destacó casos en los que se robaron claves privadas del almacenamiento en la nube tras una entrevista maliciosa. Algunas víctimas dijeron que sus frases semilla nunca estuvieron en el dispositivo infectado, lo que, según Chainalysis, podría indicar que les robaron las credenciales de acceso a la nube o las sesiones del navegador.
En marzo, Microsoft documentó que su equipo de Defender Experts ha seguido la campaña Entrevista Contagiosa, activa desde al menos diciembre de 2022.
En esta campaña, falsos reclutadores de empresas de criptomonedas o de inteligencia artificial consiguen que los postulantes ejecuten paquetes de código malicioso.
En su interior, el malware busca frases mnemotécnicas de billeteras, almacenes de KeePass y 1Password, y claves criptográficas, indicó Microsoft.
Los puntos de entrega ocultos en la cadena de bloques se quintuplicaron en un año
Chainalysis también informa que los ciberataques habilitados por la cadena de bloques se han quintuplicado en los últimos 12 meses. Chainalysis los denomina «puntos de entrega ocultos en la cadena de bloques» y atribuye el aumento a actores estatales y al posible uso de modelos de inteligencia artificial de pesos abiertos.
Los actores norcoreanos comenzaron a utilizar la técnica, denominada «Etherhiding», a principios de 2025. Esta conecta las máquinas infectadas mediante falsas entrevistas de trabajo con los servidores de comando y control de los atacantes, ya que a la policía le resulta más difícil incautar un registro de la cadena de bloques que un alojamiento centralizado.
Una configuración de la RPDC dividía las instrucciones entre TRON y Aptos. Ambas cadenas tienen referencias al contenido malicioso alojado en BSC, y los dispositivos infectados son redirigidos a ese contenido.
Aptos es la alternativa si TRON falla.
El método más reciente del «receptor nulo» inserta la instrucción en una dirección creada especialmente. La dirección no está controlada por nadie ni está diseñada para almacenar criptomonedas.
Las máquinas infectadas interpretan la dirección como un comando.
En septiembre, el FBI, la Agencia Nacional de Policía de Japón y organismos de Australia y Alemania acusaron públicamente a un grupo norcoreano llamado WaterPlum de un robo de criptomonedas de aproximadamente 10,71 millones de dólares.
WaterPlum también recibe el nombre de «Entrevista Contagiosa». Su operación afectó datos confidenciales de unas 7.000 cuentas de criptomonedas.
El FBI atribuyó el robo a Binance al grupo norcoreano TraderTraitor, pero Pionyang negó cualquier implicación. Chainalysis prevé que los fondos robados seguirán moviéndose durante los próximos días.
Si estás leyendo esto, ya vas por delante. Sigue así con nuestro boletín.